> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/osquery.md). # Osquery 로그 ## 개요 Panther는 Osquery 로그를 수집하는 일반적인 [데이터 전송](/ko/data-onboarding/data-transports.md) 옵션: HTTP Source, Amazon Web Services (AWS) S3, SQS 및 CloudWatch. ## Panther에 Osquery 로그를 온보딩하는 방법 이 로그를 Panther에 연결하려면: 1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**. 2. 클릭합니다 **새로 만들기**. 3. "Osquery"를 검색한 다음 해당 타일을 클릭합니다. 4. 슬라이드아웃 패널에서 **전송 메커니즘** 이 통합에 사용할 것을 선택합니다. 5. 클릭합니다 **설정 시작**. 6. 선택한 데이터 전송 방법을 구성하려면 Panther의 지침을 따르세요: * [HTTP](/ko/data-onboarding/data-transports/http.md) * 이 소스로 전송되는 페이로드는 [모든 HTTP 소스의 페이로드 요구사항](https://docs.panther.com/data-onboarding/data-transports/http#payload-requirements). * HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요. * [AWS CloudWatch](/ko/data-onboarding/data-transports/aws/cloudwatch.md) * [AWS SQS](/ko/data-onboarding/data-transports/aws/sqs.md) * [AWS S3 버킷](/ko/data-onboarding/data-transports/aws/s3.md) 7. Osquery가 로그를 Data Transport 소스로 푸시하도록 구성합니다. * 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Osquery 문서를 참조하세요. ## Panther 내장 탐지 Panther의 기본 제공 [GitHub의 panther-analysis에 있는 Osquery 규칙](https://github.com/panther-labs/panther-analysis/tree/master/rules/osquery_rules). ## 지원되는 로그 유형 ### Osquery.Batch Batch에는 Osquery 배치 로그에 포함된 모든 데이터가 들어 있습니다. 참조: [로깅에 대한 Osquery 문서.](https://osquery.readthedocs.io/en/stable/deployment/logging/) (배치 형식 섹션으로 스크롤) ```yaml schema: Osquery.Batch description: Batch에는 OsQuery 배치 로그에 포함된 모든 데이터가 들어 있습니다 referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/ 필드: - name: calendarTime 필수: true description: 이벤트가 발생한 시간(UTC). 유형: timestamp 시간 형식: - '%a %b %d %H:%M:%S %Y %Z' - '%a %b %d %H:%M:%S %Y %Z' 이벤트 시간 여부: true - name: counter 필수: true description: '''counter''는 추가된 레코드가 초기 쿼리의 모든 레코드인지, 아니면 새 레코드인지 식별하는 데 사용할 수 있습니다. 초기 쿼리 결과에 모든 레코드가 포함된 경우 counter는 ''0''입니다''' 유형: bigint - name: decorations description: 장식 유형: json - name: diffResults 필수: true description: 계산된 차이. 유형: object 필드: - name: added description: 추가된 필드 유형: array 요소: 유형: json - name: removed description: 제거된 필드 유형: array 요소: 유형: json - name: epoch 필수: true description: 에포크. 'epoch'가 변경되면 counter는 다시 0으로 재설정됩니다. 유형: bigint - 이름: hostname 필수: true 설명: 호스트 이름 유형: string 지표: - 호스트 이름 - 이름: name 필수: true description: 이름 유형: string - name: unixTime 필수: true description: Unix 에포크 유형: bigint ``` ### Osquery.Differential Differential에는 Osquery 차등 로그에 포함된 모든 데이터가 들어 있습니다. 참조: [로깅에 대한 Osquery 문서.](https://osquery.readthedocs.io/en/stable/deployment/logging/) (Differential 로그 섹션으로 스크롤) ```yaml schema: Osquery.Differential description: Differential에는 OsQuery 차등 로그에 포함된 모든 데이터가 들어 있습니다 referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/ 필드: - 이름: action 필수: true description: Action은 이벤트 유형입니다 유형: string - name: calendarTime 필수: true description: 이벤트가 발생한 시간(UTC). 유형: timestamp 시간 형식: - '%a %b %d %H:%M:%S %Y %Z' - '%a %b %d %H:%M:%S %Y %Z' 이벤트 시간 여부: true - name: columns 필수: true description: 열 유형: json - name: counter description: '''counter''는 추가된 레코드가 초기 쿼리의 모든 레코드인지, 아니면 새 레코드인지 식별하는 데 사용할 수 있습니다. 