검색

SQL을 작성하지 않고 데이터 쿼리 구성하기

개요

Panther의 Search 도구에서는 SQL을 작성하지 않고도 로그 이벤트, 룰 매치 등 모든 데이터를 검색할 수 있습니다. 드롭다운 필드를 사용해 필터 표현식을 만들고 다음을 사용하여 그룹화할 수 있습니다 AND 그리고 OR 기능. 또한 Search에서 PantherFlow 쿼리를 실행할 수 있으며—여기에는 시각화 를 생성하여 맞춤 대시보드.

에 추가할 수 있습니다. 필터 표현식은 다음과 같은 여러 방식으로 구성할 수 있습니다: 키/값 쌍 , 자유 텍스트 검색, 또는 정규식 검색. 이들 각각은 또한 와일드카드 문자를 사용할 수 있습니다. 서로 다른 유형의 필터 표현식을 하나의 검색에서 결합할 수 있습니다.

검색을 실행하면 결과 이벤트의 시간 분포를 시각화한 히스토그램 아래에 결과 테이블이 표시됩니다. 결과 테이블은 사용자 지정이 가능하며—다음을 수행할 수 있습니다: 이벤트 필드를 열로 추가하거나 제거 할 수 있습니다. 또한 결과 테이블에서 포함/제외 필터를 추가 하여 검색, 피벗 및 관련 인리치먼트 데이터를 조회할 수 있습니다. Panther AI를 사용하여 결과 집합을 요약할 수 있습니다.

팀과 협업할 수 있습니다 결과 테이블을 다운로드하거나 Panther에서 특정 검색에 대한 링크를 공유하여.

Search 사용 방법

다음을 사용하여 데이터를 효과적으로 검색할 수 있습니다:

• 필터 조합: 먼저 데이터베이스, 테이블 및 날짜 범위 필터에서 선택을 시작한 다음 자신의 필터 표현식을 생성하세요.

• PantherFlow: 아래에서 Search에서 PantherFlow를 사용하는 방법을 알아보세요

데이터베이스, 테이블 및 날짜 범위 필터 사용

데이터베이스, 테이블 및 날짜 범위 필터를 사용하여 검색 범위를 좁히세요. 이러한 컨트롤 사용은 선택 사항이지만, 대용량 데이터 세트를 검색할 때 검색 성능을 크게 향상시킬 수 있습니다. 아래에서 각 필터에 대해 자세히 알아보세요.

만약 당신이 Search에서 PantherFlow 쿼리를 작성하면 Panther는 쿼리 텍스트를 데이터베이스, 테이블 및 날짜 범위 필터 값과 동기화하려고 시도합니다. 자세한 내용은 PantherFlow 쿼리 텍스트 및 필터 동기화.

데이터베이스 필터

데이터베이스 필터를 사용하여 검색을 특정 데이터베이스로 좁히세요. 예를 들어 Logs 또는 Rule Matches.

이 필터의 기본값은 Logs입니다. 데이터베이스 필터에 포함된 옵션은 다음과 같습니다:

• Rule Matches

• Logs

• Lookups

• Monitor

• Cloud Security

• Rule Errors

• Signals

테이블 필터

테이블 필터를 사용하여 데이터베이스 필터에 의해 지정된 데이터베이스 내에서 특정 테이블로 검색을 좁히세요. 데이터베이스 필터.

이 필터의 기본값은 모든 테이블은 포함된 각 데이터베이스의 모든 테이블을 포함합니다. 이 드롭다운에서 특정 테이블만 선택하여 검색을 좁힐 수 있습니다.

날짜 범위 필터

날짜 범위 필터를 사용하여 검색을 특정 기간으로 좁히세요.

이 필터의 기본값은 지난 20분. 미리 설정된 상대 옵션(예: 지난 1시간 또는 지난 주) 중 하나를 사용하거나, 상대 시간으로 직접 상대 창을 설정하거나, 전체 기간으로 시간 제약을 제거하거나, 사용자 지정 범위로 특정 창을 설정할 수 있습니다. 사용자 지정 범위를 사용할 때는 Search에서 시간대가 사용되는 방식.

