> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/zeek.md). # Zeek 로그 ## 개요 Panther는 일반적인 방법을 통해 Zeek 로그 수집을 지원합니다 [데이터 전송](/ko/data-onboarding/data-transports.md) 옵션: Amazon Web Services(AWS) S3 및 SQS. ## Zeek 로그를 Panther에 온보딩하는 방법 이 로그를 Panther로 가져오려면: 1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**. 2. 클릭합니다 **새로 만들기**. 3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭합니다. 4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음, Panther의 해당 방법 구성 지침을 따르세요: 1. [AWS SQS](/ko/data-onboarding/data-transports/aws/sqs.md) 2. [AWS S3 버킷](/ko/data-onboarding/data-transports/aws/s3.md) 5. Data Transport 소스로 로그를 푸시하도록 Zeek를 구성합니다. * 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Zeek 문서를 참조하세요. ## 지원되는 로그 유형 ### Zeek.CaptureLoss Zeek CaptureLoss 로그는 패킷 캡처 프로세스가 측정 손실을 겪는 정도에 관한 증거를 기록합니다. 참조: [캡처 손실](https://docs.zeek.org/en/master/scripts/policy/misc/capture-loss.zeek.html) ```yaml 스키마: Zeek.CaptureLoss 설명: Zeek CaptureLoss. 패킷 캡처 프로세스가 측정 손실을 겪는 정도에 관한 증거를 기록합니다 참조 URL: https://docs.zeek.org/en/master/scripts/policy/misc/capture-loss.zeek.html 필드: - 이름: acks 필수: true 유형: bigint - 이름: 간격 필수: true 유형: bigint - 이름: peer 필수: true 유형: string - 이름: percent_lost 필수: true 유형: float - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: ts_delta 필수: true 유형: float ``` ### Zeek.Conn 참조: [conn.log](https://docs.zeek.org/en/master/logs/conn.html) ```yaml 스키마: Zeek.Conn 설명: Zeek Conn 참조 URL: https://docs.zeek.org/en/master/logs/conn.html 필드: - 이름: service 유형: string - 이름: duration 유형: float - 이름: orig_bytes 유형: bigint - 이름: resp_bytes 유형: bigint - 이름: history 유형: string - 이름: conn_state 필수: true 유형: string - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: local_orig 필수: true 유형: boolean - 이름: local_resp 필수: true 유형: boolean - 이름: missed_bytes 필수: true 유형: bigint - 이름: orig_ip_bytes 필수: true 유형: bigint - 이름: orig_pkts 필수: true 유형: bigint - 이름: proto 필수: true 유형: string - 이름: resp_ip_bytes 필수: true 유형: bigint - 이름: resp_pkts 필수: true 유형: bigint - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id - 이름: uid2 유형: string 지표: - trace_id ``` ### Zeek.DHCP 참조: [dhcp.log](https://docs.zeek.org/en/master/logs/dhcp.html) ```yaml 스키마: Zeek.DHCP 설명: Zeek DHCP 참조 URL: https://docs.zeek.org/en/master/logs/dhcp.html 필드: - 이름: host_name 유형: string 지표: - domain - 이름: requested_addr 유형: string 지표: - ip - 이름: duration 필수: true 유형: float - 이름: mac 필수: true 유형: string 지표: - mac - 이름: msg_types 필수: true 유형: array 요소: 유형: string - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uids 필수: true 유형: array 요소: 유형: string 지표: - trace_id ``` ### Zeek.DNS Zeek DNS 활동 참조: [Zeek 문서 - DNS::info](https://docs.zeek.org/en/current/scripts/base/protocols/dns/main.zeek.html#type-DNS::Info) ```yaml 스키마: Zeek.DNS 설명: Zeek DNS 활동 참조 URL: https://docs.zeek.org/en/current/scripts/base/protocols/dns/main.zeek.html#type-DNS::Info 필드: - 이름: ts 필수: true 설명: 연결된 연결을 통해 DNS 프로토콜 메시지가 관찰되는 가장 이른 시간입니다. 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 설명: DNS 메시지가 전송되는 연결의 고유 식별자입니다. 유형: string - 이름: id.orig_h 필수: true 설명: 발신자의 IP 주소입니다. 