> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/suricata.md). # Suricata 로그 ## 개요 Panther는 일반적인 방식으로 Suricata 로그 수집을 지원합니다 [데이터 전송](/ko/data-onboarding/data-transports.md) 옵션: Amazon Web Services(AWS) S3, SQS 및 CloudWatch. ## Panther에 Suricata 로그를 온보딩하는 방법 이 로그를 Panther에 연결하려면: 1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**. 2. 클릭합니다 **새로 만들기**. 3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭합니다. 4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음, Panther의 해당 방법 구성 지침을 따르세요: * [AWS CloudWatch](https://docs.panther.com/data-onboarding/data-transports/cwl-source) * [AWS SQS](https://docs.panther.com/data-onboarding/data-transports/sqs) * [AWS S3 버킷](https://docs.panther.com/data-onboarding/data-transports/s3) 5. Suricata를 Data Transport 소스에 로그를 푸시하도록 구성합니다. * 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Suricata 문서를 참조하세요. ## 지원되는 로그 유형 ### Suricata.알러트 EVE JSON 출력의 알러트 이벤트 유형에 대한 Suricata 파서. 자세한 내용은 Suricata 문서를 참조하세요 참조: [Suricata.알러트](https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-output.html#alerts) ```yaml 파서: 네이티브: 이름: Suricata.알러트 필드: - 이름: 파일 설명: 파일 유형: array 요소: 유형: object 필드: - name: filename 필수: true 설명: 파일 이름 유형: string - 이름: 간격 필수: true 설명: 간격 유형: boolean - 이름: size 필수: true 설명: 크기 유형: bigint - 이름: state 필수: true 설명: 상태 유형: string - 이름: 저장됨 필수: true 설명: 저장됨 유형: boolean - 이름: tx_id 필수: true 설명: tx_id 유형: bigint - 이름: tx_id 설명: tx_id 유형: bigint - 이름: HTTP 설명: HTTP 유형: object 필드: - 이름: HTTP 콘텐츠 유형 설명: HTTP 콘텐츠 유형 유형: string - 이름: hostname 설명: 호스트 이름 유형: string - 이름: HTTP 메서드 설명: HTTP 메서드 유형: string - 이름: HTTP 사용자 에이전트 설명: HTTP 사용자 에이전트 유형: string - 이름: length 설명: 길이 유형: bigint - 이름: protocol 설명: 프로토콜 유형: string - 이름: status 설명: 상태 유형: bigint - 이름: url 설명: URL 유형: string - 이름: SSH 설명: SSH 유형: object 필드: - 이름: 서버 설명: 서버 유형: object 필드: - 이름: 프로토콜 버전 필수: true 설명: 프로토콜 버전 유형: float - 이름: 소프트웨어 버전 필수: true 설명: 소프트웨어 버전 유형: string - 이름: app_proto_tc 설명: app_proto_tc 유형: string - 이름: TLS 설명: TLS 유형: object 필드: - 이름: SNI 설명: SNI 유형: string 지표: - ip - 이름: JA3 필수: true 설명: JA3 유형: object 필드: - 이름: 해시 필수: true 설명: 해시 유형: string - 이름: 문자열 필수: true 설명: 문자열 유형: string - 이름: version 필수: true 설명: 버전 유형: string - 이름: 앱 프로토콜 설명: 앱 프로토콜 유형: string - 이름: metadata 설명: 메타데이터 유형: object 필드: - 이름: flowbits 설명: flowbits 유형: array 요소: 유형: string - 이름: flowints 설명: flowints 유형: object 필드: - 이름: applayer.anomaly.count 설명: applayer.anomaly.count 유형: bigint - 이름: 알러트 필수: true 설명: 알러트 유형: object 필드: - 이름: metadata 설명: 메타데이터 유형: object 필드: - 이름: 이전 범주 설명: 이전 범주 유형: array 요소: 유형: string - 이름: 영향받는 제품 설명: 영향받는 제품 유형: array 요소: 유형: string - 이름: 공격 대상 설명: 공격 대상 유형: array 요소: 유형: string - 이름: 배포 설명: 배포 유형: array 요소: 유형: string - 이름: 시그니처 심각도 설명: 시그니처 심각도 유형: array 요소: 유형: string - name: tag 설명: 태그 유형: array 요소: 유형: string - 이름: created_at 필수: true 설명: 생성 시각 유형: array 요소: 유형: float - 이름: 업데이트 시각 필수: true 설명: 업데이트 시각 유형: array 요소: 유형: float - 이름: action 필수: true 설명: 동작 유형: string - 이름: category 필수: true 설명: 범주 유형: string - 이름: gid 필수: true 설명: gid 유형: bigint - 이름: rev 필수: true 설명: rev 유형: bigint - 이름: severity 필수: true 설명: severity 유형: bigint - 이름: 시그니처 필수: true 설명: 시그니처 유형: string - 이름: 시그니처 ID 필수: true 설명: 시그니처 ID 유형: bigint - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: dest_port 필수: true 설명: 목적지 포트 유형: bigint - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: 흐름 필수: true 설명: 흐름 유형: object 필드: - 이름: 클라이언트로의 바이트 수 필수: true 설명: 클라이언트로의 바이트 수 유형: bigint - 이름: 서버로의 바이트 수 필수: true 설명: 서버로의 바이트 수 유형: bigint - 이름: 클라이언트로의 패킷 수 필수: true 설명: 클라이언트로의 패킷 수 유형: bigint - 이름: 서버로의 패킷 수 필수: true 설명: 서버로의 패킷 수 유형: bigint - 이름: 시작 필수: true 설명: 시작 유형: string - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: src_port 필수: true 설명: 출발지 포트 유형: bigint - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true ``` ### Suricata.이상 EVE JSON 출력의 이상 이벤트 유형에 대한 Suricata 파서. 참조: [EVE JSON 출력 이상에 대한 Suricata 문서.](https://suricata.readthedocs.io/en/suricata-5.0.2/output/eve/eve-json-output.html#anomaly) | 열 | 유형 | 설명 | | --------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------- | | **`이상`** | `{ "code":bigint, "event":string, "layer":string, "type":string }` | Suricata 이상 | | `앱 프로토콜` | `문자열` | Suricata 이상 앱 프로토콜 | | `커뮤니티 ID` | `문자열` | Suricata 이상 커뮤니티 ID | | `목적지 IP` | `문자열` | Suricata 이상 목적지 IP | | `목적지 포트` | `정수` | Suricata 이상 목적지 포트 | | **`이벤트 유형`** | `문자열` | Suricata 이상 이벤트 유형 | | `흐름 ID` | `빅정수` | Suricata 이상 흐름 ID | | `ICMP 코드` | `빅정수` | Suricata 이상 ICMP 코드 | | `ICMP 유형` | `빅정수` | Suricata 이상 ICMP 유형 | | `메타데이터` | `{ "flowbits":[string], "flowints":{ "applayer_anomaly_count":bigint, "http_anomaly_count":bigint, "tcp_retransmission_count":bigint, "tls_anomaly_count":bigint } }` | Suricata 이상 메타데이터 | | `패킷` | `문자열` | Suricata 이상 패킷 | | `패킷 정보` | `{ "linktype":bigint }` | Suricata 이상 패킷 정보 | | `pcap 개수` | `빅정수` | Suricata 이상 pcap 개수 | | `pcap 파일 이름` | `문자열` | Suricata 이상 pcap 파일 이름 | | `프로토콜` | `빅정수` | Suricata 이상 프로토콜 | | `출발지 IP` | `문자열` | Suricata 이상 출발지 IP | | `출발지 포트` | `정수` | Suricata 이상 출발지 포트 | | **`타임스탬프`** | `타임스탬프` | Suricata 이상 타임스탬프 | | `tx_id` | `빅정수` | Suricata 이상 tx\_id | | `VLAN` | `[빅정수]` | Suricata 이상 VLAN | | **`p_log_type`** | `문자열` | Panther가 로그 유형을 가진 필드를 추가함 | | **`p_row_id`** | `문자열` | Panther가 테이블 내 고유 ID가 있는 필드를 추가함 | | **`p_event_time`** | `타임스탬프` | Panther가 표준화된 이벤트 시간(UTC)을 추가함 | | **`p_parse_time`** | `타임스탬프` | Panther가 표준화된 로그 파싱 시간(UTC)을 추가함 | | `p_source_id` | `문자열` | Panther가 소스 ID가 있는 필드를 추가함 | | `p_source_label` | `문자열` | Panther가 소스 레이블이 있는 필드를 추가함 | | `p_any_ip_addresses` | `[string]` | Panther가 행과 관련된 IP 주소 모음을 가진 필드를 추가함 | | `p_any_domain_names` | `[string]` | Panther가 행과 관련된 도메인 이름 모음을 가진 필드를 추가함 | | `p_any_sha1_hashes` | `[string]` | Panther가 행과 관련된 SHA1 해시 모음을 가진 필드를 추가함 | | `p_any_md5_hashes` | `[string]` | Panther가 행과 관련된 MD5 해시 모음을 가진 필드를 추가함 | | `p_any_sha256_hashes` | `[string]` | Panther가 행과 관련된 모든 알고리즘의 SHA256 해시 모음을 가진 필드를 추가함 | ### Suricata.DHCP EVE JSON 출력의 DHCP 이벤트 유형에 대한 Suricata 파서. 