> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/detections/signals.md).
# 시그널
**개요**
{% hint style="info" %}
상관 룰은 Panther 버전 1.108부터 오픈 베타로 제공되며, 모든 고객이 사용할 수 있습니다. 버그 보고와 기능 요청은 Panther 지원 팀과 공유해 주세요.
{% endhint %}
신호는 룰, 예약 룰 또는 상관 룰에서 일치가 발생할 때 생성됩니다. 정책 실패에 대해서는 신호가 생성되지 않습니다.
신호는 환경에서 발생하는 작업(또는 작업의 그룹이나 연속)을 나타내며, 알아두어야 할 사항이지만—적어도 그 자체만으로는—알러트를 생성할 만큼의 가치는 없습니다. 신호는 종종 "보안 관련 이벤트"라고 불립니다.
신호는 알러트와 다릅니다. 다음에 대해 더 알아보기 [신호와 알러트의 차이를 여기에서 확인하세요](https://docs.panther.com/ko/detections/pages/28a2f0a91092222209c65334fa10beb60037d689#signals-vs.-alerts).
{% hint style="warning" %}
초당 1,000개를 초과하는 등 상당한 신호량을 생성하는 노이즈가 많은 룰은 보안 데이터 레이크의 컴퓨팅 비용을 증가시킬 수 있습니다. 신호를 더 비용 효율적으로 만드는 방법을 [신호를 더 효율적으로 만들기](#making-signals-more-efficient), 아래.
{% endhint %}
### 신호 사용 사례
* 신호는 ...의 기본 구성 요소입니다 [상관 룰](/ko/detections/correlation-rules.md). 상관 룰에서는 특정 룰, 예약 룰 및 상관 룰 중 하나 이상에 대해 신호가 생성되었어야(또는 *아닌* 생성되었거나) 특정 기간 동안(기타 선택 기준 중) 일치로 인정되려면 충족되어야 합니다.
* 참고 [이 상관 룰 예시](/ko/detections/correlation-rules.md#correlation-rule-full-examples), 여기에는 알러트가 활성화된 룰과 알러트가 비활성화된 룰이 모두 포함됩니다.
* 또한 다음에서 신호를 검색해 볼 수도 있습니다 `panther_signals.public` 데이터베이스에서 [검색](/ko/search/search-tool.md) 및 [데이터 탐색기](/ko/search/data-explorer.md).
## 신호만 생성하는 룰을 만드는 방법
신호만 생성하고 알러트는 생성하지 않는 룰을 만들려면 룰을 생성한 다음 알러트를 비활성화하도록 구성합니다.
{% tabs %}
{% tab title="콘솔" %}
Panther Console에서 신호만 생성하는 룰(알러트는 생성하지 않음)을 만들려면:
1. Panther Console에서 룰, 예약 룰 또는 상관 룰을 생성합니다.
* 참고 [Console에서 Python 룰을 생성하는 방법](/ko/detections/rules/python.md#how-to-create-a-rule-in-python), 및 [Console에서 Simple 디택션을 생성하는 방법](/ko/detections/rules/simple-detection-builder.md#how-to-create-a-rule-in-the-simple-detection-builder).
* 참고 [Console에서 예약 룰을 생성하는 방법](/ko/detections/rules/python.md#how-to-create-a-scheduled-rule-in-python).
* 참고 [Console에서 상관 룰을 생성하는 방법](/ko/detections/correlation-rules.md#how-to-create-a-correlation-rule).
2. 다음으로 설정합니다. **알러트 생성** 토글을 `끔`.\
* 이렇게 하면 디택션 편집기에서 알러트 필드가 제거됩니다(예: **심각도**, **런북**, **중복 제거 기간**, 등).\
{% endtab %}
{% tab title="CLI 워크플로" %}
CLI 워크플로에서 신호만 생성하는 룰(알러트는 생성하지 않음)을 만들려면:
1. 룰, 예약 룰 또는 상관 룰을 로컬에서 생성합니다.
* 참고 [CLI 워크플로에서 Python 룰을 생성하는 방법](/ko/detections/rules/python.md#how-to-create-a-rule-in-python), 및 [CLI 워크플로에서 YAML 디택션을 생성하는 방법](/ko/detections/rules/writing-simple-detections.md#how-to-create-a-rule-in-yaml).
* 참고 [CLI 워크플로에서 예약 룰을 생성하는 방법](/ko/detections/rules/python.md#how-to-create-a-scheduled-rule-in-python).
* 참고 [CLI 워크플로에서 상관 룰을 생성하는 방법](/ko/detections/correlation-rules.md#how-to-create-a-correlation-rule).
2. 다음을 `알러트 생성` 필드를 추가하고 값을 `false`.
* 다음의 기본값은 `알러트 생성`, 설정되지 않은 경우, 다음과 같습니다 `true`.
