Zeek 로그

Zeek 로그를 Panther Console에 연결

개요

Panther는 일반적인 방법을 통해 Zeek 로그 수집을 지원합니다 데이터 전송 옵션: Amazon Web Services(AWS) S3 및 SQS.

Zeek 로그를 Panther에 온보딩하는 방법

이 로그를 Panther로 가져오려면:

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭합니다.

4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음, Panther의 해당 방법 구성 지침을 따르세요:

   1. AWS SQS

   2. AWS S3 버킷

5. Data Transport 소스로 로그를 푸시하도록 Zeek를 구성합니다.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Zeek 문서를 참조하세요.

지원되는 로그 유형

Zeek.CaptureLoss

Zeek CaptureLoss 로그는 패킷 캡처 프로세스가 측정 손실을 겪는 정도에 관한 증거를 기록합니다.

참조: 캡처 손실

스키마: Zeek.CaptureLoss
설명: Zeek CaptureLoss. 패킷 캡처 프로세스가 측정 손실을 겪는 정도에 관한 증거를 기록합니다
참조 URL: https://docs.zeek.org/en/master/scripts/policy/misc/capture-loss.zeek.html
필드:
  - 이름: acks
    필수: true
    유형: bigint
  - 이름: 간격
    필수: true
    유형: bigint
  - 이름: peer
    필수: true
    유형: string
  - 이름: percent_lost
    필수: true
    유형: float
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: ts_delta
    필수: true
    유형: float

Zeek.Conn

참조: conn.log

스키마: Zeek.Conn
설명: Zeek Conn
참조 URL: https://docs.zeek.org/en/master/logs/conn.html
필드:
  - 이름: service
    유형: string
  - 이름: duration
    유형: float
  - 이름: orig_bytes
    유형: bigint
  - 이름: resp_bytes
    유형: bigint
  - 이름: history
    유형: string
  - 이름: conn_state
    필수: true
    유형: string
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: local_orig
    필수: true
    유형: boolean
  - 이름: local_resp
    필수: true
    유형: boolean
  - 이름: missed_bytes
    필수: true
    유형: bigint
  - 이름: orig_ip_bytes
    필수: true
    유형: bigint
  - 이름: orig_pkts
    필수: true
    유형: bigint
  - 이름: proto
    필수: true
    유형: string
  - 이름: resp_ip_bytes
    필수: true
    유형: bigint
  - 이름: resp_pkts
    필수: true
    유형: bigint
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: uid2
    유형: string
    지표:
      - trace_id

Zeek.DHCP

참조: dhcp.log

스키마: Zeek.DHCP
설명: Zeek DHCP
참조 URL: https://docs.zeek.org/en/master/logs/dhcp.html
필드:
  - 이름: host_name
    유형: string
    지표:
      - domain
  - 이름: requested_addr
    유형: string
    지표:
      - ip
  - 이름: duration
    필수: true
    유형: float
  - 이름: mac
    필수: true
    유형: string
    지표:
      - mac
  - 이름: msg_types
    필수: true
    유형: array
    요소:
      유형: string
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uids
    필수: true
    유형: array
    요소:
      유형: string
      지표:
        - trace_id

