> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/crowdstrike/event-streams.md).
# CrowdStrike Event Streams
## 개요
Panther는 CrowdStrike Event Streams API를 쿼리하여 CrowdStrike 이벤트를 가져올 수 있습니다. Panther는 매분 새 이벤트를 쿼리합니다.
CrowdStrike Event Streams는 SaaS 감사 활동 및 CrowdStrike 디택션 요약 이벤트를 포함하는 비센서 데이터만 내보냅니다. 디바이스 텔레메트리를 수집하려면 [CrowdStrike Falcon Data Replicator(FDR)](/ko/data-onboarding/supported-logs/crowdstrike/falcon-data-replicator.md) 소스가 필요합니다.
{% hint style="info" %}
Panther가 새 이벤트를 위해 Event Streams API를 쿼리하는 작업 자체가 추가 [Crowdstrike.EventStreams](#crowdstrike.eventstreams) 로그를 생성합니다. 이로 인해 통합에서 원치 않는 노이즈가 발생하는 경우 [수집 필터](/ko/data-onboarding/ingestion-filters.md) 를 구성하여 이 로그를 필터링할 수 있습니다.
{% endhint %}
## CrowdStrike Event Streams 로그를 Panther에 온보딩하는 방법
{% hint style="warning" %}
새 소스를 처음 온보딩할 때 Panther는 Crowdstrike Event Streams API를 통해 사용할 수 있는 모든 이벤트를 가져옵니다. 이로 인해 소스에서 초기 지연 시간이 길게 보고될 수 있습니다.
{% endhint %}
### 사전 요구 사항
* 이 방법을 사용하려면 먼저 [CrowdStrike 지원 팀에 문의](https://supportportal.crowdstrike.com/) 하여 CrowdStrike 계정에서 스트리밍 API를 활성화해야 합니다.
### 1단계: CrowdStrike Falcon API 클라이언트 생성
1. 관리자 수준 권한이 있는 계정을 사용하여 Falcon 콘솔에 로그인합니다.
2. 탐색 모음에서 다음을 클릭합니다. **지원 및 리소스** > **API 클라이언트 및 키**.\
3. 다음 내에서 **OAuth2 API 클라이언트** 탭에서 다음을 클릭합니다. **API 클라이언트 생성**.\
4. 다음 **API 클라이언트 생성** 양식을 작성합니다:
* **클라이언트 이름**: 설명적인 이름을 입력하세요.
* **설명**: 유용한 설명을 입력합니다.
* 범위 표의 **이벤트 스트림** 행에서 다음을 선택합니다. **읽기** 확인란.\
5. 클릭합니다 **생성**.
6. 다음 **API 클라이언트 생성됨** 팝업 모달에 다음이 표시됩니다. **Client ID**, **보안 비밀**, 및 **기본 URL** 값입니다. 다음 단계에서 필요하므로 이 값을 복사하여 안전한 위치에 저장합니다. 이것은 **보안 비밀** 이 표시되는 유일한 시간입니다.\
7. 클릭합니다 **성공적으로 추론됨**.
### 2단계: Panther에서 새 CrowdStrike Event Streams 소스 생성
1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**.
2. 클릭합니다 **새로 만들기**.
3. "CrowdStrike Event Streams"를 검색한 다음 해당 타일을 클릭합니다.
4. 슬라이드아웃 패널에서 다음을 클릭합니다 **설정 시작**.\
5. 구성 페이지에서 설명적인 **이름** 을(를) 소스에 입력합니다.
6. 클릭합니다 **설정**.
7. 자격 증명 페이지에서 양식을 작성합니다:
* **클라이언트 ID**: 다음을 입력하세요. **Client ID** 이전 단계에서 CrowdStrike에서 생성한 값입니다.
* **Client Secret**: 다음을 입력하세요. **보안 비밀** 이전 단계에서 CrowdStrike에서 생성한 값입니다.
* **클라이언트 클라우드**: 다음에 표시된 리전을 선택합니다. **기본 URL** 이전 단계에서 CrowdStrike에서 생성한 값입니다.
* **앱 ID**: 연결을 식별할 레이블을 입력합니다.
* 영숫자(a-z, A-Z, 0-9)는 최대 20자까지 허용됩니다.
* **멤버 Cid(선택 사항)**: CrowdStrike 클라이언트 ID 및 보안 비밀이 여러 CID에 액세스할 수 있는 경우 선택적으로 고객 ID(CID) 선택기를 입력합니다.