유형: string 지표: - ip - 이름: id.orig_p 필수: true 설명: 발신자의 포트 번호입니다. 유형: int - 이름: id.resp_h 필수: true 설명: 응답자의 IP 주소입니다. 유형: string 지표: - ip - 이름: id.resp_p 필수: true 설명: 응답자의 포트 번호입니다. 유형: int - 이름: proto 필수: true 설명: 연결의 전송 계층 프로토콜입니다. 유형: string - 이름: trans_id 설명: DNS 쿼리를 생성한 프로그램이 할당한 16비트 식별자입니다. 미해결 쿼리에 대한 응답을 일치시키기 위해 응답에서도 사용됩니다. 유형: int - 이름: query 설명: DNS 쿼리의 대상인 도메인 이름입니다. 유형: string 지표: - domain - 이름: qclass 설명: 쿼리의 클래스를 지정하는 QCLASS 값입니다. 유형: bigint - 이름: qclass_name 설명: 쿼리 클래스의 설명적 이름입니다. 유형: string - 이름: qtype 설명: 쿼리 유형을 지정하는 QTYPE 값입니다. 유형: bigint - 이름: qtype_name 설명: 쿼리 유형의 설명적 이름입니다. 유형: string - 이름: rcode 설명: DNS 응답 메시지의 응답 코드 값입니다. 유형: bigint - 이름: rcode_name 설명: 응답 코드 값의 설명적 이름입니다. 유형: string - 이름: AA 설명: 응답 메시지의 권한 있는 응답 비트는 응답하는 이름 서버가 질문 섹션의 도메인 이름에 대한 권한 서버임을 지정합니다. 유형: boolean - 이름: TC 설명: 잘림 비트는 메시지가 잘렸음을 지정합니다. 유형: boolean - 이름: RD 설명: 요청 메시지의 재귀 요청 비트는 클라이언트가 이 쿼리에 대한 재귀 서비스를 원함을 나타냅니다. 유형: boolean - 이름: RA 설명: 응답 메시지의 재귀 가능 비트는 이름 서버가 재귀 쿼리를 지원함을 나타냅니다. 유형: boolean - 이름: Z 설명: 쿼리와 응답에서 일반적으로 0인 예약 필드입니다. 유형: bigint - 이름: answers 설명: 쿼리 응답에 포함된 리소스 설명 집합입니다. 유형: array 요소: 유형: string 지표: - 호스트 이름 - 이름: TTLs 설명: answers 필드에 설명된 관련 RR의 캐싱 간격(초 단위)입니다. 유형: array 요소: 유형: float - 이름: rejected 설명: DNS 쿼리가 서버에 의해 거부되었습니다. 유형: boolean ``` ### Zeek.DPD Zeek 동적 프로토콜 디택션. 참조: [dpd.log](https://docs.zeek.org/en/master/logs/dpd.html) ```yaml 스키마: Zeek.DPD 설명: Zeek 동적 프로토콜 디택션 참조 URL: https://docs.zeek.org/en/master/logs/dpd.html 필드: - 이름: analyzer 필수: true 유형: string - 이름: failure_reason 필수: true 유형: string - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: proto 필수: true 유형: string - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id ``` ### Zeek.Files 참조: [files.log](https://docs.zeek.org/en/master/logs/files.html) ```yaml 스키마: Zeek.Files 설명: Zeek 파일 참조 URL: https://docs.zeek.org/en/master/logs/files.html 필드: - 이름: analyzers 필수: true 유형: array 요소: 유형: string - 이름: conn_uids 필수: true 유형: array 요소: 유형: string 지표: - trace_id - 이름: depth 필수: true 유형: bigint - 이름: duration 필수: true 유형: float - 이름: fuid 필수: true 유형: string 지표: - trace_id - 이름: is_orig 필수: true 유형: boolean - 이름: local_orig 필수: true 유형: boolean - 이름: md5 필수: true 유형: string 지표: - md5 - 이름: mime_type 유형: string - 이름: missing_bytes 필수: true 유형: bigint - 이름: overflow_bytes 필수: true 유형: bigint - 이름: rx_hosts 필수: true 유형: array 요소: 유형: string 지표: - ip - 이름: seen_bytes 필수: true 유형: bigint - 이름: sha1 필수: true 유형: string 지표: - sha1 - name: source 필수: true 유형: string - 이름: timedout 필수: true 유형: boolean - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: tx_hosts 필수: true 유형: array 요소: 유형: string 지표: - ip ``` ### Zeek.HTTP 참조: [http.log](https://docs.zeek.org/en/master/logs/http.html) ```yaml 스키마: Zeek.HTTP 설명: Zeek HTTP 활동 참조 URL: https://docs.zeek.org/en/master/scripts/base/protocols/http/main.zeek.html#type-HTTP::Info 필드: - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: trans_depth 필수: true 유형: bigint - 이름: method 유형: string - name: host 유형: string 지표: - domain - 이름: uri 유형: string - 이름: referrer 유형: string - 이름: version 유형: string - 이름: user_agent 유형: string - name: origin 유형: string - 이름: request_body_len 유형: bigint - 이름: response_body_len 유형: bigint - 이름: status_code 유형: bigint - 이름: status_msg 유형: string - 이름: info_code 유형: bigint - 이름: info_msg 유형: string - 이름: tags 필수: true 유형: json - 이름: username 유형: string - 이름: password 유형: string - 이름: capture_password 유형: boolean - 이름: proxied 유형: array 요소: 유형: string - 이름: range_request 유형: boolean - 이름: orig_fuids 유형: array 요소: 유형: string 지표: - trace_id - 이름: orig_filenames 유형: array 요소: 유형: string - 이름: orig_mime_types 유형: array 요소: 유형: string - 이름: resp_fuids 유형: array 요소: 유형: string 지표: - trace_id - 이름: resp_filenames 유형: array 요소: 유형: string - 이름: resp_mime_types 유형: array 요소: 유형: string - 이름: current_entity 유형: json - 이름: orig_mime_depth 유형: bigint - 이름: resp_mime_depth 유형: bigint - 이름: client_header_names 유형: array 요소: 유형: string - 이름: server_header_names 유형: array 요소: 유형: string - 이름: omniture 유형: boolean - 이름: flash_version 유형: string - 이름: cookie_vars 유형: array 요소: 유형: string - 이름: uri_vars 유형: array 요소: 유형: string ``` ### Zeek.KnownHosts Zeek 알려진 호스트 - TCP 연결을 완료한 호스트를 추적합니다. 참조: [known-hosts.log](https://docs.zeek.org/en/master/scripts/policy/protocols/conn/known-hosts.zeek.html) ```yaml 스키마: Zeek.KnownHosts 설명: Zeek 알려진 호스트 - TCP 연결을 완료한 호스트를 추적합니다 참조 URL: https://docs.zeek.org/en/master/scripts/policy/protocols/conn/known-hosts.zeek.html 필드: - 이름: ts 필수: true 설명: 호스트가 감지된 타임스탬프입니다. 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - name: host 필수: true 설명: TCP 연결을 시작하거나 이에 응답하는 것으로 감지된 주소입니다. 유형: string 지표: - ip ``` ### Zeek.KnownServices known-services 로그의 열 필드를 포함하는 레코드 유형입니다. 참조: [known-services.log](https://docs.zeek.org/en/master/scripts/policy/protocols/conn/known-services.zeek.html) ```yaml 스키마: Zeek.KnownServices 설명: known-services 로그의 열 필드를 포함하는 레코드 유형입니다 참조 URL: https://docs.zeek.org/en/master/scripts/policy/protocols/conn/known-services.zeek.html 필드: - 이름: ts 필수: true 설명: 서비스가 관찰된 타임스탬프입니다 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - name: host 필수: true 설명: 서비스를 제공하는 시스템의 IP 주소입니다 유형: string 지표: - ip - 이름: port_num 필수: true 설명: 서비스가 실행 중인 포트 번호입니다 유형: bigint - 이름: port_proto 필수: true 설명: 서비스가 사용하는 전송 계층 프로토콜입니다 유형: string - 이름: service 필수: true 설명: 서비스의 연결 페이로드와 일치하는 프로토콜 집합입니다 유형: array 요소: 유형: string ``` ### Zeek.Notice 참조: [notice.log](https://docs.zeek.org/en/master/frameworks/notice.html) ```yaml 스키마: Zeek.Notice 설명: Zeek 알림 활동 참조 URL: https://docs.zeek.org/en/master/frameworks/notice.html 필드: - 이름: actions 필수: true 유형: array 요소: 유형: string - 이름: email_dest 유형: array 요소: 유형: string - 이름: dst 유형: string 지표: - ip - 이름: fuid 유형: string 지표: - trace_id - 이름: id.orig_h 유형: string 지표: - ip - 이름: id.orig_p 유형: bigint - 이름: id.resp_h 유형: string 지표: - ip - 이름: id.resp_p 유형: bigint - 이름: msg 필수: true 유형: string - 이름: note 필수: true 유형: string - 이름: p 유형: bigint - 이름: proto 유형: string - 이름: src 유형: string 지표: - ip - 이름: sub 유형: string - 이름: suppress_for 필수: true 유형: float - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 유형: string 지표: - trace_id ``` ### Zeek.NTP 참조: [ntp.log](ttps://docs.zeek.org/en/master/logs/ntp.html) ```yaml 스키마: Zeek.NTP 설명: Zeek 네트워크 시간 프로토콜 활동 참조 URL: https://docs.zeek.org/en/master/logs/ntp.html 필드: - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: mode 필수: true 유형: bigint - 이름: num_exts 필수: true 유형: bigint - 이름: org_time 필수: true 유형: float - 이름: poll 필수: true 유형: float - 이름: precision 필수: true 유형: float - 이름: rec_time 필수: true 유형: float - 이름: ref_id 필수: true 유형: string - 이름: ref_time 필수: true 유형: float - 이름: root_delay 필수: true 유형: float - 이름: root_disp 필수: true 유형: float - 이름: stratum 필수: true 유형: bigint - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id - 이름: version 필수: true 유형: bigint - 이름: xmt_time 필수: true 유형: float ``` ### Zeek.OCSP 참조: [ocsp.log](https://docs.zeek.org/en/master/scripts/base/files/x509/log-ocsp.zeek.html) ```yaml 스키마: Zeek.OCSP 설명: Zeek 온라인 인증서 상태 프로토콜 활동 참조 URL: https://docs.zeek.org/en/v4.0.0/scripts/policy/files/x509/log-ocsp.zeek.html 필드: - 이름: certStatus 필수: true 유형: string - 이름: hashAlgorithm 필수: true 유형: string - 이름: id 필수: true 유형: string - 이름: issuerKeyHash 필수: true 유형: string - 이름: issuerNameHash 필수: true 유형: string - 이름: nextUpdate 필수: true 유형: timestamp 시간 형식: - unix - 이름: serialNumber 필수: true 유형: string - 이름: revoketime 유형: timestamp 시간 형식: - unix - 이름: revokereason 유형: string - 이름: thisUpdate 필수: true 유형: timestamp 시간 형식: - unix - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true ``` ### Zeek.Reporter Zeek 내부 경고 및 오류. 참조: [reporter.log](https://docs.zeek.org/en/master/logs/capture-loss-and-reporter.html) ```yaml 스키마: Zeek.Reporter 설명: Zeek 내부 경고 및 오류 참조 URL: https://docs.zeek.org/en/master/logs/capture-loss-and-reporter.html 필드: - 이름: 수준 필수: true 유형: string - 이름: location 필수: true 유형: string - 이름: message 필수: true 유형: string - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true ``` ### Zeek.SIP 이 스키마는 Zeek SIP 분석 로그를 나타냅니다. 참조: [sip.log](https://docs.zeek.org/en/master/scripts/base/protocols/sip/main.zeek.html#id2) ```yaml 스키마: Zeek.SIP 설명: Zeek SIP 분석 참조 URL: https://docs.zeek.org/en/master/scripts/base/protocols/sip/main.zeek.html#id2 필드: - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix - 이름: uid 필수: true 유형: string 지표: - trace_id - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: trans_depth 필수: true 유형: bigint - 이름: method 유형: string - 이름: uri 유형: string - 이름: date 유형: string - 이름: request_from 유형: string - 이름: request_to 유형: string - 이름: response_from 유형: string - 이름: response_to 유형: string - 이름: reply_to 유형: string - 이름: call_id 유형: string - 이름: seq 유형: string - 이름: subject 유형: string - 이름: request_path 유형: array 요소: 유형: string - 이름: response_path 유형: array 요소: 유형: string - 이름: user_agent 유형: string - 이름: status_code 유형: bigint - 이름: status_msg 유형: string - 이름: warning 유형: string - 이름: request_body_len 유형: bigint - 이름: response_body_len 유형: bigint - 이름: content_type 유형: string ``` ### Zeek.Software 참조: [software.log](https://docs.zeek.org/en/master/logs/known-and-software.html#software-log) ```yaml 스키마: Zeek.Software 설명: Zeek 소프트웨어 활동 참조 URL: https://docs.zeek.org/en/master/logs/known-and-software.html#software-log 필드: - 이름: host_p 설명: host_p 유형: bigint - 이름: version.addl 설명: version.addl 유형: string - 이름: version.minor2 설명: version.minor2 유형: string - 이름: version.minor3 설명: version.minor3 유형: string - 이름: version.minor 설명: version.minor 유형: string - name: host 필수: true 설명: host 유형: string 지표: - ip - 이름: name 필수: true 설명: name 유형: string - 이름: software_type 필수: true 설명: software_type 유형: string - 이름: ts 필수: true 설명: ts 유형: timestamp 시간 형식: unix 이벤트 시간 여부: true - 이름: unparsed_version 필수: true 설명: unparsed_version 유형: string - 이름: version.major 설명: version.major 유형: bigint ``` ### Zeek.SSH 참조: [ssh.log](https://docs.zeek.org/en/master/logs/ssh.html) ```yaml 스키마: Zeek.Ssh 설명: Zeek ssh 활동 참조 URL: https://docs.zeek.org/en/current/scripts/base/protocols/ssh/main.zeek.html#type-SSH::Info 필드: - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: version 유형: string - 이름: auth_success 유형: boolean - 이름: auth_attempts 유형: bigint - 이름: direction 유형: string - name: client 유형: string - 이름: 서버 유형: string - 이름: cipher_alg 유형: string - 이름: mac_alg 유형: string - 이름: compression_alg 유형: string - 이름: kex_alg 유형: string - 이름: host_key_alg 유형: string - 이름: host_key 유형: string ``` ### Zeek.SSL 참조: [ssl.log](https://docs.zeek.org/en/master/logs/ssl.html) ````yaml 스키마: Zeek.Ssl 설명: Zeek SSL 활동 참조 URL: https://docs.zeek.org/en/master/logs/ssl.html 필드: - 이름: next_protocol 유형: string - 이름: cert_chain_fps 유형: array 요소: 유형: string - 이름: sni_matches_cert 유형: boolean - 이름: validation_status 유형: string - 이름: curve 유형: string - 이름: cipher 유형: string - 이름: established 필수: true 유형: boolean - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: resumed 필수: true 유형: boolean - 이름: server_name 유형: string 지표: - domain - 이름: ssl_history 필수: true 유형: string - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id - 이름: version 유형: string ``` ```` ### Zeek.Stats 참조: [stats.log](https://docs.zeek.org/en/master/scripts/policy/misc/stats.zeek.html) ```yaml 스키마: Zeek.Stats 설명: Zeek 로그 메모리/패킷/지연 통계. 참조 URL: https://docs.zeek.org/en/master/scripts/policy/misc/stats.zeek.html 필드: - 이름: active_dns_requests 필수: true 유형: bigint - 이름: active_files 필수: true 유형: bigint - 이름: active_icmp_conns 필수: true 유형: bigint - 이름: active_tcp_conns 필수: true 유형: bigint - 이름: active_timers 필수: true 유형: bigint - 이름: active_udp_conns 필수: true 유형: bigint - 이름: bytes_recv 필수: true 유형: bigint - 이름: dns_requests 필수: true 유형: bigint - 이름: events_proc 필수: true 유형: bigint - 이름: events_queued 필수: true 유형: bigint - 이름: 파일 필수: true 유형: bigint - 이름: icmp_conns 필수: true 유형: bigint - 이름: mem 필수: true 유형: bigint - 이름: peer 필수: true 유형: string - 이름: pkt_lag 필수: true 유형: float - 이름: pkts_dropped 필수: true 유형: bigint - 이름: pkts_link 필수: true 유형: bigint - 이름: pkts_proc 필수: true 유형: bigint - 이름: reassem_file_size 필수: true 유형: bigint - 이름: reassem_frag_size 필수: true 유형: bigint - 이름: reassem_tcp_size 필수: true 유형: bigint - 이름: reassem_unknown_size 필수: true 유형: bigint - 이름: tcp_conns 필수: true 유형: bigint - 이름: timers 필수: true 유형: bigint - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: udp_conns 필수: true 유형: bigint ``` ### Zeek.Telemetry 카운터 및 게이지 메트릭을 기록하는 데 사용되는 레코드 유형. 