을 유의하세요

만약 당신의 Panther 콘솔 UTC 시간대 표시 설정이 켜짐 이면, Search 도구는 타임스탬프를 표시할 때 항상 협정 세계시(UTC)를 사용합니다. 설정이꺼짐 이면, Search 도구는 다음 위치에서 타임스탬프를 표시할 때 로컬 시간대를 사용합니다:사용자 지정 범위를 만들 때

• 날짜 범위 필터 에서:

• 키/값 필터 표현식 에서 값이 타임스탬프인 경우: 결과 테이블의

• TIME 열: 결과 테이블의 다른 타임스탬프 열(즉,

  • 가 아닌 열)은 여전히 UTC로 표시됩니다. 열:이벤트에 표시된 타임스탬프(예:

  • p_event_time )은JSON 이벤트 슬라이드아웃 패널 과 결과 테이블의 EVENT 열 에서 여전히 UTC로 표시됩니다.

    

필터 표현식 생성

필터 표현식은 다음을 포함하는 절입니다: 키/값 검색 논리, 자유 검색어또는 매치 패턴. 필터 표현식을 생성하려면 검색 필터 추가 바를 클릭하거나 필터 표현식 추가 키보드 단축키를 사용하세요.

키/값 필터 표현식

키/값 필터 표현식에서는 이벤트 키를 선택하고 값(필요한 경우)을 제공합니다.

키/값 필터 표현식을 생성하려면:

1. 바를 클릭하거나 필터 표현식 추가 검색 필터 추가 키보드 단축키를 사용하세요 키보드 단축키를 사용하세요.

2. 드롭다운 목록에서 이벤트 키를 선택하세요. 드롭다운 메뉴는 다음 범주로 그룹화된 옵션을 포함합니다:

   • Panther 필드: 다음을 포함합니다 지표 필드 (또는 알려진 p_any 필드), 및 핵심 필드 (p_udm 필드), 이는 로그 유형 전반에서 검색할 때 유용합니다.

   • 다중 테이블: 둘 이상의 로그 유형에서 발견되는 필드입니다.

   • 일치하는 필드가 있는 모든 나머지 테이블은 알파벳순으로 표시됩니다.

3. 드롭다운 메뉴에서 연산자(조건이라고도 함)를 선택하세요.

   • 드롭다운 옵션은 선택한 필드의 데이터 유형에 적용 가능한 항목으로 제한됩니다.

   • 사용 가능한 연산자 전체 목록은 검색 필터 연산자.

4. 에서 확인하세요.

   • 선택한 연산자가 값을 필요로 하는 경우 값을 입력하세요. 아래에서.

5. 와일드카드 문자 사용

   • 추가 필터 표현식을 생성하려면: AND 를 생성하려면, 방금 생성한 표현식 외부(하지만 동일한 수평 바 내)를 클릭하거나 TAB.

   • 추가 필터 표현식을 생성하려면: OR 필터를 생성하려면, 클릭하세요 + OR 조건 추가.

6. 검색을 실행할 준비가 되면 검색 을 클릭하거나 ENTER.

   • 을 누르세요. 행이 두 개를 초과하면 축소됩니다. 모든 필터를 확장하여 보려면 Show +n conditions.

를 클릭하세요. 또한 초기 검색의 결과 집합에서 키/값 필터 표현식을 빠르게 생성할 수 있습니다.

자유 텍스트 필터 표현식

자유 텍스트 필터 표현식에서는 문자열을 입력합니다.

자유 텍스트 필터 표현식은 데이터베이스, 테이블 및 날짜 제약 내에서 모든 이벤트의 모든 필드(복잡한 객체에 중첩된 필드 포함)를 검색하므로 검색 실행에 오랜 시간이 걸릴 수 있습니다.

자유 텍스트 필터 표현식을 사용하는 동안 검색 성능을 향상시키려면, 검색할 테이블의 하위 집합을 선택하세요 .