8. 클릭합니다 **설정**. 성공 화면으로 이동합니다:
* 선택적으로 하나 이상의 [디택션 팩](https://docs.panther.com/detections/panther-managed/packs).
* 다음 **이벤트가 처리되지 않으면 알러트를 발생시키기** 설정의 기본값은 **예**. 일정 시간이 지난 후 로그 소스에서 데이터 흐름이 멈추면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 시간 범위는 구성 가능하며 기본값은 24시간입니다.\\
## 지원되는 로그 유형
### Crowdstrike.EventStreams
Crowdstrike.EventStreams 로그는 Falcon 센서가 호스트에서 관찰하고 Falcon 콘솔의 **조사** 대시보드 및 검색에 표시되는 활동을 나타냅니다.
```yaml
스키마: Crowdstrike.EventStreams
설명: Falcon 센서가 호스트에서 관찰하고 Falcon 콘솔의 조사 대시보드 및 검색에 표시되는 활동과 관련된 이벤트
referenceURL: https://developer.crowdstrike.com/crowdstrike/docs/streaming-api-events
필드:
- 이름: event
필수: true
설명: 디택션 또는 감사 이벤트의 데이터
유형: object
필드:
- name: OperationName
설명: 작업 이름
유형: string
- name: ServiceName
설명: 서비스 이름
유형: string
- name: UTCTimestamp
설명: 작업이 수행된 시간(UNIX EPOCH 시간)
유형: timestamp
시간 형식:
- unix_auto
이벤트 시간 여부: true
- name: UserId
유형: string
지표:
- email
- name: UserIp
유형: string
지표:
- ip
- name: Success
유형: boolean
- name: ComputerName
설명: 호스트 이름
유형: string
지표:
- 호스트 이름
- 이름: Hostname
설명: 로컬 머신의 호스트 이름
유형: string
지표:
- 호스트 이름
- 이름: DetectDescription
description: |
공격자가 환경에서 수행하려 했던 작업에 대한 설명과 조사를 시작하는 방법에 대한 지침입니다. 참고: 이러한 설명은 강력하며 유용한 콘솔 환경을 제공하지만, 값이 정기적으로 업데이트되고 추가되므로 이 필드를 워크플로 구동에 사용하지 않는 것이 좋습니다.
유형: string
- 이름: Description
유형: string
- 이름: DetectId
설명: 디택션의 디택션 ID입니다. 디택션 해결 및 ThreatGraph와 같은 다른 API에서 사용할 수 있습니다.
유형: string
- 이름: CompositeId
유형: string
- 이름: FalconHostLink
설명: Falcon 콘솔에서 디택션 이벤트를 볼 수 있는 링크
유형: string
지표:
- url
- 이름: IOARuleInstanceId
유형: string
- 이름: IOARuleInstanceVersion
유형: string
- 이름: IOARuleName
유형: string
- 이름: IOARuleGroupName
유형: string
- name: FileName
유형: string
- name: FilePath
유형: string
- 이름: ProcessStartTime
설명: 프로세스가 시작된 타임스탬프(UNIX EPOCH 시간)
유형: timestamp
시간 형식:
- unix_auto
- 이름: ProcessEndTime
설명: 프로세스가 종료된 타임스탬프(UNIX EPOCH 시간)
유형: timestamp
시간 형식:
- unix_auto
- 이름: ProcessId
설명: 프로세스 ID
유형: string
- 이름: UserName
설명: 사용자 이름
유형: string
지표:
- username
- 이름: DetectName
description: |
참고: MITRE의 ATT&CK에 맞추어 DetectName 필드는 Objective, Tactic 및 Technique로 대체되었습니다. DetectName은 2019년 1월 16일에 더 이상 사용되지 않을 예정입니다 - 추가 정보
유형: string
- 이름: Name
유형: string
- 이름: CommandLine
설명: 이 프로세스를 생성하는 데 사용된 명령줄
유형: string
- 이름: MD5String
설명: MD5 해시
유형: string
지표:
- md5
- 이름: SHA1String
유형: string
지표:
- sha1
- 이름: SHA256String
설명: SHA256 해시
유형: string
지표:
- sha256
- name: MachineDomain
설명: 머신이 현재 가입된 Windows 도메인 이름
유형: string
- 이름: SensorId
설명: Falcon 센서 에이전트 ID
유형: string
- 이름: LocalIP
유형: string
지표:
- ip
- 이름: MACAddress
유형: string
지표:
- mac
- 이름: Objective
설명: 동작과 연결된 목표의 이름
유형: string
- 이름: PatternDispositionDescription
설명: 동작에 대해 수행된 작업과 연결된 패턴의 설명
유형: string
- 이름: PatternDispositionValue
설명: 동작에 대해 수행된 작업과 연결된 패턴의 숫자 ID
유형: bigint
- 이름: PatternDispositionFlags
유형: json
- 이름: DocumentsAccessed
유형: array
요소:
유형: object
필드:
- 이름: Timestamp
설명: 문서에 액세스한 시간(UNIX EPOCH 시간)
유형: timestamp
시간 형식:
- unix_auto
- 이름: Filename
description: |
액세스한 파일의 이름입니다. 참고: 디택션 요약에는 DocumentsAccessed_FileName 항목이 0개 이상 있을 수 있으며 각 DocumentsAccessed_FileName 항목에는 타임스탬프가 있습니다.