Zeek.DNS

Zeek DNS 활동

참조: Zeek 문서 - DNS::info

스키마: Zeek.DNS
설명: Zeek DNS 활동
참조 URL: https://docs.zeek.org/en/current/scripts/base/protocols/dns/main.zeek.html#type-DNS::Info
필드:
  - 이름: ts
    필수: true
    설명: 연결된 연결을 통해 DNS 프로토콜 메시지가 관찰되는 가장 이른 시간입니다.
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    설명: DNS 메시지가 전송되는 연결의 고유 식별자입니다.
    유형: string
  - 이름: id.orig_h
    필수: true
    설명: 발신자의 IP 주소입니다.
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    설명: 발신자의 포트 번호입니다.
    유형: int
  - 이름: id.resp_h
    필수: true
    설명: 응답자의 IP 주소입니다.
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    설명: 응답자의 포트 번호입니다.
    유형: int
  - 이름: proto
    필수: true
    설명: 연결의 전송 계층 프로토콜입니다.
    유형: string
  - 이름: trans_id
    설명: DNS 쿼리를 생성한 프로그램이 할당한 16비트 식별자입니다. 미해결 쿼리에 대한 응답을 일치시키기 위해 응답에서도 사용됩니다.
    유형: int
  - 이름: query
    설명: DNS 쿼리의 대상인 도메인 이름입니다.
    유형: string
    지표:
      - domain
  - 이름: qclass
    설명: 쿼리의 클래스를 지정하는 QCLASS 값입니다.
    유형: bigint
  - 이름: qclass_name
    설명: 쿼리 클래스의 설명적 이름입니다.
    유형: string
  - 이름: qtype
    설명: 쿼리 유형을 지정하는 QTYPE 값입니다.
    유형: bigint
  - 이름: qtype_name
    설명: 쿼리 유형의 설명적 이름입니다.
    유형: string
  - 이름: rcode
    설명: DNS 응답 메시지의 응답 코드 값입니다.
    유형: bigint
  - 이름: rcode_name
    설명: 응답 코드 값의 설명적 이름입니다.
    유형: string
  - 이름: AA
    설명: 응답 메시지의 권한 있는 응답 비트는 응답하는 이름 서버가 질문 섹션의 도메인 이름에 대한 권한 서버임을 지정합니다.
    유형: boolean
  - 이름: TC
    설명: 잘림 비트는 메시지가 잘렸음을 지정합니다.
    유형: boolean
  - 이름: RD
    설명: 요청 메시지의 재귀 요청 비트는 클라이언트가 이 쿼리에 대한 재귀 서비스를 원함을 나타냅니다.
    유형: boolean
  - 이름: RA
    설명: 응답 메시지의 재귀 가능 비트는 이름 서버가 재귀 쿼리를 지원함을 나타냅니다.
    유형: boolean
  - 이름: Z
    설명: 쿼리와 응답에서 일반적으로 0인 예약 필드입니다.
    유형: bigint
  - 이름: answers
    설명: 쿼리 응답에 포함된 리소스 설명 집합입니다.
    유형: array
    요소:
      유형: string
      지표:
        - 호스트 이름
  - 이름: TTLs
    설명: answers 필드에 설명된 관련 RR의 캐싱 간격(초 단위)입니다.
    유형: array
    요소:
      유형: float
  - 이름: rejected
    설명: DNS 쿼리가 서버에 의해 거부되었습니다.
    유형: boolean

Zeek.DPD

Zeek 동적 프로토콜 디택션.

참조: dpd.log

스키마: Zeek.DPD
설명: Zeek 동적 프로토콜 디택션
참조 URL: https://docs.zeek.org/en/master/logs/dpd.html
필드:
  - 이름: analyzer
    필수: true
    유형: string
  - 이름: failure_reason
    필수: true
    유형: string
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: proto
    필수: true
    유형: string
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id

Zeek.Files

참조: files.log

스키마: Zeek.Files
설명: Zeek 파일
참조 URL: https://docs.zeek.org/en/master/logs/files.html
필드:
  - 이름: analyzers
    필수: true
    유형: array
    요소:
      유형: string
  - 이름: conn_uids
    필수: true
    유형: array
    요소:
      유형: string
      지표:
        - trace_id
  - 이름: depth
    필수: true
    유형: bigint
  - 이름: duration
    필수: true
    유형: float
  - 이름: fuid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: is_orig
    필수: true
    유형: boolean
  - 이름: local_orig
    필수: true
    유형: boolean
  - 이름: md5
    필수: true
    유형: string
    지표:
      - md5
  - 이름: mime_type
    유형: string
  - 이름: missing_bytes
    필수: true
    유형: bigint
  - 이름: overflow_bytes
    필수: true
    유형: bigint
  - 이름: rx_hosts
    필수: true
    유형: array
    요소:
      유형: string
      지표:
        - ip
  - 이름: seen_bytes
    필수: true
    유형: bigint
  - 이름: sha1
    필수: true
    유형: string
    지표:
      - sha1
  - name: source
    필수: true
    유형: string
  - 이름: timedout
    필수: true
    유형: boolean
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: tx_hosts
    필수: true
    유형: array
    요소:
      유형: string
      지표:
        - ip