자유 텍스트 필터 표현식을 생성하려면:

1. 바를 클릭하거나 필터 표현식 추가 검색 필터 추가 키보드 단축키를 사용하세요 키보드 단축키를 사용하세요.

2. 텍스트 값을 입력하세요.

   • 선택한 연산자가 값을 필요로 하는 경우 값을 입력하세요. 아래에서.

3. 와일드카드 문자 사용

   • 추가 필터 표현식을 생성하려면: AND 를 생성하려면, 방금 생성한 표현식 외부(하지만 동일한 수평 바 내)를 클릭하거나 TAB.

   • 추가 필터 표현식을 생성하려면: OR 필터를 생성하려면, 클릭하세요 + OR 조건 추가.

4. 검색을 실행할 준비가 되면 검색 을 클릭하거나 ENTER.

   • 을 누르세요. 행이 두 개를 초과하면 축소됩니다. 모든 필터를 확장하여 보려면 Show +n conditions.

정규식(regex) 필터 표현식

Search에서 정규식을 사용하면 로그 전반에 걸친 동적 텍스트 기반 검색에 강력할 수 있습니다. Search는 POSIX-확장 정규식.

를 지원합니다.

1. 바를 클릭하거나 필터 표현식 추가 검색 필터 추가 키보드 단축키를 사용하세요 키보드 단축키를 사용하세요.

2. 정규식 필터 표현식을 생성하려면: 키보드 단축키를 사용하세요.

   • 정규식 모드를 입력하려면 정규식 키보드 단축키를 사용하세요.

3. 을 사용하세요. 정규식 모드에서 벗어나려면 동일한.

   • 선택한 연산자가 값을 필요로 하는 경우 값을 입력하세요. 아래에서.

4. 와일드카드 문자 사용

   • 추가 필터 표현식을 생성하려면: AND 를 생성하려면, 방금 생성한 표현식 외부(하지만 동일한 수평 바 내)를 클릭하거나 TAB.

   • 추가 필터 표현식을 생성하려면: OR 필터를 생성하려면, 클릭하세요 + OR 조건 추가.

5. 검색을 실행할 준비가 되면 검색 을 클릭하거나 ENTER.

   • 을 누르세요. 행이 두 개를 초과하면 축소됩니다. 모든 필터를 확장하여 보려면 Show +n conditions.

를 반복할 수 있습니다.

검색하려는 정규식을 입력하세요. 예:*.*aws:.*admin.* 필터 표현식에서 와일드카드 사용 와일드카드 문자( )는 문자열이나 표현식의 시작, 중간 또는 끝에 자리 표시자로 사용할 수 있습니다. 와일드카드 문자는 키/값 필터 표현식 (키의), 유형: 문자열또는 이고 연산자가.

LIKE

• 인 경우에만), * 자유 텍스트 필터 표현식

• 정규식 필터 표현식 * 자유 텍스트 필터 표현식

• 와 함께 사용할 수 있습니다. 와일드카드 문자의 위치는 어떤 데이터가 매치로 반환되는지를 결정합니다: * 자유 텍스트 필터 표현식

시작: 지정된

의 앞이나 해당 위치의 모든 문자(들)가 매치로 간주됩니다. PantherFlow.

중간: 지정된

의 중간에 있는 모든 문자(들)가 매치로 간주됩니다.

1. 끝: 지정된 의 해당 위치나 그 뒤의 모든 문자(들)가 매치로 간주됩니다. 침해 지표(Indicators of Compromise) 검색

2. 바를 클릭하거나 필터 표현식 추가 검색 필터 추가 키보드 단축키를 사용하세요 키보드 단축키를 사용하세요.

3. 이 기능은

4. 으로 검색할 때 사용할 수 없습니다. 공개된 침해 공지에 대응하거나 위협 헌팅을 수행할 때, 조직의 이벤트 로그 전반에 지표(IoC) 목록의 값이 포함되어 있는지 신속히 확인해야 할 수 있습니다. Search에서 IoC를 검색하려면:

   • 데이터베이스, 테이블 및 날짜 범위 필터 선택을 하세요.지표 또는 지표 목록을 입력하거나 붙여넣으세요. 필터 표현식에서 와일드카드 사용표시되는 드롭다운 옵션에서 (자동 감지).

   • 각 필터 표현식은 다음으로 이어집니다 OR.

5. 클릭 검색 을 클릭하거나 ENTER.

비디오 안내

필터 표현식용 키보드 단축키

Search에서 필터 표현식을 작성할 때 아래 키보드 단축키를 사용하세요:

동작	Mac	Windows/Linux
필터 표현식 추가 정규식 모드 진입 또는 종료	⌘/	⌃/
현재 그룹의 모든 필터 선택	⌘A	⌃A
선택한 필터 복사	⌘C	⌃C
붙여넣기	⌘V	⌃V
실행 취소	⌘Z	⌃Z
다시 실행	⇧⌘Z	⇧⌃Z
선택한 필터 삭제	⌫	⌫

Search에서 PantherFlow 사용하기

PantherFlow는 Panther 버전 1.110부터 오픈 베타로 제공되며 모든 고객이 사용할 수 있습니다. 버그 보고나 기능 요청이 있다면 Panther 지원 팀에 공유해 주세요.

다음을 실행하려면 PantherFlow Search에서 쿼리:

1. Panther 콘솔의 왼쪽 탐색 막대에서 탐색(Investigate) > 검색.

2. 의 왼쪽에서 데이터베이스 필터PantherFlow 모드 토글을 클릭하세요.

   • 이 작업은 필터 표현식 빌더를 자연어 입력 필드와 PantherFlow 코드 편집기로 대체합니다.

     
3. PantherFlow 코드 편집기에 쿼리를 입력하거나( 자연어로 쿼리를 설명 위의 텍스트 상자에).

   • 쿼리를 입력하면 데이터베이스, 테이블 및 날짜 범위 필터 페이지 오른쪽 상단의 항목들이 PantherFlow 쿼리 텍스트와 동기화됩니다. 자세한 내용은 PantherFlow 쿼리 텍스트 및 필터 동기화.

   • PantherFlow 쿼리 구성 방법을 알아보려면 PantherFlow 문서.

   • 현재 PantherFlow의 제한 사항을 참고하세요.

4. 클릭 검색.

PantherFlow 쿼리 텍스트 및 필터 동기화

PantherFlow 쿼리 텍스트와 필터 동기화는 Panther 버전 1.116부터 오픈 베타로 제공되며 모든 고객이 사용할 수 있습니다. 버그 보고나 기능 요청이 있다면 Panther 지원 팀에 공유해 주세요.

PantherFlow 쿼리를 입력하거나 데이터베이스, 테이블 및 날짜 범위 필터 PantherFlow 쿼리 입력 후 값을 업데이트하면 Panther는 쿼리 텍스트와 필터 값을 동기화하려 시도합니다.

PantherFlow 쿼리 텍스트와 필터를 동기화할 수 없는 경우 PantherFlow 쿼리 텍스트가 우선하며 필터 값은 무시됩니다.

PantherFlow 쿼리를 입력하거나 업데이트하면 필터 값에 변경이 발생합니다:

• PantherFlow 쿼리에 데이터베이스나 테이블을 지정하면 데이터베이스 그리고 테이블 필터 값이 각각 업데이트됩니다.

• 날짜/시간 범위(와 함께 | where p_event_time... 문장)를 PantherFlow 쿼리에 지정하면 에서.

PantherFlow 쿼리를 입력한 후 데이터베이스, 테이블 또는 날짜 범위 필터 를 업데이트하면 PantherFlow 쿼리 텍스트에 변경이 발생합니다:

• 필터 값을 업데이트했을 때 PantherFlow 쿼리가 이미 해당 값을 지정하고 있는 경우(예: 당신이 에서 를 업데이트했고 쿼리가 이미 | where p_event_time... 문장으로 날짜/시간 범위를 지정하고 있는 경우), 쿼리의 해당 부분이 필터 값과 일치하도록 업데이트됩니다.

