PantherFlow 예제: SOC 운영

마지막으로 데이터를 수신한 로그 소스 보기

union panther_logs.public.*
| where p_event_time > time.ago(1d)
| summarize last_received_data=agg.max(p_parse_time) by p_source_label, p_source_id
| sort last_received_data desc

이 쿼리는 다음을 활용합니다 요약, 정렬, 그리고 agg.max().

예시 출력:

심각도별 알러트 수

panther_signals.public.signal_알러트s
| where p_event_time > time.ago(14d)
| summarize 알러트_count = agg.count() by severity
| extend sort_key = case(severity == "CRITICAL", 5, severity == "HIGH", 4, severity == "MEDIUM", 3, severity == "LOW", 2, severity == "INFO", 1)
| sort sort_key asc
| visualize bar orientation=horizontal

이 쿼리는 다음을 활용합니다:

• 연산자 where, 요약, 확장, 정렬, 시각화,

• 함수: time.ago(), agg.count(), 그리고 case()

예시 출력:

지난 2주 동안의 일별 심각도별 알러트

panther_signals.public.signal_알러트s
| where p_event_time > time.ago(14d)
| extend bucket=time.trunc('day', p_event_time)
| summarize eventcount=agg.count() by bucket, severity
| summarize eventcount=agg.sum(eventcount) by bucket, severity
| extend severity_sort_key = case(severity == "CRITICAL", 5, severity == "HIGH", 4, severity == "MEDIUM", 3, severity == "LOW", 2, severity == "INFO", 1)
| sort bucket asc, severity_sort_key asc
| visualize line xcolumn=bucket, ycolumn=eventcount, series=severity, legend=bottom, title="지난 14일 동안의 Panther 알러트 일별 심각도별 건수"

이 쿼리는 다음을 활용합니다:

• 연산자: where, 확장, 요약, 정렬, 그리고 시각화

• 함수: time.ago(), time.trunc(), agg.count(), agg.sum(), 그리고 case()

예시 출력:\

심각도별 평균 해결 시간

let update_actions = panther_logs.public.panther_audit
| where actionName == 'UPDATE_알러트_STATUS' and actionParams.dynamic.input.status == "RESOLVED" and p_event_time > time.ago(14d) 
| extend 알러트Id = actionParams.dynamic.input.ids
| extend resolved_timestamp = timestamp
| project resolved_timestamp, actionParams, actionName, 알러트Id;

let 알러트s = panther_signals.public.signal_알러트s
| where p_event_time > time.ago(365d)
| project creationTime, updateTime, status, severity, 알러트Id;

경고 
| join kind=inner record=(update_actions) on $left.알러트Id in $right.알러트Id
| extend resolved_timestamp = record.resolved_timestamp
| extend ttr = time.diff("m", creationTime, resolved_timestamp)
| summarize minutes=agg.avg(ttr) by severity
| extend severity_sort_key = case(severity == "CRITICAL", 5, severity == "HIGH", 4, severity == "MEDIUM", 3, severity == "LOW", 2, severity == "INFO", 1)
| sort severity_sort_key asc
| visualize bar orientation=horizontal, legend=right, title="심각도별 평균 해결 시간(분)"

이 쿼리는 다음을 활용합니다:

• let 문장 기능

• 연산자: where, 확장, 프로젝션, 조인, 요약, 정렬, 그리고 시각화

• 함수: time.ago(), time.diff(), agg.avg(), 그리고 case()

예시 출력:

심각도별 시간당 생성된 알러트

let all_times = range N from 0 to 23 step 1 
| project bucket=time.add(time.now(), -1*N, "h") 
| project bucket=time.trunc('hour', bucket);

let all_알러트s = panther_signals.public.signal_알러트s
| where p_event_time > time.ago(3d)
| summarize by severity;

let zeroes = all_times
| join kind=cross 알러트s=(all_알러트s)
| project bucket, severity=알러트s.severity, eventcount=0;

panther_signals.public.signal_알러트s
| where p_event_time > time.ago(3d)
| extend bucket=time.trunc('hour', p_event_time)
| summarize eventcount=agg.count() by bucket, severity
| union zeroes
| summarize eventcount=agg.sum(eventcount) by bucket, severity
| extend severity_sort_key = case(severity == "CRITICAL", 5, severity == "HIGH", 4, severity == "MEDIUM", 3, severity == "LOW", 2, severity == "INFO", 1)
| sort bucket asc, severity_sort_key asc
| visualize line xcolumn=bucket, ycolumn=eventcount, series=severity, legend=bottom, title="지난 하루 동안의 Panther 알러트 일별 심각도 건수"

이 쿼리는 다음을 활용합니다:

• let 문장 기능

• 연산자: range, 프로젝션, where, 요약, 조인, 확장, union, 정렬, 그리고 시각화

• 함수: time.trunc(), time.ago(), agg.count(), agg.sum(), case()

예시 출력: