팔로우 SOC Prime의 LogTotal은 이제 Google SecOps, CrowdStrike Falcon LogScale / 차세대 SIEM, Microsoft Defender for Endpoint (MDE), 그리고 Microsoft Sentinel 등 4개의 주요 SIEM 및 EDR 플랫폼으로부터 로그 내보내기를 지원합니다. 각 플랫폼은 자체 파일 형식, 필드 이름, 데이터 모델을 사용합니다. LogTotal은 이러한 차이점을 자동으로 처리하여 보안 팀이 내보내기를 있는 그대로 업로드하고 모든 소스에서 동일한 수준의 분석을 얻을 수 있도록 합니다. Splunk, IBM QRadar, OpenSearch/Elasticsearch 지원은 곧 추가될 예정입니다.
무엇이 새로워졌나: 네 플랫폼, 하나의 분석기
새롭게 지원되는 플랫폼은 각각 다른 데이터 모델과 내보내기 옵션을 제공합니다:
| 플랫폼 | 데이터 모델 | 공급업체 문서화된 내보내기 |
| Google SecOps | 원시 로그를 표준화하는 파서에 의해 생성된 통합 데이터 모델 (UDM) | CSV로 된 탐지 이벤트, 최대 100,000개의 이벤트 |
| CrowdStrike Falcon LogScale / 차세대 SIEM | 네이티브 Falcon 센서 필드 이름; 제3자 데이터를 다음으로 파싱 CrowdStrike Parsing Standard (CPS), ECS 기반 | CSV, JSON, 및 텍스트 파일 |
| Microsoft Defender for Endpoint | DeviceProcessEvents와 같은 테이블을 포함한 고급 헌팅 스키마 | 고급 헌팅 결과 엑셀 워크북으로; 안내 모드의 CSV |
| Microsoft Sentinel | KQL로 쿼리된 로그 분석 테이블; 선택적 ASIM 표준화 | CSV로 된 쿼리 결과 로그 창에서 |
어떤 것에도 변환 스크립트, 필드 이름 변경, 맞춤 파서는 필요하지 않습니다.
같은 이벤트, 네 가지 다른 설명
모든 플랫폼은 동일한 활동을 각자 방식으로 기록합니다. 하나의 프로세스 실행은 내보내어진 장소에 따라 다른 필드 이름을 가집니다:
| 탐지가 찾는 것 | Google SecOps (UDM) | Falcon LogScale / NG-SIEM | Microsoft Defender for Endpoint | Microsoft Sentinel (ASIM) |
| 새 프로세스의 명령 줄 | target.process.command_line | CommandLine | ProcessCommandLine | TargetProcessCommandLine |
| 새 프로세스 이미지 | target.process.file.full_path | ImageFileName | FolderPath + FileName | TargetProcessName |
| 부모 또는 시작 프로세스 | principal.process.file.full_path | ParentBaseFileName | InitiatingProcessFileName | ActingProcessName |
차이점은 이름을 넘어섭니다:
- 같은 필드에 대한 다른 이름. 명령 줄과 같은 하나의 개념은 각 플랫폼에서 다른 이름을 가집니다.
- 다른 구조. UDM은 필드를 principal과 target 아래에 중첩시키며, MDE와 Falcon은 평면 열 이름을 사용합니다. 일부 값은 MDE의 FolderPath와 FileName처럼 필드 간에 분할되어 있습니다.
- 하나의 플랫폼 내에서 다른 명명. 차세대 SIEM은 센서 텔레메트리에 대한 네이티브 Falcon 이름을 유지하고, 제3자 데이터에 대해 ECS 기반의 CPS 이름을 사용합니다. 둘 다 단일 내보내기에 나타날 수 있습니다.
보통 분석가는 단일 규칙 실행 전에 수작업으로 이러한 차이를 연결합니다. LogTotal을 사용하면 이러한 차이는 귀하의 문제가 아닙니다.