• 필터 값을 업데이트했을 때 PantherFlow 쿼리가 아직 해당 값을 지정하지 않은 경우(예: 당신이 데이터베이스 필터 를 업데이트했고 쿼리가 아직 데이터베이스를 지정하지 않은 경우), 필터 값을 지정하는 새 줄이 삽입됩니다.

  • 데이터베이스 및 테이블 변경은 PantherFlow 쿼리 상단의 새 줄로 표시됩니다. 날짜/시간 변경은 데이터베이스/테이블 문 아래의 새 줄로 표시됩니다.

AI 기반 PantherFlow 쿼리 생성(베타)

AI 기반 PantherFlow 쿼리 생성은 Panther 버전 1.118부터 오픈 베타로 제공되며 모든 고객이 사용할 수 있습니다. 버그 보고나 기능 요청이 있다면 Panther 지원 팀에 공유해 주세요.

PantherFlow 쿼리를 직접 작성하는 것 외에도 다음을 사용해 자연어로 쿼리를 생성할 수 있습니다. Panther AI즉, 원하는 검색 의도를 평이한 언어(어떤 언어든)로 설명할 수 있습니다. 예: "지난 24시간 동안 Okta System Log의 실패한 로그인 표시."

생성할 쿼리를 설명하는 동안 @ 멘션으로 데이터 테이블 이름 자동완성 제안을 받을 수 있습니다. 특정 데이터 테이블을 지정하지 않으면 Panther AI가 설명을 기반으로 관련 테이블을 자동으로 제안합니다.

AI 기반 쿼리 생성을 사용하는 방법:

1. Panther 콘솔의 왼쪽 탐색 막대에서 탐색(Investigate) > 검색.

2. 의 왼쪽에서 데이터베이스 필터PantherFlow 모드 토글을 클릭하세요.

   • 이 작업은 필터 표현식 빌더를 자연어 입력 필드와 PantherFlow 코드 편집기로 대체합니다.

   
3. PantherFlow 편집기 위의 텍스트 상자에 수행하려는 검색을 설명하세요.

   • 현재 PantherFlow의 제한 사항을 참고하세요.

   
4. 텍스트 입력 상자의 오른쪽에서 화살표(쿼리 생성)를 클릭하세요.

   
5. 생성된 PantherFlow 쿼리를 검토하고 필요한 변경을 한 다음 클릭하세요 검색.

   

저장된 검색 만들기

Search에서 저장된 검색을 만드는 것은 가능하지만 이를 예약(예: 예약된 검색).

저장된 검색을 만들면 자주 실행하는 검색을 빠르게 재사용할 수 있습니다. 자세한 내용은 저장된 및 예약된 검색.

저장된 검색을 만들려면:

1. 의 지침에 따라 검색을 생성하세요 Search 사용 방법.

2. 상자 아래에서 검색 필터 추가 를 클릭하세요 다른 이름으로 저장.

   
3. 팝업 모달의 필드에 값을 입력하세요:

   • 검색 이름: 설명적인 이름을 추가하세요.

   • 태그 (선택 사항): 태그를 추가하세요. 태그는 관련 검색을 그룹화하는 데 도움이 될 수 있습니다.

   • 설명 (선택 사항): 검색의 목적을 설명하세요.

4. 클릭 검색 저장.

   • 저장된 검색을 열고 재사용하는 방법은 다음 섹션을 참조하세요.

Search 도구에서 저장된 검색 열기 및 재사용하기

Search 도구에서 저장된 검색을 만든 후에는 이를 보고 재사용할 수 있습니다. Search 페이지 또는 저장된 검색 페이지에서 열 수 있습니다.

Search 페이지

Search 페이지에서 저장된 검색을 열려면:

1. Panther 콘솔의 왼쪽 탐색 막대에서 탐색(Investigate) > 검색.

2. 오른쪽 상단에서 점 세 개 아이콘을 클릭한 다음 저장된 검색 열기.