참조: [telemetry.log](https://docs.zeek.org/en/master/scripts/policy/frameworks/telemetry/log.zeek.html) ```yaml 스키마: Zeek.Telemetry 설명: 카운터 및 게이지 메트릭을 기록하는 데 사용되는 레코드 유형 참조 URL: https://docs.zeek.org/en/master/scripts/policy/frameworks/telemetry/log.zeek.html 필드: - 이름: ts 필수: true 설명: 보고 시각 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: peer 필수: true 설명: 이 로그를 생성한 피어(메트릭이 생성된 클러스터 노드를 식별함) 유형: string - 이름: metric_type 필수: true 설명: 기반 메트릭 유형에 따라 "counter" 또는 "gauge" 값을 포함함 유형: string - 이름: name 필수: true 설명: 메트릭의 이름 유형: string - 이름: labels 필수: true 설명: 개별 레이블의 이름 유형: array 요소: 유형: string - 이름: label_values 필수: true 설명: labels에 나열된 레이블 값 유형: array 요소: 유형: string - 이름: value 필수: true 설명: 이 메트릭의 값 유형: float ``` ### Zeek.Tunnel Zeek의 tunnel.log의 목적은 캡슐화된 트래픽을 식별하는 것입니다. 참조: [tunnel.log](https://docs.zeek.org/en/master/logs/tunnel.html) ```yaml 스키마: Zeek.Tunnel 설명: Zeek의 tunnel.log의 목적은 캡슐화된 트래픽을 식별하는 것입니다. 참조 URL: https://docs.zeek.org/en/master/logs/tunnel.html 필드: - 이름: action 필수: true 유형: string - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: tunnel_type 필수: true 유형: string ``` ### Zeek.Weird 참조: [weird.log](https://docs.zeek.org/en/master/logs/weird-and-notice.html) ```yaml 스키마: Zeek.Weird 설명: Zeek Weird 활동 참조 URL: https://docs.zeek.org/en/master/logs/weird-and-notice.html 필드: - name: source 유형: string - 이름: id.orig_h 필수: true 유형: string 지표: - ip - 이름: id.orig_p 필수: true 유형: bigint - 이름: id.resp_h 필수: true 유형: string 지표: - ip - 이름: id.resp_p 필수: true 유형: bigint - 이름: name 필수: true 유형: string - 이름: notice 필수: true 유형: boolean - 이름: peer 필수: true 유형: string - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true - 이름: uid 필수: true 유형: string 지표: - trace_id ``` ### Zeek.X509 참조: [x509.log](https://docs.zeek.org/en/master/logs/x509.html) ```yaml 스키마: Zeek.X509 설명: Zeek X509 참조 URL: https://docs.zeek.org/en/master/logs/x509.html 필드: - 이름: certificate.curve 유형: string - 이름: certificate.exponent 유형: bigint - 이름: basic_constraints.ca 필수: true 유형: boolean - 이름: certificate.issuer 필수: true 유형: string - 이름: certificate.key_alg 필수: true 유형: string - 이름: certificate.key_length 필수: true 유형: bigint - 이름: certificate.key_type 필수: true 유형: string - 이름: certificate.not_valid_after 필수: true 유형: timestamp 시간 형식: - unix - 이름: certificate.not_valid_before 필수: true 유형: timestamp 시간 형식: - unix - 이름: certificate.serial 필수: true 유형: string - 이름: certificate.sig_alg 필수: true 유형: string - 이름: certificate.subject 필수: true 유형: string - 이름: certificate.version 필수: true 유형: string - 이름: client_cert 필수: true 유형: boolean - 이름: fingerprint 필수: true 유형: string - 이름: host_cert 필수: true 유형: boolean - 이름: san.dns 필수: true 유형: array 요소: 유형: string - 이름: ts 필수: true 유형: timestamp 시간 형식: - unix 이벤트 시간 여부: true ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/data-onboarding/supported-logs/zeek.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.