Zeek.HTTP

참조: http.log

스키마: Zeek.HTTP
설명: Zeek HTTP 활동
참조 URL: https://docs.zeek.org/en/master/scripts/base/protocols/http/main.zeek.html#type-HTTP::Info
필드:
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: trans_depth
    필수: true
    유형: bigint
  - 이름: method
    유형: string
  - name: host
    유형: string
    지표:
      - domain
  - 이름: uri
    유형: string
  - 이름: referrer
    유형: string
  - 이름: version
    유형: string
  - 이름: user_agent
    유형: string
  - name: origin
    유형: string
  - 이름: request_body_len
    유형: bigint
  - 이름: response_body_len
    유형: bigint
  - 이름: status_code
    유형: bigint
  - 이름: status_msg
    유형: string
  - 이름: info_code
    유형: bigint
  - 이름: info_msg
    유형: string
  - 이름: tags
    필수: true
    유형: json
  - 이름: username
    유형: string
  - 이름: password
    유형: string
  - 이름: capture_password
    유형: boolean
  - 이름: proxied
    유형: array
    요소:
      유형: string
  - 이름: range_request
    유형: boolean
  - 이름: orig_fuids
    유형: array
    요소:
      유형: string
      지표:
        - trace_id
  - 이름: orig_filenames
    유형: array
    요소:
      유형: string
  - 이름: orig_mime_types
    유형: array
    요소:
      유형: string
  - 이름: resp_fuids
    유형: array
    요소:
      유형: string
      지표:
        - trace_id
  - 이름: resp_filenames
    유형: array
    요소:
      유형: string
  - 이름: resp_mime_types
    유형: array
    요소:
      유형: string
  - 이름: current_entity
    유형: json
  - 이름: orig_mime_depth
    유형: bigint
  - 이름: resp_mime_depth
    유형: bigint
  - 이름: client_header_names
    유형: array
    요소:
      유형: string
  - 이름: server_header_names
    유형: array
    요소:
      유형: string
  - 이름: omniture
    유형: boolean
  - 이름: flash_version
    유형: string
  - 이름: cookie_vars
    유형: array
    요소:
      유형: string
  - 이름: uri_vars
    유형: array
    요소:
      유형: string

Zeek.KnownHosts

Zeek 알려진 호스트 - TCP 연결을 완료한 호스트를 추적합니다.

참조: known-hosts.log

스키마: Zeek.KnownHosts
설명: Zeek 알려진 호스트 - TCP 연결을 완료한 호스트를 추적합니다
참조 URL: https://docs.zeek.org/en/master/scripts/policy/protocols/conn/known-hosts.zeek.html
필드:
  - 이름: ts
    필수: true
    설명: 호스트가 감지된 타임스탬프입니다.
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - name: host
    필수: true
    설명: TCP 연결을 시작하거나 이에 응답하는 것으로 감지된 주소입니다.
    유형: string
    지표:
      - ip

Zeek.KnownServices

known-services 로그의 열 필드를 포함하는 레코드 유형입니다.

참조: known-services.log

스키마: Zeek.KnownServices
설명: known-services 로그의 열 필드를 포함하는 레코드 유형입니다
참조 URL: https://docs.zeek.org/en/master/scripts/policy/protocols/conn/known-services.zeek.html
필드:
  - 이름: ts
    필수: true
    설명: 서비스가 관찰된 타임스탬프입니다
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - name: host
    필수: true
    설명: 서비스를 제공하는 시스템의 IP 주소입니다
    유형: string
    지표:
      - ip
  - 이름: port_num
    필수: true
    설명: 서비스가 실행 중인 포트 번호입니다
    유형: bigint
  - 이름: port_proto
    필수: true
    설명: 서비스가 사용하는 전송 계층 프로토콜입니다
    유형: string
  - 이름: service
    필수: true
    설명: 서비스의 연결 페이로드와 일치하는 프로토콜 집합입니다
    유형: array
    요소:
      유형: string