LogTotal이 파일 형식을 처리하는 방법
LogTotal은 파일 형식을 자동으로 감지합니다. SOC Prime은 EVTX, CEF, JSON, 및 syslog의 자동 감지를 문서화합니다. 수동 변환 없이 최대 3GB 또는 3,000,000개의 이벤트의 .log, .json, .jsonl, .evtx, 및 .txt 파일을 업로드 또는 붙여넣기를 통해 수용하며, 1분 이내에 최대 170만 개의 이벤트를 처리합니다.
여기에 다루는 플랫폼은 레코드를 패키징하는 방식에서 가장 다릅니다:
- 단일 JSON 배열. LogScale의 JSON 내보내기는 모든 이벤트를 하나의 배열에 감싸고, LogTotal은 각 요소를 개별 이벤트로 읽습니다.
- CSV 내보내기. Google SecOps, MDE 고급 헌팅, Sentinel 로그는 쿼리 결과를 CSV 파일로 내보내며, 각 열 헤더는 해당 플랫폼의 스키마 내 필드 이름으로 지정됩니다.
중첩된 JSON을 평면화하거나 열 이름을 변경하거나 업로드 전에 필드를 재배열할 필요가 없습니다. 이벤트를 파싱할 때 완료된 후에는 식별자를 동일하게 토큰화하여 도착한 형식에 관계없이 일관성을 유지합니다.
LogTotal이 필드 이름 및 매핑을 처리하는 방법
LogTotal은 각 플랫폼의 필드 이름을 감지 논리가 기대하는 필드로 매핑하여, 하나의 규칙이 네 가지 스키마 모두에서 올바르게 평가되도록 합니다. 사용자는 매핑을 유지하거나, 파서를 작성하거나, 스키마를 선택할 필요가 없습니다.
이는 SOC Prime이 이미 탐지 콘텐츠에 대해 수행하는 매핑 작업을 기반으로 합니다. SOC Prime의 플랫폼 지원 매트릭스는 UDM 데이터 스키마에 대해 작성된 Google SecOps의 규칙과 MDE 및 Sentinel의 기본 스키마에 대해 작성된 Kusto 쿼리를 나열합니다. LogTotal은 내보낸 파일에 동일한 지식 적용합니다.
매핑 후, 모든 네 플랫폼의 이벤트는 동일한 파이프라인을 통해 진행됩니다: 약 1,000,000개의 탐지 규칙 및 13,000개의 위협 레이블이 상위 계층 Sigma 규칙 및 에이전트 AI와 결합되어 MITRE ATT&CK에 매핑된 공격 체인으로 상호 연관됩니다.
보안 팀을 위한 의미하는 바
형식 및 스키마 차이는 LogTotal에서 처리합니다, 귀하가 아닌. 실제로:
- 현재 하시는 방식대로 내보내십시오. 플랫폼의 표준 내보내기를 사용하여 파일을 그대로 업로드하십시오.
- 하나의 조사에서 소스를 혼합하십시오. 다른 플랫폼에서 온 로그도 동일한 규칙 및 상호 연관으로 분석하여, 발견 결과가 비교 가능합니다.
- 식별자를 비공개로 유지하십시오. 정화 처리는 호스트 이름, IP, 사용자 이름, 비밀 정보를 업로드 전에 안정적인 HMAC 토큰으로 대체합니다. 키를 유지하여 내부적으로 토큰을 다시 매핑할 수 있습니다.
- 모든 플랫폼에서 동일한 깊이를 얻으십시오. 규칙 커버리지는 파일을 생성한 SIEM 또는 EDR에 따라 달라지지 않습니다.
최상의 결과를 얻으려면 프로세스, 명령 줄, 부모 프로세스, 사용자, 호스트 및 네트워크 세부사항과 같은 탐지 값을 포함하는 필드를 내보내십시오. 플랫폼에서 둘 다 제공할 경우, 열 부분 집합보다 전체 이벤트 내보내기를 선호하십시오.
가까운 미래에 계획된 내용
내보내기 지원은 Splunk, IBM QRadar, 및 OpenSearch/Elasticsearch 가 계획되어 있습니다. 이러한 플랫폼은 Elastic의 ECS 필드 이름과 같은 자체 규칙을 포함하고 있습니다. 경험은 동일하게 유지됩니다: 내보내기, 업로드, 그리고 LogTotal이 형식 및 필드 매핑을 처리하도록 합니다.