   • 한 검색 열기 모달이 팝업되어 이전에 저장한 검색을 표시합니다.

3. 열고 싶은 검색을 찾아 선택한 다음 클릭하세요 검색 열기.

   • 저장된 검색이 Search에 채워집니다.

저장된 검색 페이지

Search 결과 분석하기

Search의 결과에는 히스토그램 , 결과 이벤트의 테이블및 요약 시각화.

Search 결과 히스토그램

결과 히스토그램은 검색의 날짜 및 시간 창 내 이벤트 분포를 표시하여 결과를 빠르게 맥락화하는 데 도움을 줍니다.

검색 실행 후 히스토그램은 기본적으로 축소된 상태로 표시됩니다. 차트 오른쪽 상단의 대각선 화살표 버튼을 클릭하면 확장할 수 있습니다. 버튼을 다시 클릭하면 차트가 다시 축소됩니다.

히스토그램과 상호작용하기

시간대별 로그 유형별 카운트에 대한 추가 데이터 인사이트를 보려면 차트 내의 막대 위에 마우스를 올리세요.

드릴다운하여 해당 히스토그램 막대의 시간대가 설정된 새 검색(새 브라우저 탭에서)을 생성하려면 막대를 클릭하세요.

이 드릴다운 기능은 1분보다 긴 시간 프레임을 나타내는 표의 막대에서만 사용할 수 있습니다.

결과 테이블에서 필드 추가, 제거 및 재정렬하기

결과 테이블을 다음을 통해 사용자화할 수 있습니다 추가, 제거및 재정렬 열.

또한 결과 테이블에서 직접 새 필터 생성, 결과 테이블 값으로 필터 표현식 대체및 결과 테이블 값에 대해 인리치먼트 데이터 탐색.

Search 결과 테이블에 열을 추가하는 방법

결과 테이블의 왼쪽에 있는 사용 가능한 필드 목록을 사용하거나 JSON 이벤트 보기에서 열을 결과 테이블에 추가할 수 있습니다 JSON 이벤트 보기에서만.

네스티드 필드를 테이블에 추가할 수 있습니다 사용 가능한 필드 목록에서 JSON 이벤트 보기에서만.

사용 가능한 필드 목록에서 Search 결과 테이블에 열 추가

결과 테이블 왼쪽의 필드 목록에서

1. 헤더 내에서 결과 테이블에 추가하려는 열을 찾으세요. 사용 가능한 필드 이 목록에는 최상위 필드만 표시됩니다. 테이블에 네스티드 필드를 추가하려면

   

   • 에서 할 수 있습니다 JSON 이벤트 보기에서만.

2. 필드 오른쪽에서 + (더하기 기호)를 클릭하세요.

   • 필드는 결과 테이블에 열로 추가되며 테이블 왼쪽의 선택된 필드.

JSON 이벤트 보기에서만

필드 위에 마우스를 올려놓은 상태에서

Search 결과 테이블에서 열을 제거하는 방법 선택된 필드 목록을 사용하거나 결과 테이블의 왼쪽에 있는 JSON 이벤트 보기에서만에서, 또는 테이블 헤더 행에서 열을 제거할 수 있습니다.

선택된 필드 목록

선택된 필드 목록에서 Search 결과 테이블의 열 제거

1. 헤더 내에서 결과 테이블에 추가하려는 열을 찾으세요. 선택된 필드 헤더에서 제거하려는 필드를 찾으세요.

2. 필드 오른쪽에서 - (빼기 기호).

   

   • 필드의 열이 결과 테이블에서 제거되고 테이블 왼쪽의 사용 가능한 필드.

JSON 이벤트 보기에서만

결과 테이블에서 제거하려는 필드를 찾으세요.

X

• Search 결과 테이블에서 열의 순서를 변경하는 방법

열 헤더를 클릭한 다음 원하는 위치로 드래그하여 결과 테이블의 열 순서를 변경하세요.

