팔로우 모든 SIEM은 두 가지 형태 중 하나로 데이터를 반환할 수 있습니다: 원본 원시 이벤트 또는 자체 파싱된 JSON. SIEM 외부에서의 분석을 위해서는 원시 이벤트가 거의 항상 더 좋은 선택입니다. API 또는 CLI를 통해 좁은 시간 창으로 내보내세요. 아래 표에서는 각 주요 플랫폼에 대한 최적의 경로를 전체 가이드 링크와 함께 보여줍니다.
왜 SIEM에서 데이터를 꺼내려고 하나요? 두 번째 의견을 위해, 접근할 수 없는 IR 파트너와 공유하거나 SIEM에 없는 탐지 논리를 실행하기 위해서입니다. Prime Core는 676 MITRE ATT&CK 기술에 매핑된 이러한 플랫폼에 걸쳐 100만 개의 탐지 규칙을 가지고 있으며, LogTotal은 파일에 대해 무료로 이를 실행합니다.
플랫폼 별
| 플랫폼 | 최적의 내보내기 경로 | 얻는 것 | 전체 가이드 |
|---|---|---|---|
| Splunk | CLI splunk search -output rawdata, 또는 REST search/v2/jobs/export with output_mode=raw | 원본 원시 라인 | [Splunk] |
| IBM QRadar | Ariel REST API with UTF8(payload) | 원본 페이로드 | [QRadar] |
| OpenSearch | opensearch-py helpers.scan, 또는 _search with PIT | JSON 문서; 메시지에 유지된 경우 원시 라인 | [OpenSearch] |
| Elasticsearch | elasticsearch-py helpers.scan, PIT with search_after, 또는 ES|QL (최대 10,000 행) | JSON 문서; event.original에 유지된 경우 원시 라인 | [Elastic] |
| CrowdStrike Falcon | 고급 이벤트 검색 내보내기, 또는 Falcon Data Replicator | JSON으로 된 Falcon 원격 측정 | [CrowdStrike] |
| Microsoft Sentinel | az monitor log-analytics query | 행당 하나의 JSON 객체 | [Sentinel] |
| Microsoft Defender XDR | Microsoft Graph runHuntingQuery | JSON으로 된 고급 사냥 행 | [Defender XDR] |
| Google SecOps | UDM 검색 API, 또는 Data Export API to Cloud Storage | UDM JSON, 또는 원본 원시 로그 | [Google SecOps] |
모든 곳에 적용되는 여섯 가지 규칙
- 요약이 아닌 이벤트를 내보내세요. 통계, 요약, 표 또는 집계로 끝나는 것은 보고서이지 로그가 아닙니다.
- 먼저 좁힙니다. 호스트, 소스, 이벤트 유형, 시간 창. 당기기 전에 세십시오; 대부분의 플랫폼은 UI에 숫자를 표시합니다.
- API 또는 CLI를 몇 천 개 이상의 이벤트에 사용하세요. 브라우저 내보내기는 시간 초과되거나, 검색을 다시 실행하거나, 행 수를 조용히 캡할 수 있습니다.
- 권한 경계를 주의하세요. API 토큰은 종종 더 적은 내용을 볼 수 있습니다: QRadar 보안 프로파일, Splunk 역할, Graph 스코프. 숫자가 맞지 않는 경우 토큰을 먼저 확인하세요.
- 시간대를 고정하세요. UTC 또는 명시적 오프셋을 가진 절대 창을 사용하세요. 상대 창(“지난 24시간”)은 검색이 다시 실행되면 드리프트됩니다.
- 봉투를 풀어보세요. 많은 API가 각 이벤트를 감쌉니다: CloudTrailEvent 안의 JSON 문자열, Records 배열, 결과 키, CloudWatch 메시지. 업로드하기 전에 jq를 사용하여 한 줄당 하나의 이벤트로 평평하게 하세요.
SIEM이 반환할 수 없는 것
- 원본 바이너리입니다. 어떤 SIEM도 Windows EVTX 파일을 반환하지 않습니다; 렌더링된 텍스트 또는 JSON을 받게 됩니다. EVTX의 경우 호스트로 가세요.
- 보존 기간이 지난 데이터. 만기가 된 후, 또는 복원이 필요한 아카이브 계층으로 이동된 경우, 일반 검색으로 찾을 수 없습니다.
- 수집 시점에 삭제된 필드. 파이프라인이 원시 라인이나 필드를 버린 경우 그건 사라졌습니다. 분석가에게 무언가 약속하기 전에 확인하세요.
LogTotal에 업로드, 정제 및 검토
LogTotal은 syslog 스타일 텍스트, JSON 및 EVTX를 읽습니다. 텍스트 및 JSON 업로드는 분석 전에 정제 단계를 거칩니다.
- 업로드하세요. 오픈하세요. logtotal.com 및 내보내기를 투입하세요.
- 정제하세요.
- 검토하세요.
FAQ
내 SIEM이 표에 없는 경우, 이 방법이 여전히 작동하나요?
네. 위의 규칙은 모든 플랫폼에 적용됩니다: API 또는 CLI 경로를 찾아, 좁은 창에 원시 이벤트를 내보내고, 한 줄당 하나의 이벤트로 JSON을 평평하게 합니다. SOC Prime이 지원하는 나머지 65개 이상의 플랫폼에 대한 가이드를 추가하고 있습니다.
그냥 SIEM에서 분석하지 않는 이유는 뭐죠?
종종 그렇게 해야 합니다. 파일 기반 검사는 두 번째 탐지를 원하거나, 외부 인물과 데이터를 공유해야 하거나, SIEM이 놓칠 수 있는 것을 테스트하고 싶을 때를 위한 것입니다.
