팔로우 NetWitness Investigate에서 Events 보기를 통해 쿼리를 실행하고 이벤트를 선택하거나(모두 선택) 로그를 다운로드하세요. 선택 텍스트 원시 로그 줄을 얻으려면, 또는 JSON 구조화된 이벤트를 위해서입니다. 대용량 다운로드는 작업으로 실행되며 준비가 되면 Jobs 트레이에서 파일을 수집합니다. 기본적으로 하나의 내보내기에는 최대 100,000 세션이 포함될 수 있습니다.
이전 RSA NetWitness였던 NetWitness는 Log Decoder에 로그를 저장하고 Concentrators 및 Brokers를 통해 검색할 수 있게 합니다. Prime Core는 NetWitness를 위해 18,461개의 탐지 규칙을 631개의 MITRE ATT&CK 기술에 매핑했습니다. 아래는 로그를 추출하고, 정리하고, LogTotal에서 무료로 조사하는 방법입니다.
시작하기 전에
Investigate에 대한 접근. 로그를 보유한 서비스(Broker 또는 Concentrator)를 조사할 수 있는 역할이 필요합니다.
내보내기 형식을 한 번 설정하세요. In 프로필 → 기본 설정 → 조사, 로그 형식 내보내기 선호도는 다운로드의 기본 형식을 결정합니다: 텍스트, XML, CSV 또는 JSON. 원시 로그에는 텍스트를 선택하세요. 비워 두면, NetWitness는 매번 물어봅니다.
보존. 얼마나 과거로 갈 수 있는지는 Log Decoder의 저장소에 달려 있습니다. 더 오래된 로그는 보관기에만 존재할 수도 있습니다.
Investigate에서 내보내기
- 열기 Investigate → 이벤트, 서비스를 선택하고 시간 범위를 설정하세요.
- 메타 키로 쿼리(아래 예시 참조).
- 쿼리를 실행하고 카운트를 확인하세요.
- 원하는 이벤트를 선택하거나, 모두를 선택하려면 아무 것도 선택하지 마시고 다운로드 옵션에서 로그 (텍스트 또는 JSON)을 선택하세요.
- 열기 작업 트레이(시계 아이콘)를 클릭하고 작업이 끝나면 파일을 다운로드하세요.
하나의 Linux 호스트에 대한 쿼리는 다음과 같습니다. Windows 로그의 경우, device.type = ‘winevent_nic’이 일반적인 로그 파서입니다.
device.type = 'rhlinux' && alias.host = 'web-03'
단일 이벤트의 경우, 이벤트 세부사항의 텍스트 탭은 원시 로그에 대한 자체 다운로드 옵션을 제공합니다.
The 최대 세션 내보내기 설정은 하나의 내보내기에 포함될 수 있는 세션의 수를 제한합니다(기본 100,000). 더 큰 윈도우의 경우, 시간을 기준으로 분할하세요.
옵션 2: 서비스의 REST API
Concentrators 및 Brokers는 쿼리를 실행하고 로그 콘텐츠를 반환할 수 있는 REST 인터페이스를 제공합니다. 이는 스크립트 기반의 내보내기에 적합합니다.
LogTotal에 업로드, 정리 및 검토하기
- 업로드. 열기 logtotal.com 에 파일을 드롭하세요.
- 정리.
- 검토.
실제 데이터에서 어떻게 보이는지.
문제가 생길 때
| 증상 | 가능한 원인 | Fix |
|---|---|---|
| 다운로드가 네트워크 세션 또는 메타를 포함하고 로그가 없는 경우 | 잘못된 다운로드 옵션 | 메타나 PCAP가 아닌 로그 다운로드를 선택하세요. |
| 내보내기가 100,000 세션에서 멈춤 | 최대 세션 내보내기 제한 | 시간 단위로 나누거나 관리에게 제한을 올려달라고 요청하세요. |
| 파일이 나타나지 않음 | 백그라운드 작업입니다 | Jobs 트레이에서 수집하세요. |
| 쿼리가 아무 것도 반환하지 않음 | 잘못된 서비스 또는 메타 키 값 | 메타 패널에서 device.type 값을 확인하세요. |
FAQ
텍스트 또는 JSON?
서버로그 스타일의 소스에 적합한 원래 로그 줄이 필요할 때는 텍스트를 선택하세요. 각각의 이벤트에 NetWitness의 파싱된 메타를 함께 제공하고 싶을 때는 JSON을 선택하세요.
패킷도 내보낼 수 있나요?
예, PCAP로 가능하지만, 이는 네트워크 트래픽이며 로그가 아닙니다. LogTotal은 로그와 함께 작동합니다.