전체 결과 이벤트 보기 EVENT 결과 테이블은 기본적으로 압축 보기로 로드됩니다. 이 보기에서는 종종 큰 EVENT 필드를 포함한 모든 로그 필드를 단일 행에 표시합니다. 이 보기에서

값을 보려면 수평으로 스크롤하세요. 전체 이벤트 데이터를 더 쉽게 보려면 상세 테이블 보기 과또는 를 사용할 수 있습니다. 슬라이드아웃 패널을 사용하면.

Panther 필드

상세 결과 테이블 보기 EVENT 결과 테이블은 대안으로 상세 보기로 로그를 표시할 수 있습니다. 이 보기에서는

필드 값을 이벤트의 다른 필드 아래의 새 행에 텍스트 줄바꿈과 함께 표시합니다.

과

상세 보기를 활성화하려면 테이블 오른쪽 상단의 토글 버튼을 클릭하세요:

이벤트 행을 클릭하면 JSON 형식의 전체 이벤트 데이터를 볼 수 있습니다. 그러면 브라우저 창 오른쪽에 슬라이드아웃 패널이 열립니다. 를 사용할 수 있습니다. 슬라이드아웃 패널을 사용하면 JSON 이벤트 보기에서 는 JSON 객체 상단에 표시되고 그 다음에 이벤트 필드가 표시됩니다. 이 필드들은 토글을 클릭하여 숨기거나 표시할 수 있습니다.

슬라이드아웃 패널의 필드에 마우스를 올리면 필터 추가와 같은 추가 작업을 수행할 수 있는 아이콘이 표시됩니다. 자세한 내용은 검색 반복하기.

검색 결과 요약 차트

검색 결과 내에서, 시각화 탭은 필드 값에 대한 막대 차트를 표시하여 데이터에 대한 빠른 통찰을 제공할 수 있습니다. 이러한 차트를 보려면 클릭하세요 시각화.

또한 요약 차트에서 직접 필터 생성, 요약 차트의 값으로 필터 교체및 요약 차트 값에 대한 인리치먼트 데이터 탐색.

요약 차트 추가 또는 제거 방법

결과 패널 왼쪽의 사용 가능한 필드 그리고 선택된 필드 목록을 사용하여 이벤트 필드에 대한 시각화를 추가하거나 제거합니다. 필드를 추가하거나 제거하면 해당 필드가 차트와 결과 테이블의 열 모두에 표시되거나 숨겨집니다.

시각화를 추가하려면:

• 내에서 사용 가능한 필드 목록에서 필드 이름 오른쪽에 있는 항목을 클릭하세요 +.

  

시각화를 제거하려면:

• 내에서 선택된 필드 목록에서 필드 이름 오른쪽에 있는 항목을 클릭하세요 –.

  

차트의 정렬 순서를 설정하는 방법

결과를 오름차순(낮은 값→높은 값)으로 정렬하려면:

• 시각화의 오른쪽 상단 모서리에서 아래를 가리키는 화살표 아이콘을 클릭하세요:

  

결과를 내림차순(높은 값→낮은 값)으로 정렬하려면:

• 시각화의 오른쪽 상단 모서리에서 위를 가리키는 화살표 아이콘을 클릭하세요:

  

차트에 표시되는 값 수를 확장하거나 축소하는 방법

• 시각화에서 처음 25개 값을 보려면 오른쪽 하단 모서리에서 클릭하세요 상위 25개 표시합니다. 사용 가능한 값이 25개보다 적으면 텍스트는 모든 <number> 행 표시 로 대신 표시됩니다. 시각화에서 처음 5개 값만 보려면 오른쪽 하단 모서리에서 클릭하세요 추가 행 숨기기.

Panther AI 검색 요약

AI 이벤트 요약은 Panther 버전 1.113부터 오픈 베타로 제공되며 모든 고객에게 제공됩니다. 버그 보고나 기능 요청은 Panther 지원팀에 공유하세요.

Panther AI 기능의 사용은 법적 페이지에 있는 AI 면책조항.

