> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/ciscoumbrella.md). # Cisco Umbrella 로그 ## 개요 Panther는 수집을 지원합니다 [Cisco Umbrella](https://docs.umbrella.com/) 공통 방식의 로그 [데이터 전송](/ko/data-onboarding/data-transports.md) 옵션. ## Cisco Umbrella 로그를 Panther에 온보딩하는 방법 이 로그를 Panther에 연결하려면: 1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**. 2. 클릭합니다 **새로 만들기**. 3. “Cisco Umbrella”를 검색한 다음 해당 타일을 클릭합니다. 4. 다음 **전송 메커니즘** 드롭다운에서 이 통합에 사용하려는 Data Transport 방법을 선택합니다.\ ![An arrow is drawn from a tile labeled "Cisco Umbrella" to a "Transport Mechanism" field. To its right is a "Start Setup" button.](/files/e6e27cf53a40af51599486d40d74f0d67fff2252) 5. 클릭합니다 **설정 시작**. 6. 선택한 [데이터 전송](/ko/data-onboarding/data-transports.md) 방법을 구성하기 위한 Panther의 지침을 따르세요. 예: * [AWS S3](/ko/data-onboarding/data-transports/aws/s3.md) * [AWS SQS](/ko/data-onboarding/data-transports/aws/sqs.md) 7. Cisco Umbrella를 구성하여 로그를 Data Transport 소스로 푸시합니다. 자세한 내용은 [Cisco Umbrella의 문서](https://docs.umbrella.com/) 에서 선택한 Data Transport 소스로 로그를 푸시하는 방법을 확인하세요. ## Panther가 관리하는 디택션 참고 [Panther가 관리하는](https://docs.panther.com/detections/panther-managed) Cisco Umbrella의 룰 [panther-analysis GitHub 저장소](https://github.com/panther-labs/panther-analysis/tree/main/rules/cisco_umbrella_dns_rules). ## 지원되는 로그 유형 ### CiscoUmbrella.CloudFirewall Cloud Firewall 로그는 네트워크 터널에 의해 처리된 트래픽을 보여줍니다. 참조: [로그 형식 및 버전 관리에 대한 Cisco 문서](https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-cloud-firewall-logs) ```yaml schema: CiscoUmbrella.CloudFirewall description: Cloud Firewall 로그는 네트워크 터널에 의해 처리된 트래픽을 보여줍니다. referenceURL: https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-cloud-firewall-logs 필드: - 이름: timestamp 필수: true description: UTC 기준 요청 트랜잭션의 타임스탬프(2015-01-16 17:48:41). 유형: timestamp 시간 형식: - '%Y-%m-%d %H:%M:%S' 이벤트 시간 여부: true - 이름: originId 설명: 네트워크 터널의 고유 식별자입니다. 유형: string - 이름: identity 설명: 네트워크 터널의 이름입니다. 유형: string - 이름: identityType 설명: 요청을 만든 신원 유형입니다. 항상 'CDFW Tunnel Device'여야 합니다. 유형: string - 이름: direction 설명: 패킷의 방향입니다. 인터넷 방향이거나 고객의 네트워크 방향입니다. 유형: string - 이름: ipProtocol 설명: 트래픽의 실제 IP 프로토콜입니다. TCP, UDP, ICMP일 수 있습니다. 유형: bigint - 이름: packetSize 설명: Umbrella CDFW가 수신한 패킷의 크기입니다. 유형: bigint - 이름: sourceIp 설명: CDFW를 향한 사용자 생성 트래픽의 내부 IP 주소입니다. 트래픽이 CDFW에 도달하기 전에 NAT를 통과하는 경우 NAT IP 주소가 됩니다. 유형: string 지표: - ip - 이름: sourcePort 설명: CDFW를 향한 사용자 생성 트래픽의 내부 포트 번호입니다. 유형: int - 이름: destinationIp 설명: CDFW를 향한 사용자 생성 트래픽의 목적지 IP 주소입니다. 유형: string 지표: - ip - 이름: destinationPort 설명: CDFW를 향한 사용자 생성 트래픽의 목적지 포트 번호입니다. 유형: int - 이름: dataCenter 설명: 사용자 생성 트래픽을 처리한 Umbrella 데이터 센터의 이름입니다. 