초기 쿼리 결과에 모든 레코드가 포함된 경우 counter는 ''0''입니다''' 유형: bigint - name: decorations description: 장식 유형: json - name: epoch 필수: true description: 에포크. 'epoch'가 변경되면 counter는 다시 0으로 재설정됩니다. 유형: bigint - name: hostIdentifier 필수: true description: HostIdentifier 유형: string 지표: - 호스트 이름 - name: logType description: LogType 유형: string - name: log_type description: LogUnderscoreType 유형: string - 이름: name 필수: true description: 이름 유형: string - name: unixTime 필수: true description: UnixTime 유형: bigint - name: logNumericsAsNumbers description: LogNumericsAsNumbers 유형: boolean ``` ### Osquery.Snapshot Snapshot에는 Osquery 차등 로그에 포함된 모든 데이터가 들어 있습니다. 참조: [로깅에 대한 Osquery 문서.](https://osquery.readthedocs.io/en/stable/deployment/logging/) (Snapshot 로그 섹션으로 스크롤) ```yaml schema: Osquery.Snapshot description: Snapshot에는 OsQuery 차등 로그에 포함된 모든 데이터가 들어 있습니다 referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/ 필드: - name: calendarTime 필수: true description: 이벤트가 발생한 시간(UTC). 유형: timestamp 시간 형식: - '%a %b %d %H:%M:%S %Y %Z' - '%a %b %d %H:%M:%S %Y %Z' 이벤트 시간 여부: true - name: unixTime 필수: true description: UnixTime 유형: bigint - 이름: action 필수: true description: Action은 이벤트 유형입니다 유형: string - name: counter 필수: true description: '''counter''는 추가된 레코드가 초기 쿼리의 모든 레코드인지, 아니면 새 레코드인지 식별하는 데 사용할 수 있습니다. 초기 쿼리 결과에 모든 레코드가 포함된 경우 counter는 ''0''입니다''' 유형: bigint - name: decorations description: 장식 유형: json - name: epoch 필수: true description: 에포크. 'epoch'가 변경되면 counter는 다시 0으로 재설정됩니다. 유형: bigint - name: hostIdentifier 필수: true description: HostIdentifier. 기본적으로는 호스트 이름입니다' 유형: string 지표: - domain - 이름: name 필수: true description: 이름 유형: string - name: snapshot description: Snapshot 유형: array 요소: 유형: json ``` ### Osquery.Status Status는 데몬에 대한 진단용 osquery 로그입니다. 참조: [로깅에 대한 Osquery 문서.](https://osquery.readthedocs.io/en/stable/deployment/logging/) (Status 로그 섹션으로 스크롤) ```yaml schema: Osquery.Status description: Status는 데몬에 대한 진단용 osquery 로그입니다. referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/ 필드: - name: calendarTime 필수: true description: 이벤트가 발생한 시간(UTC). 유형: timestamp 시간 형식: - '%a %b %d %H:%M:%S %Y %Z' - '%a %b %d %H:%M:%S %Y %Z' 이벤트 시간 여부: true - name: decorations description: 장식 유형: json - name: filename 필수: true description: 파일 이름 유형: string - name: hostIdentifier 필수: true description: HostIdentifier 유형: string 지표: - domain - 이름: line 필수: true description: 줄 유형: bigint - name: logType description: LogType 유형: string - name: log_type description: LogUnderScoreType 유형: string - 이름: message description: 메시지 유형: string - 이름: severity 필수: true description: 심각도 유형: bigint - name: unixTime 필수: true description: UnixTime 유형: bigint - 이름: version 필수: true description: 버전 유형: string ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/data-onboarding/supported-logs/osquery.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.