유형: string
- 이름: Filepath
description: |
문서에 액세스한 경우의 파일 경로입니다. 참고: 디택션 요약에는 DocumentsAccessed_FilePath 항목이 0개 이상 있을 수 있습니다.
유형: string
- 이름: Commands
유형: array
요소:
유형: string
- 이름: ParentProcessId
설명: 부모 프로세스 ID
유형: string
- 이름: ParentCommandLine
유형: string
- 이름: ParentImageFileName
유형: string
- 이름: GrandparentCommandLine
유형: string
- 이름: GrandparentImageFilename
유형: string
- 이름: NetworkAccesses
유형: array
요소:
유형: object
필드:
- 이름: ConnectionDirection
설명: 연결이 인바운드(1), 아웃바운드(0) 또는 둘 다 아님(2)인지 여부
유형: int
- 이름: LocalAddress
설명: 로컬 IP 주소
유형: string
지표:
- ip
- 이름: LocalPort
설명: 일반 포트 번호로 표시한 네트워크 연결의 로컬 포트입니다. (예: 수신 SSH 연결은 22)
유형: bigint
- 이름: Protocol
설명: RFC-1700 IP 프로토콜 식별자
유형: string
- 이름: RemoteAddress
설명: 원격 IP 주소
유형: string
지표:
- ip
- 이름: RemotePort
설명: 원격 포트
유형: bigint
- 이름: Severity
설명: 0(해당 없음), 1(정보), 2(낮음), 3(중간), 4(높음), 5(심각)
유형: float
- 이름: SeverityName
설명: 0(해당 없음), 1(정보), 2(낮음), 3(중간), 4(높음), 5(심각)
유형: string
- 이름: Tactic
설명: 동작과 연결된 전술의 이름
유형: string
- 이름: Technique
설명: 동작과 연결된 기법의 이름
유형: string
- name: AuditKeyValues
유형: array
요소:
유형: json
- 이름: IncidentType
유형: string
- 이름: IncidentStartTime
유형: timestamp
시간 형식:
- unix_auto
- 이름: IncidentEndTime
유형: timestamp
시간 형식:
- unix_auto
- 이름: IncidentId
유형: string
- 이름: State
유형: string
- 이름: FineScore
유형: float
- 이름: LateralMovement
유형: string
- 이름: SessionId
유형: string
지표:
- trace_id
- 이름: HostnameField
유형: string
지표:
- 호스트 이름
- 이름: StartTimestamp
유형: timestamp
시간 형식:
- unix_auto
- 이름: EndTimestamp
유형: timestamp
시간 형식:
- unix_auto
- 이름: metadata
필수: true
설명: 이 디택션 또는 감사 이벤트의 메타데이터
유형: object
필드:
- 이름: customerIDString
설명: 각 고객에게 CS가 할당한 고유 ID
유형: string
- 이름: offset
필수: true
description: |
offset=0에서 시작합니다. 각 새 이벤트(AuthActivityAuditEvent, DetectionSummaryEvent, UserActivityAuditEvent)는 오프셋 카운터를 하나씩 증가시킵니다. Falcon Streaming API에 다시 연결할 때 이벤트 수신을 시작할 지점을 API에 알리기 위해 오프셋 값을 지정할 수 있습니다. 생략하면 API는 offset=0부터 시작하는 이전의 모든 디택션 요약 또는 인증 이벤트를 반환합니다.
유형: bigint
- 이름: version
유형: string
- 이름: eventType
유형: string
- 이름: eventCreationTime
필수: true
설명: 이 이벤트가 생성된 시간(UNIX EPOCH 시간)
유형: timestamp
시간 형식:
- unix_auto
이벤트 시간 여부: true
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.panther.com/ko/data-onboarding/supported-logs/crowdstrike/event-streams.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.