Zeek.Notice

참조: notice.log

스키마: Zeek.Notice
설명: Zeek 알림 활동
참조 URL: https://docs.zeek.org/en/master/frameworks/notice.html
필드:
  - 이름: actions
    필수: true
    유형: array
    요소:
      유형: string
  - 이름: email_dest
    유형: array
    요소:
      유형: string
  - 이름: dst
    유형: string
    지표:
      - ip
  - 이름: fuid
    유형: string
    지표:
      - trace_id
  - 이름: id.orig_h
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    유형: bigint
  - 이름: id.resp_h
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    유형: bigint
  - 이름: msg
    필수: true
    유형: string
  - 이름: note
    필수: true
    유형: string
  - 이름: p
    유형: bigint
  - 이름: proto
    유형: string
  - 이름: src
    유형: string
    지표:
      - ip
  - 이름: sub
    유형: string
  - 이름: suppress_for
    필수: true
    유형: float
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    유형: string
    지표:
      - trace_id

Zeek.NTP

참조: ntp.log

스키마: Zeek.NTP
설명: Zeek 네트워크 시간 프로토콜 활동
참조 URL: https://docs.zeek.org/en/master/logs/ntp.html
필드:
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: mode
    필수: true
    유형: bigint
  - 이름: num_exts
    필수: true
    유형: bigint
  - 이름: org_time
    필수: true
    유형: float
  - 이름: poll
    필수: true
    유형: float
  - 이름: precision
    필수: true
    유형: float
  - 이름: rec_time
    필수: true
    유형: float
  - 이름: ref_id
    필수: true
    유형: string
  - 이름: ref_time
    필수: true
    유형: float
  - 이름: root_delay
    필수: true
    유형: float
  - 이름: root_disp
    필수: true
    유형: float
  - 이름: stratum
    필수: true
    유형: bigint
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: version
    필수: true
    유형: bigint
  - 이름: xmt_time
    필수: true
    유형: float

Zeek.OCSP

참조: ocsp.log

스키마: Zeek.OCSP
설명: Zeek 온라인 인증서 상태 프로토콜 활동
참조 URL: https://docs.zeek.org/en/v4.0.0/scripts/policy/files/x509/log-ocsp.zeek.html
필드:
  - 이름: certStatus
    필수: true
    유형: string
  - 이름: hashAlgorithm
    필수: true
    유형: string
  - 이름: id
    필수: true
    유형: string
  - 이름: issuerKeyHash
    필수: true
    유형: string
  - 이름: issuerNameHash
    필수: true
    유형: string
  - 이름: nextUpdate
    필수: true
    유형: timestamp
    시간 형식:
      - unix
  - 이름: serialNumber
    필수: true
    유형: string
  - 이름: revoketime
    유형: timestamp
    시간 형식:
      - unix
  - 이름: revokereason
    유형: string
  - 이름: thisUpdate
    필수: true
    유형: timestamp
    시간 형식:
      - unix
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true

Zeek.Reporter

Zeek 내부 경고 및 오류.

참조: reporter.log

스키마: Zeek.Reporter
설명: Zeek 내부 경고 및 오류
참조 URL: https://docs.zeek.org/en/master/logs/capture-loss-and-reporter.html
필드:
  - 이름: 수준
    필수: true
    유형: string
  - 이름: location
    필수: true
    유형: string
  - 이름: message
    필수: true
    유형: string
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true

Zeek.SIP

이 스키마는 Zeek SIP 분석 로그를 나타냅니다.

참조: sip.log

스키마: Zeek.SIP
설명: Zeek SIP 분석
참조 URL: https://docs.zeek.org/en/master/scripts/base/protocols/sip/main.zeek.html#id2
필드:
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: trans_depth
    필수: true
    유형: bigint
  - 이름: method
    유형: string
  - 이름: uri
    유형: string
  - 이름: date
    유형: string
  - 이름: request_from
    유형: string
  - 이름: request_to
    유형: string
  - 이름: response_from
    유형: string
  - 이름: response_to
    유형: string
  - 이름: reply_to
    유형: string
  - 이름: call_id
    유형: string
  - 이름: seq
    유형: string
  - 이름: subject
    유형: string
  - 이름: request_path
    유형: array
    요소:
      유형: string
  - 이름: response_path
    유형: array
    요소:
      유형: string
  - 이름: user_agent
    유형: string
  - 이름: status_code
    유형: bigint
  - 이름: status_msg
    유형: string
  - 이름: warning
    유형: string
  - 이름: request_body_len
    유형: bigint
  - 이름: response_body_len
    유형: bigint
  - 이름: content_type
    유형: string