참조: [Suricata.DHCP](https://suricata.readthedocs.io/en/suricata-5.0.2/output/eve/eve-json-output.html) ```yaml 파서: 네이티브: 이름: Suricata.DHCP 설명: EVE JSON 출력의 DHCP 이벤트 유형에 대한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-5.0.2/output/eve/eve-json-output.html 필드: - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: dest_port 필수: true 설명: 목적지 포트 유형: bigint - 이름: DHCP 필수: true 설명: DHCP 유형: object 필드: - 이름: 할당된 IP 필수: true 설명: 할당된 IP 유형: string 지표: - ip - 이름: 클라이언트 MAC 필수: true 설명: 클라이언트 MAC 유형: string - 이름: DHCP 유형 필수: true 설명: DHCP 유형 유형: string - 이름: hostname 필수: true 설명: 호스트 이름 유형: string - 이름: id 필수: true 설명: ID 유형: string 지표: - trace_id - 이름: type 필수: true 설명: type 유형: string - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: src_port 필수: true 설명: 출발지 포트 유형: bigint - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true ``` ### Suricata.DNS EVE JSON 출력에서 DNS 이벤트 유형을 위한 Suricata 파서. 참조: [Suricata의 EVE JSON 출력 DNS 문서.](https://suricata.readthedocs.io/en/suricata-5.0.2/output/eve/eve-json-output.html#dns) ```yaml 스키마: Suricata.DNS 설명: EVE JSON 출력에서 DNS 이벤트 유형을 위한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-5.0.2/output/eve/eve-json-output.html#dns 필드: - 이름: community_id 설명: Suricata DNS CommunityID 유형: string - 이름: dns 필수: true 설명: Suricata DNS DNS 유형: object 필드: - 이름: aa 설명: Suricata DNS 상세 정보 Aa 유형: boolean - 이름: answers 설명: Suricata DNS 상세 정보 Answers 유형: array 요소: 유형: object 필드: - 이름: rdata 필수: true 설명: Suricata DNS 상세 정보 Answers Rdata 유형: string 지표: - 호스트 이름 - 이름: rrname 필수: true 설명: Suricata DNS 상세 정보 Answers Rrname 유형: string 지표: - domain - 이름: rrtype 필수: true 설명: Suricata DNS 상세 정보 Answers Rrtype 유형: string - 이름: ttl 필수: true 설명: Suricata DNS 상세 정보 Answers TTL 유형: bigint - 이름: authorities 설명: Suricata DNS 상세 정보 Authorities 유형: array 요소: 유형: object 필드: - 이름: rrname 필수: true 설명: Suricata DNS 상세 정보 Authorities Rrname 유형: string - 이름: rrtype 필수: true 설명: Suricata DNS 상세 정보 Authorities Rrtype 유형: string - 이름: soa 필수: true 유형: object 필드: - 이름: expire 필수: true 유형: bigint - 이름: minimum 필수: true 유형: bigint - 이름: mname 필수: true 유형: string - 이름: refresh 필수: true 유형: bigint - 이름: retry 필수: true 유형: bigint - 이름: rname 필수: true 유형: string - 이름: serial 필수: true 유형: bigint - 이름: ttl 필수: true 설명: Suricata DNS 상세 정보 Authorities TTL 유형: bigint - 이름: flags 설명: Suricata DNS 상세 정보 Flags 유형: string - 이름: grouped 설명: Suricata DNS 상세 정보 Grouped 유형: object 필드: - 이름: A 설명: Suricata DNS 상세 정보 Grouped A 유형: array 요소: 유형: string 지표: - ip - 이름: AAAA 설명: Suricata DNS 상세 정보 Grouped Aaaa 유형: array 요소: 유형: string 지표: - ip - 이름: CNAME 설명: Suricata DNS 상세 정보 Grouped Cname 유형: array 요소: 유형: string 지표: - domain - 이름: MX 설명: Suricata DNS 상세 정보 Grouped Mx 유형: array 요소: 유형: string 지표: - domain - 이름: PTR 설명: Suricata DNS 상세 정보 Grouped Ptr 유형: array 요소: 유형: string - 이름: TXT 설명: Suricata DNS 상세 정보 Grouped Txt 유형: array 요소: 유형: string - 이름: id 필수: true 설명: Suricata DNS 상세 정보 ID 유형: bigint - 이름: qr 설명: Suricata DNS 상세 정보 Qr 유형: boolean - 이름: ra 설명: Suricata DNS 상세 정보 Ra 유형: boolean - 이름: rcode 설명: Suricata DNS 상세 정보 Rcode 유형: string - 이름: rd 설명: Suricata DNS 상세 정보 Rd 유형: boolean - 이름: rrname 설명: Suricata DNS 상세 정보 Rrname 유형: string 지표: - domain - 이름: rdata 설명: Suricata DNS 상세 정보 RData 유형: string 지표: - ip - 이름: rrtype 설명: Suricata DNS 상세 정보 Rrtype 유형: string - 이름: ttl 설명: Suricata DNS 상세 정보 TTL 유형: bigint - 이름: tx_id 설명: Suricata DNS 상세 정보 TxID 유형: bigint - 이름: type 설명: Suricata DNS 상세 정보 Type 유형: string - 이름: version 설명: Suricata DNS 상세 정보 Version 유형: bigint - 이름: dest_ip 필수: true 설명: Suricata DNS 대상 IP 유형: string 지표: - ip - 이름: dest_port 설명: Suricata DNS 대상 포트 유형: int - 이름: event_type 필수: true 설명: Suricata DNS 이벤트 유형 유형: string - 이름: 흐름 ID 필수: true 설명: Suricata DNS Flow ID 유형: bigint 지표: - trace_id - 이름: pcap_cnt 설명: Suricata DNS PcapCnt 유형: bigint - 이름: pcap_filename 설명: Suricata DNS PcapFilename 유형: string - 이름: proto 필수: true 설명: Suricata DNS 프로토콜 유형: string - 이름: 입력 인터페이스 유형: string - 이름: src_ip 필수: true 설명: Suricata DNS 소스 IP 유형: string 지표: - ip - 이름: src_port 설명: Suricata DNS 소스 포트 유형: int - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp 시간 형식: - '%Y-%m-%dT%H:%M:%S.%f%z' 이벤트 시간 여부: true - 이름: vlan 설명: Suricata DNS VLAN 유형: array 요소: 유형: bigint ``` ### Suricata.FileInfo EVE JSON 출력에서 FileInfo 이벤트 유형을 위한 Suricata 파서. 참조: [EVE 파일 정보를 파일 및 저장](https://suricata.readthedocs.io/en/suricata-6.0.0/file-extraction/file-extraction.html#file-store-and-eve-fileinfo). ```yaml 스키마: Suricata.FileInfo 파서: 네이티브: 이름: Suricata.FileInfo 설명: EVE JSON 출력에서 FileInfo 이벤트 유형을 위한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-6.0.0/file-extraction/file-extraction.html#file-store-and-eve-fileinfo 필드: - 이름: 앱 프로토콜 필수: true 설명: 앱 프로토콜 유형: string - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: dest_port 필수: true 설명: 목적지 포트 유형: bigint - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: fileinfo 필수: true 설명: fileinfo 유형: object 필드: - name: filename 필수: true 설명: 파일 이름 유형: string - 이름: 간격 필수: true 설명: 간격 유형: boolean - 이름: size 필수: true 설명: 크기 유형: bigint - 이름: state 필수: true 설명: 상태 유형: string - 이름: 저장됨 필수: true 설명: 저장됨 유형: boolean - 이름: tx_id 필수: true 설명: tx_id 유형: bigint - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: HTTP 필수: true 설명: HTTP 유형: object 필드: - 이름: HTTP 사용자 에이전트 설명: HTTP 사용자 에이전트 유형: string - 이름: HTTP 콘텐츠 유형 설명: HTTP 콘텐츠 유형 유형: string - 이름: hostname 필수: true 설명: 호스트 이름 유형: string - 이름: HTTP 메서드 필수: true 설명: HTTP 메서드 유형: string - 이름: length 필수: true 설명: 길이 유형: bigint - 이름: protocol 필수: true 설명: 프로토콜 유형: string - 이름: status 필수: true 설명: 상태 유형: bigint - 이름: url 필수: true 설명: URL 유형: string - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: src_port 필수: true 설명: 출발지 포트 유형: bigint - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true ``` ### Suricata.Flow EVE JSON 출력에서 Flow 이벤트 유형을 위한 Suricata 파서. 