수집 필터

스키마로 파싱되기 전후에 들어오는 데이터를 삭제

개요

수집 필터를 사용하면 들어오는 데이터를 삭제해야 하는 조건, 즉 Panther에 수집하지 않을 조건을 정의할 수 있습니다. 이렇게 삭제된 데이터는 수집 할당량에 포함되지 않습니다. 따라서 이러한 필터는 Panther와 연결할 때 이전에는 비용이 너무 많이 들었을 수 있는 대용량 로그를 부분적으로 수집하는 데 유용할 수 있습니다.

필터링된 이벤트는 탐지를 거치지 않으며, 나중에 쿼리할 수 있도록 데이터 레이크에 저장되지도 않습니다. 필터를 구성한 후에는 필터링된 이벤트 양을 모니터링.

수집 필터의 유형

원시 이벤트 필터와 정규화된 이벤트 필터

Panther에는 두 가지 유형의 수집 필터가 있습니다:

• 원시 이벤트 필터: 로그 스키마에 의해 구문 분석되기 전에 데이터에 적용됩니다

  • 다음에서 자세히 알아보세요 원시 이벤트 필터.

• 정규화된 이벤트 필터: 로그 스키마에 의해 구문 분석된 후 데이터에 적용됩니다

  • 다음에서 자세히 알아보세요 정규화된 이벤트 필터.

로그 소스에 여러 개의 원시 또는 정규화된 필터가 정의되어 있더라도, 이들이 실행되는 순서는 보장되지 않습니다.

포함 필터와 제외 필터

원시 및 정규화된 이벤트 필터는 모두 포함 필터 또는 제외 필터로 생성할 수 있습니다.

• 포함 필터: 필터와 일치하는 이벤트는 수집됩니다(다른 필터에 의해 삭제되지 않는 한). 필터와 일치하지 않는 이벤트는 삭제됩니다.

• 제외 필터: 필터와 일치하는 이벤트는 삭제됩니다. 필터와 일치하지 않는 이벤트는 수집됩니다(다른 필터에 의해 삭제되지 않는 한).