Zeek.Software

참조: software.log

스키마: Zeek.Software
설명: Zeek 소프트웨어 활동
참조 URL: https://docs.zeek.org/en/master/logs/known-and-software.html#software-log
필드:
  - 이름: host_p
    설명: host_p
    유형: bigint
  - 이름: version.addl
    설명: version.addl
    유형: string
  - 이름: version.minor2
    설명: version.minor2
    유형: string
  - 이름: version.minor3
    설명: version.minor3
    유형: string
  - 이름: version.minor
    설명: version.minor
    유형: string
  - name: host
    필수: true
    설명: host
    유형: string
    지표:
      - ip
  - 이름: name
    필수: true
    설명: name
    유형: string
  - 이름: software_type
    필수: true
    설명: software_type
    유형: string
  - 이름: ts
    필수: true
    설명: ts
    유형: timestamp
    시간 형식: unix
    이벤트 시간 여부: true
  - 이름: unparsed_version
    필수: true
    설명: unparsed_version
    유형: string
  - 이름: version.major
    설명: version.major
    유형: bigint

Zeek.SSH

참조: ssh.log

스키마: Zeek.Ssh
설명: Zeek ssh 활동
참조 URL: https://docs.zeek.org/en/current/scripts/base/protocols/ssh/main.zeek.html#type-SSH::Info
필드:
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: version
    유형: string
  - 이름: auth_success
    유형: boolean
  - 이름: auth_attempts
    유형: bigint
  - 이름: direction
    유형: string
  - name: client
    유형: string
  - 이름: 서버
    유형: string
  - 이름: cipher_alg
    유형: string
  - 이름: mac_alg
    유형: string
  - 이름: compression_alg
    유형: string
  - 이름: kex_alg
    유형: string
  - 이름: host_key_alg
    유형: string
  - 이름: host_key
    유형: string