참조: [Flow 이벤트 유형](https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-format.html#event-type-flow). ```yaml 스키마: Suricata.Flow 파서: 네이티브: 이름: Suricata.Flow 설명: EVE JSON 출력에서 Flow 이벤트 유형을 위한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-format.html#event-type-flow 필드: - 이름: app_proto_tc 설명: app_proto_tc 유형: string - 이름: icmp_code 설명: icmp_code 유형: bigint - 이름: icmp_type 설명: icmp_type 유형: bigint - 이름: metadata 설명: 메타데이터 유형: object 필드: - 이름: flowbits 설명: flowbits 유형: array 요소: 유형: string - 이름: flowints 설명: flowints 유형: object 필드: - 이름: applayer.anomaly.count 설명: applayer.anomaly.count 유형: bigint - 이름: 앱 프로토콜 설명: 앱 프로토콜 유형: string - 이름: tcp 설명: tcp 유형: object 필드: - 이름: psh 설명: psh 유형: boolean - 이름: cwr 설명: cwr 유형: boolean - 이름: ecn 설명: ecn 유형: boolean - 이름: fin 설명: fin 유형: boolean - 이름: rst 설명: rst 유형: boolean - 이름: ack 설명: ack 유형: boolean - 이름: state 설명: 상태 유형: string - 이름: syn 설명: syn 유형: boolean - 이름: tcp_flags 필수: true 설명: tcp_flags 유형: string - 이름: tcp_flags_tc 필수: true 설명: tcp_flags_tc 유형: string - 이름: tcp_flags_ts 필수: true 설명: tcp_flags_ts 유형: string - 이름: dest_port 설명: 목적지 포트 유형: bigint - 이름: src_port 설명: 출발지 포트 유형: bigint - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: 흐름 필수: true 설명: 흐름 유형: object 필드: - 이름: age 필수: true 설명: age 유형: bigint - 이름: alerted 필수: true 설명: alerted 유형: boolean - 이름: 클라이언트로의 바이트 수 필수: true 설명: 클라이언트로의 바이트 수 유형: bigint - 이름: 서버로의 바이트 수 필수: true 설명: 서버로의 바이트 수 유형: bigint - name: end 필수: true 설명: end 유형: string - 이름: 클라이언트로의 패킷 수 필수: true 설명: 클라이언트로의 패킷 수 유형: bigint - 이름: 서버로의 패킷 수 필수: true 설명: 서버로의 패킷 수 유형: bigint - 이름: reason 필수: true 설명: reason 유형: string - 이름: 시작 필수: true 설명: 시작 유형: string - 이름: state 필수: true 설명: 상태 유형: string - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true ``` ### Suricata.HTTP EVE JSON 출력에서 HTTP 이벤트 유형을 위한 Suricata 파서. 참조: [HTTP 이벤트 유형](https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-output.html#http). ```yaml 스키마: Suricata.HTTP 파서: 네이티브: 이름: Suricata.HTTP EVE JSON 출력에서 HTTP 이벤트 유형을 위한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-output.html#http 필드: - 이름: metadata 설명: 메타데이터 유형: object 필드: - 이름: flowbits 설명: flowbits 유형: array 요소: 유형: string - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: dest_port 필수: true 설명: 목적지 포트 유형: bigint - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: HTTP 필수: true 설명: HTTP 유형: object 필드: - 이름: HTTP 사용자 에이전트 설명: HTTP 사용자 에이전트 유형: string - 이름: HTTP 콘텐츠 유형 설명: HTTP 콘텐츠 유형 유형: string - 이름: hostname 설명: 호스트 이름 유형: string - 이름: HTTP 메서드 설명: HTTP 메서드 유형: string - 이름: length 설명: 길이 유형: bigint - 이름: protocol 설명: 프로토콜 유형: string - 이름: status 설명: 상태 유형: bigint - 이름: url 설명: URL 유형: string - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: src_port 필수: true 설명: 출발지 포트 유형: bigint - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true - 이름: tx_id 필수: true 설명: tx_id 유형: bigint ``` ### Suricata.SSH EVE JSON 출력에서 SSH 이벤트 유형을 위한 Suricata 파서. 