PantherFlow 예제: Panther 감사 로그

쿼리 대상 이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해 테이블:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해

최대 10개의 결과 반환:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
panther_logs.public.okta_systemlog

정렬 기준 p_event_time:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| sort p_event_time desc
panther_logs.public.okta_systemlog

지난 24시간 필터:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where p_event_time > time.now() - 1d
| sort p_event_time desc
panther_logs.public.okta_systemlog

타임스탬프 필터:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where p_event_time > time.parse_timestamp('2023-09-01 00:00:00Z')
| sort p_event_time desc
panther_logs.public.okta_systemlog

중첩 필드 필터(도트 표기법 사용)

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where actor.name == "[email protected]"

중첩 필드 필터(대괄호 표기법 사용)

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where actor['name'] == "[email protected]"

배열 내 깊게 중첩된 값이 존재하는지(즉 null이 아닌지) 확인

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where actionParams.dynamic.input.tableProperties[0].propertyId != null

이벤트 수 세기:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where p_event_time > time.parse_timestamp('2023-09-01 00:00:00Z')
| summarize row_count=agg.count()

작업 수 세기:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where p_event_time > time.parse_timestamp('2023-09-01 00:00:00Z') and actionResult == "SUCCEEDED"
| summarize num_events=agg.count() by actionName

희귀한 작업만 표시:

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where p_event_time > time.parse_timestamp('2023-09-01 00:00:00Z') and actionResult == "SUCCEEDED"
| summarize num_events=agg.count() by actionName
| where num_events < 5
| sort num_events asc

지난 7일 동안 사용자가 사용한 새로운 IP와 지난 60일 동안 사용한 IP 비교:

let new_logins = panther_logs.public.panther_audit
| where p_event_time > time.ago(7d) and p_udm.user.email != null
| summarize recent_ips=agg.make_set(p_udm.source.ip) by email=p_udm.user.email;

이 페이지의 다른 예제 쿼리는 모의 데이터를 제공하기 위해
| where p_event_time > time.ago(60d) and p_event_time < time.ago(7d) and p_udm.user.email != null
| summarize baseline_ips=agg.make_set(p_udm.source.ip) by email=p_udm.user.email
| join kind=inner new=(new_logins) on $left.email == $right.email
| where new.recent_ips[0] not in baseline_ips