Zeek.SSL

참조: ssl.log

스키마: Zeek.Ssl
설명: Zeek SSL 활동
참조 URL: https://docs.zeek.org/en/master/logs/ssl.html
필드:
  - 이름: next_protocol
    유형: string
  - 이름: cert_chain_fps
    유형: array
    요소:
      유형: string
  - 이름: sni_matches_cert
    유형: boolean
  - 이름: validation_status
    유형: string
  - 이름: curve
    유형: string
  - 이름: cipher
    유형: string
  - 이름: established
    필수: true
    유형: boolean
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: resumed
    필수: true
    유형: boolean
  - 이름: server_name
    유형: string
    지표:
      - domain
  - 이름: ssl_history
    필수: true
    유형: string
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id
  - 이름: version
    유형: string

```

Zeek.Stats

참조: stats.log

스키마: Zeek.Stats
설명: Zeek 로그 메모리/패킷/지연 통계.
참조 URL: https://docs.zeek.org/en/master/scripts/policy/misc/stats.zeek.html
필드:
  - 이름: active_dns_requests
    필수: true
    유형: bigint
  - 이름: active_files
    필수: true
    유형: bigint
  - 이름: active_icmp_conns
    필수: true
    유형: bigint
  - 이름: active_tcp_conns
    필수: true
    유형: bigint
  - 이름: active_timers
    필수: true
    유형: bigint
  - 이름: active_udp_conns
    필수: true
    유형: bigint
  - 이름: bytes_recv
    필수: true
    유형: bigint
  - 이름: dns_requests
    필수: true
    유형: bigint
  - 이름: events_proc
    필수: true
    유형: bigint
  - 이름: events_queued
    필수: true
    유형: bigint
  - 이름: 파일
    필수: true
    유형: bigint
  - 이름: icmp_conns
    필수: true
    유형: bigint
  - 이름: mem
    필수: true
    유형: bigint
  - 이름: peer
    필수: true
    유형: string
  - 이름: pkt_lag
    필수: true
    유형: float
  - 이름: pkts_dropped
    필수: true
    유형: bigint
  - 이름: pkts_link
    필수: true
    유형: bigint
  - 이름: pkts_proc
    필수: true
    유형: bigint
  - 이름: reassem_file_size
    필수: true
    유형: bigint
  - 이름: reassem_frag_size
    필수: true
    유형: bigint
  - 이름: reassem_tcp_size
    필수: true
    유형: bigint
  - 이름: reassem_unknown_size
    필수: true
    유형: bigint
  - 이름: tcp_conns
    필수: true
    유형: bigint
  - 이름: timers
    필수: true
    유형: bigint
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: udp_conns
    필수: true
    유형: bigint

Zeek.Telemetry

카운터 및 게이지 메트릭을 기록하는 데 사용되는 레코드 유형.

참조: telemetry.log

스키마: Zeek.Telemetry
설명: 카운터 및 게이지 메트릭을 기록하는 데 사용되는 레코드 유형
참조 URL: https://docs.zeek.org/en/master/scripts/policy/frameworks/telemetry/log.zeek.html
필드:
  - 이름: ts
    필수: true
    설명: 보고 시각
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: peer
    필수: true
    설명: 이 로그를 생성한 피어(메트릭이 생성된 클러스터 노드를 식별함)
    유형: string
  - 이름: metric_type
    필수: true
    설명: 기반 메트릭 유형에 따라 "counter" 또는 "gauge" 값을 포함함
    유형: string
  - 이름: name
    필수: true
    설명: 메트릭의 이름
    유형: string
  - 이름: labels
    필수: true
    설명: 개별 레이블의 이름
    유형: array
    요소:
      유형: string
  - 이름: label_values
    필수: true
    설명: labels에 나열된 레이블 값
    유형: array
    요소:
      유형: string
  - 이름: value
    필수: true
    설명: 이 메트릭의 값
    유형: float

Zeek.Tunnel

Zeek의 tunnel.log의 목적은 캡슐화된 트래픽을 식별하는 것입니다.

참조: tunnel.log

스키마: Zeek.Tunnel
설명: Zeek의 tunnel.log의 목적은 캡슐화된 트래픽을 식별하는 것입니다.
참조 URL: https://docs.zeek.org/en/master/logs/tunnel.html
필드:
  - 이름: action
    필수: true
    유형: string
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: tunnel_type
    필수: true
    유형: string

Zeek.Weird

참조: weird.log

스키마: Zeek.Weird
설명: Zeek Weird 활동
참조 URL: https://docs.zeek.org/en/master/logs/weird-and-notice.html
필드:
  - name: source
    유형: string
  - 이름: id.orig_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.orig_p
    필수: true
    유형: bigint
  - 이름: id.resp_h
    필수: true
    유형: string
    지표:
      - ip
  - 이름: id.resp_p
    필수: true
    유형: bigint
  - 이름: name
    필수: true
    유형: string
  - 이름: notice
    필수: true
    유형: boolean
  - 이름: peer
    필수: true
    유형: string
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true
  - 이름: uid
    필수: true
    유형: string
    지표:
      - trace_id

Zeek.X509

참조: x509.log

스키마: Zeek.X509
설명: Zeek X509
참조 URL: https://docs.zeek.org/en/master/logs/x509.html
필드:
  - 이름: certificate.curve
    유형: string
  - 이름: certificate.exponent
    유형: bigint
  - 이름: basic_constraints.ca
    필수: true
    유형: boolean
  - 이름: certificate.issuer
    필수: true
    유형: string
  - 이름: certificate.key_alg
    필수: true
    유형: string
  - 이름: certificate.key_length
    필수: true
    유형: bigint
  - 이름: certificate.key_type
    필수: true
    유형: string
  - 이름: certificate.not_valid_after
    필수: true
    유형: timestamp
    시간 형식:
      - unix
  - 이름: certificate.not_valid_before
    필수: true
    유형: timestamp
    시간 형식:
      - unix
  - 이름: certificate.serial
    필수: true
    유형: string
  - 이름: certificate.sig_alg
    필수: true
    유형: string
  - 이름: certificate.subject
    필수: true
    유형: string
  - 이름: certificate.version
    필수: true
    유형: string
  - 이름: client_cert
    필수: true
    유형: boolean
  - 이름: fingerprint
    필수: true
    유형: string
  - 이름: host_cert
    필수: true
    유형: boolean
  - 이름: san.dns
    필수: true
    유형: array
    요소:
      유형: string
  - 이름: ts
    필수: true
    유형: timestamp
    시간 형식:
      - unix
    이벤트 시간 여부: true