참조: [SSH 이벤트 유형](https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-format.html#event-type-ssh). ```yaml 스키마: Suricata.SSH 파서: 네이티브: 이름: Suricata.SSH EVE JSON 출력에서 SSH 이벤트 유형을 위한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-format.html#event-type-ssh 필드: - 이름: metadata 설명: 메타데이터 유형: object 필드: - 이름: flowbits 설명: flowbits 유형: array 요소: 유형: string - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: dest_port 필수: true 설명: 목적지 포트 유형: bigint - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: src_port 필수: true 설명: 출발지 포트 유형: bigint - 이름: SSH 필수: true 설명: SSH 유형: object 필드: - name: client 설명: client 유형: object 필드: - 이름: 프로토콜 버전 필수: true 설명: 프로토콜 버전 유형: float - 이름: 소프트웨어 버전 필수: true 설명: 소프트웨어 버전 유형: string - 이름: 서버 설명: 서버 유형: object 필드: - 이름: 프로토콜 버전 필수: true 설명: 프로토콜 버전 유형: float - 이름: 소프트웨어 버전 필수: true 설명: 소프트웨어 버전 유형: string - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true - 이름: tx_id 필수: true 설명: tx_id 유형: bigint ``` ### Suricata.TLS EVE JSON 출력에서 TLS 이벤트 유형을 위한 Suricata 파서. 참조: [TLS 이벤트 유형](https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-format.html#event-type-tls). ```yaml 스키마: Suricata.TLS 파서: 네이티브: 이름: Suricata.TLS EVE JSON 출력에서 TLS 이벤트 유형을 위한 Suricata 파서. 참조 URL: https://suricata.readthedocs.io/en/suricata-6.0.0/output/eve/eve-json-format.html#event-type-tls 필드: - 이름: metadata 설명: 메타데이터 유형: object 필드: - 이름: flowints 설명: flowints 유형: object 필드: - 이름: applayer.anomaly.count 설명: applayer.anomaly.count 유형: bigint - 이름: flowbits 설명: flowbits 유형: array 요소: 유형: string - 이름: dest_ip 필수: true 설명: 목적지 IP 유형: string 지표: - ip - 이름: dest_port 필수: true 설명: 목적지 포트 유형: bigint - 이름: event_type 필수: true 설명: 이벤트 유형 유형: string - 이름: 흐름 ID 필수: true 설명: 흐름 ID 유형: bigint - 이름: 입력 인터페이스 필수: true 설명: 입력 인터페이스 유형: string - 이름: proto 필수: true 설명: 프로토콜 유형: string - 이름: src_ip 필수: true 설명: 출발지 IP 유형: string 지표: - ip - 이름: src_port 필수: true 설명: 출발지 포트 유형: bigint - 이름: timestamp 필수: true 설명: Suricata DNS 타임스탬프 유형: timestamp timeFormat: strftime=%Y-%m-%dT%H:%M:%S.%f%z 이벤트 시간 여부: true - 이름: TLS 필수: true 설명: TLS 유형: object 필드: - 이름: fingerprint 설명: fingerprint 유형: string - 이름: issuerdn 설명: issuerdn 유형: string - 이름: notafter 설명: notafter 유형: string - 이름: notbefore 설명: notbefore 유형: string - 이름: serial 설명: serial 유형: string - 이름: subject 설명: subject 유형: string - 이름: JA3 필수: true 설명: JA3 유형: object 필드: - 이름: 해시 설명: 해시 유형: string - 이름: 문자열 설명: 문자열 유형: string - 이름: ja3s 필수: true 설명: ja3s 유형: object 필드: - 이름: 해시 설명: 해시 유형: string - 이름: 문자열 설명: 문자열 유형: string - 이름: SNI 설명: SNI 유형: string - 이름: version 필수: true 설명: 버전 유형: string ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/data-onboarding/supported-logs/suricata.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.