유형: string - 이름: ruleId 설명: 사용자 트래픽을 처리한 룰의 ID입니다. 유형: string - 이름: verdict 설명: 룰을 기반으로 트래픽을 허용할지 차단할지에 대한 최종 판정입니다. 유형: string ``` ### CiscoUmbrella.DNS DNS 로그는 DNS 리졸버에 도달한 트래픽을 보여줍니다. 참조: [DNS 로그에 대한 Cisco 문서.](https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-dns-logs) ```yaml schema: CiscoUmbrella.DNS description: DNS 로그는 DNS 리졸버에 도달한 트래픽을 보여줍니다. referenceURL: https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-dns-logs 필드: - 이름: timestamp 필수: true 설명: 이 요청이 UTC 기준으로 만들어진 시점입니다. 이는 시간을 지정한 시간대로 변환하는 Umbrella 대시보드와 다릅니다. 유형: timestamp 시간 형식: - '%Y-%m-%d %H:%M:%S' 이벤트 시간 여부: true - 이름: policyIdentity 설명: 세분화 수준 순서에서 요청과 일치한 첫 번째 신원입니다. 유형: string - 이름: identities 설명: 이 요청과 관련된 모든 신원입니다. 유형: array 요소: 유형: string - 이름: internalIp 설명: 요청을 만든 내부 IP 주소입니다. 유형: string 지표: - ip - 이름: externalIp 설명: 요청을 만든 외부 IP 주소입니다. 유형: string 지표: - ip - 이름: action 설명: 요청이 허용되었는지 차단되었는지 여부입니다. 유형: string - 이름: queryType 설명: 수행된 DNS 요청 유형입니다. 자세한 내용은 일반적인 DNS 요청 유형을 참조하세요. 유형: string - 이름: responseCode 설명: 이 요청에 대한 DNS 반환 코드입니다. 자세한 내용은 모든 DNS 서비스(및 Umbrella)의 일반적인 DNS 반환 코드를 참조하세요. 유형: string - name: domain 설명: 요청된 도메인입니다. 유형: string 지표: - domain - 이름: categories 설명: 대상과 일치하는 보안 또는 콘텐츠 카테고리입니다. 유형: array 요소: 유형: string - 이름: policyIdentityType 설명: 세분화 수준 순서에서 이 요청과 일치한 첫 번째 신원 유형입니다. 버전 3 이상에서 사용할 수 있습니다. 유형: string - 이름: identityTypes 설명: 요청을 만든 신원 유형입니다. 예: Roaming Computer, Network 등. 버전 3 이상에서 사용할 수 있습니다. 유형: array 요소: 유형: string - 이름: blockedCategories 설명: 대상이 차단되게 만든 카테고리입니다. 버전 4 이상에서 사용할 수 있습니다. 유형: array 요소: 유형: string ``` ### CiscoUmbrella.IP IP 로그는 IP Layer Enforcement 기능에 의해 처리된 트래픽을 보여줍니다. 참조: [IP 로그에 대한 Cisco 문서.](https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-ip-logs) ```yaml schema: CiscoUmbrella.IP description: IP 로그는 IP Layer Enforcement 기능에 의해 처리된 트래픽을 보여줍니다. referenceURL: https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-ip-logs 필드: - 이름: timestamp 필수: true description: UTC 기준 요청 트랜잭션의 타임스탬프(2015-01-16 17:48:41). 유형: timestamp 시간 형식: - '%Y-%m-%d %H:%M:%S' 이벤트 시간 여부: true - 이름: identity description: 요청과 일치한 첫 번째 신원입니다. 유형: string - 이름: sourceIp description: 요청을 하는 컴퓨터의 IP입니다. 유형: string 지표: - ip - 이름: sourcePort description: 요청이 이루어진 포트입니다. 유형: int - 이름: destinationIp description: 요청된 대상 IP입니다. 유형: string 지표: - ip - 이름: destinationPort description: 요청이 이루어진 대상 포트입니다. 유형: int - 이름: categories description: 요청된 대상 IP 주소/포트와 일치한 보안 카테고리가 있다면 어떤 것인지입니다. 유형: array 요소: 유형: string - 이름: identityTypes 설명: 요청을 만든 신원 유형입니다. 예: Roaming Computer, Network 등. 버전 3 이상에서 사용할 수 있습니다. 