예:
```yaml
분석 유형: 룰
룰 ID: 'GitHub.Repo.Archived'
표시 이름: 'GitHub.Repo.Archived'
활성화됨: true
알러트 생성: false
알러트 컨텍스트:
- 키 이름: repo
키 값:
KeyPath: repo
디택션:
- KeyPath: action
조건: 같음
값: repo.archived
```
{% endtab %}
{% endtabs %}
## 신호를 보는 방법
### 디택션의 신호를 보는 방법
특정 디택션의 신호를 보려면 다음을 사용하세요, **검색에서 신호 보기** 세부 정보 페이지의 버튼입니다. 또한 직접 쿼리를 구성하여 신호를 볼 수도 있습니다 [검색](/ko/search/search-tool.md) 또는 [데이터 탐색기](/ko/search/data-explorer.md).
1. Panther Console의 왼쪽 탐색 모음에서 **탐지**.
2. 신호를 보고 싶은 디택션의 이름을 클릭합니다.
3. 디택션의 세부 정보 페이지의 오른쪽 상단에서 클릭합니다. **검색에서 신호 보기**.
* 다음 [검색](/ko/search/search-tool.md) 페이지가 해당 항목에 대한 사전 입력된 필터 식과 함께 열립니다. `panther_signals.public` 데이터베이스. 클릭 **검색**.
### 모든 신호를 보는 방법
신호를 [검색](/ko/search/search-tool.md) 또는 [데이터 탐색기](/ko/search/data-explorer.md).
{% tabs %}
{% tab title="검색" %}
**Search에서 신호 보기**
1. Panther Console의 왼쪽 탐색 모음에서 **검색**.
2. 다음 [데이터베이스 필터](/ko/search/search-tool.md#database-filter), 선택 **신호**.
3. 다음 [표 필터](/ko/search/search-tool.md#table-filter), 선택 **신호**.
* 선택적으로 추가 [키/값 필터 표현식](/ko/search/search-tool.md#key-value-filter-expression) 를 만들어 검색 결과 범위를 좁힙니다.
4. 클릭합니다 **검색**.
{% endtab %}
{% tab title="데이터 탐색기" %}
**Data Explorer에서 신호 보기**
1. Panther Console의 왼쪽 탐색 모음에서 **검색**, 그런 다음 다음을 선택합니다 **데이터 탐색기** 탭.
2. 관심 있는 열을 선택하는 SQL 쿼리를 다음에서 작성하세요 `panther_signals.public.correlation_signals` 테이블.
* 예:
```sql
SELECT tag FROM panther_signals.public.correlation_signals LIMIT 10;
```
3. 클릭합니다 **검색 실행**.
{% endtab %}
{% endtabs %}
## 신호를 더 효율적으로 만들기
신호는 디택션에서 일치가 발생할 때마다 생성됩니다. 따라서 신호를 더 효율적으로 만든다는 것은 디택션 자체를 더 효율적으로 만들거나 그 범위를 좁히는 것을 의미합니다.
### 가장 많은 신호를 생성하는 디택션 식별하기
1. 위의 단계를 따라 [검색에서 모든 신호 보기](#view-signals-in-search).
2. 다음을 `p_룰_id` 지침을 따라 결과 테이블의 열로서 필드를 [Search 결과 테이블에 열을 추가하는 방법](/ko/search/search-tool.md#how-to-add-a-column-in-the-search-results-table).\
3. 클릭합니다 **시각화** 에서 [요약 차트를 봅니다](/ko/search/search-tool.md#search-results-summary-charts) for **룰 ID**.
* 차트가 내림차순으로 정렬되었는지 확인하세요.
4. 차트 상단의 룰 ID를 확인하세요. 이들은 구성된 시간 동안 가장 많은 신호를 생성하는 디택션입니다.
### 2단계: 가장 많은 신호를 생성하는 디택션 조정
1단계에서 가장 많은 신호를 생성하는 디택션을 식별한 후에는, 범위를 좁혀 조정할 수 있습니다. 아래는 디택션 범위를 좁히는 몇 가지 일반적인 방법입니다:
* **신뢰할 수 있는 IP를 허용 목록에 추가**: 조직의 프록시 서버나 클라우드 서비스 제공업체와 같은 알려진 "양호한" IP 주소를 명시적으로 제외합니다.
* **임계값 조정**: 로그인 실패나 데이터 전송과 같은 이벤트에 대한 빈도 및 볼륨 임계값을 조정하여 실제 위협을 놓치지 않으면서 오탐을 줄입니다.
* **컨텍스트 활용**: 시간대, 사용자 역할 또는 지리적 위치와 같은 추가 컨텍스트를 반영하여 룰 정확도를 높이고 오탐을 줄입니다.
* **다중 요소 룰 구현**: 여러 지표 또는 조건을 하나의 룰에 결합하여 정밀도를 높이고 오탐을 줄입니다.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.panther.com/ko/detections/signals.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.