유형: array 요소: 유형: string ``` ### CiscoUmbrella.Proxy 프록시 로그는 Umbrella Secure Web Gateway(SWG) 또는 Selective Proxy를 통과한 트래픽을 보여줍니다. 참조: [Selective Proxy 로그에 대한 Cisco 문서.](https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-proxy-logs) ```yaml schema: CiscoUmbrella.Proxy description: 프록시 로그는 Umbrella Secure Web Gateway 또는 Selective Proxy를 통과한 트래픽을 보여줍니다. referenceURL: https://docs.umbrella.com/deployment-umbrella/docs/log-formats-and-versioning#section-proxy-logs 필드: - 이름: timestamp description: UTC 기준 요청 트랜잭션의 타임스탬프(2015-01-16 17:48:41). 유형: timestamp 시간 형식: - '%Y-%m-%d %H:%M:%S' 이벤트 시간 여부: true - 이름: identity description: 요청과 일치한 첫 번째 신원입니다. 유형: string - 이름: identities description: 세분화 수준 순서에서 지능형 프록시를 통해 요청을 만든 신원입니다. 유형: array 요소: 유형: string - 이름: internalIp description: 요청을 만든 컴퓨터의 내부 IP 주소입니다. 유형: string 지표: - ip - 이름: externalIp description: 요청이 시작된 네트워크의 egress IP 주소입니다. 유형: string 지표: - ip - 이름: destinationIp description: 요청의 목적지 IP 주소입니다. 유형: string 지표: - ip - 이름: contentType description: 웹 콘텐츠 유형으로, 일반적으로 text/html입니다. 유형: string - 이름: verdict description: 대상이 차단되었는지 허용되었는지 여부입니다. 유형: string - 이름: url description: 요청된 URL입니다. 유형: string 지표: - url - 이름: referrer description: 참조한 도메인 또는 URL입니다. 유형: string 지표: - url - 호스트 이름 - name: userAgent description: 요청을 만든 브라우저 에이전트입니다. 유형: string - 이름: statusCode description: HTTP 상태 코드이며, 항상 200 또는 201이어야 합니다. 유형: int - 이름: requestSize description: 바이트 단위의 요청 크기입니다. 유형: bigint - 이름: responseSize description: 바이트 단위의 응답 크기입니다. 유형: bigint - 이름: responseBodySize description: 바이트 단위의 응답 본문 크기입니다. 유형: bigint - 이름: sha description: 응답 콘텐츠의 SHA256 16진수 다이제스트입니다. 유형: string 지표: - sha256 - 이름: categories description: Malware와 같은 이 요청의 보안 카테고리입니다. 유형: array 요소: 유형: string - 이름: avDetections description: 파일 검사에 사용된 바이러스 백신 엔진에 따른 디택션 이름입니다. 유형: array 요소: 유형: string - 이름: puas description: 바이러스 백신 스캐너가 반환한 프록시된 파일의 모든 잠재적으로 원치 않는 애플리케이션(PUA) 결과 목록입니다. 유형: array 요소: 유형: string - 이름: ampDisposition description: Umbrella File Inspection 기능의 일부로 Cisco Advanced Malware Protection(AMP)이 프록시하고 검사한 파일의 상태입니다. Clean, Malicious 또는 Unknown일 수 있습니다. 유형: string - 이름: ampMalwareName description: Malicious인 경우 AMP에 따른 악성코드 이름입니다. 유형: string - 이름: ampScore description: AMP의 악성코드 점수입니다. 이 필드는 현재 사용되지 않으며 비어 있습니다. 유형: string - 이름: identityType 설명: 요청을 만든 신원 유형입니다. 예: Roaming Computer, Network 등. 유형: string - 이름: blockedCategories 설명: 대상이 차단되게 만든 카테고리입니다. 버전 4 이상에서 사용할 수 있습니다. 유형: array 요소: 유형: string ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/data-onboarding/supported-logs/ciscoumbrella.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.