결과를 생성하는 검색을 실행한 후, Panther AI-가 생성한 결과 이벤트 요약을 볼 수 있습니다. 여기에서 AI 검색 결과 요약의 전체 비디오 시연을 시청하세요.

AI 이벤트 요약은 로그가 나타내는 동작을 설명할 가능성이 있으며, 여기에는 행위자 식별, 액세스된 리소스 명명, 제기된 보안 위험 평가, 동작을 MITRE ATT&CK 전술에 연결하는 것 등이 포함될 수 있습니다. AI 응답 길이 구성 방법을 포함한 Panther AI에 대해 자세히 알아보려면 AI 응답 길이 구성 및 AI 응답 관리에 대해, Panther AI 그리고 Panther AI 응답 기록 관리.

결과 테이블에 표시된 이벤트에 대한 AI 생성 요약을 보려면:

1. 검색을 실행한 후 결과 테이블 오른쪽 상단에서 클릭하세요 AI 요약 보기.

   

   • 슬라이드 아웃 패널에서 Panther AI가 생성한 요약을 확인합니다.

     • 요약된 이벤트는 결과 테이블에 로드되어 표시된 이벤트입니다—기본적으로 이는 25개 이벤트입니다. 결과 테이블 끝까지 스크롤하여 더 많은 이벤트를 로드한 다음 클릭하면 AI 요약 보기더 많은 수의 이벤트가 요약됩니다.

       
2. (선택 사항) 슬라이드 아웃 패널 상단의 프롬프트 상자에서 후속 질문을 하거나 Panther AI에 작업 지시를 내리세요. 이러한 프롬프트와 응답은 AI 응답 기록에 보존됩니다. 예를 들면:

   • 이 사용자는 누구인가요?

   • 이 활동으로 Panther 디택션 생성.

     • Panther AI에 디택션 생성을 요청하면 일반적으로 응답 길이 설정이 길게.

     • AI 검색 결과 요약에 이어 디택션 생성의 전체 비디오 시연을 여기에서 시청하세요.

   • 이 사용자가 오늘 생성한 CloudTrail 로그가 있는지 확인하려면 검색을 실행하세요.

     

검색 반복하기

JSON 이벤트 슬라이드 아웃 패널 및 요약 차트에서 직접 다음을 수행할 수 있습니다 포함/제외 필터 생성, 결과 값으로 필터 표현식 교체및 인리치먼트 데이터 탐색.

결과에서 포함 또는 제외 필터 표현식을 생성하는 방법

슬라이드 아웃 패널

JSON 이벤트 슬라이드 아웃 패널에서 필터 표현식을 생성하는 방법

1. 결과 테이블에서 관심 있는 이벤트 행을 찾아 클릭하세요.

   • JSON 이벤트 슬라이드 아웃 패널이 표시됩니다.

2. JSON 이벤트 슬라이드 아웃 패널에서 포함 또는 제외 필터 표현식을 생성하려는 값 위에 마우스를 올리세요.

   • 포함 필터를 생성하려면 클릭하세요 .

   • 제외 필터를 생성하려면 클릭하세요 .

3. 창 상단의 검색 표시줄에서 새 필터 표현식을 확인하세요.

4. 검색 결과를 새로 고치려면 클릭하세요 검색.

결과 요약 차트

결과에서 필터 표현식을 값으로 교체하는 방법

슬라이드 아웃 패널

결과 테이블에서 필터 표현식을 값으로 교체하는 방법

1. 결과 테이블에서 관심 있는 이벤트 행을 찾아 클릭하세요.

   • JSON 이벤트 슬라이드 아웃 패널이 표시됩니다.

2. JSON 이벤트 슬라이드 아웃 패널에서 피벗하려는 필드 위에 마우스를 올리세요.

   

   JSON 이벤트 슬라이드 아웃 패널에서 필드에 마우스를 올리면 나타난 버튼의 툴팁에 "값으로 필터 교체"라고 적혀 있습니다.
3. 교체 아이콘을 클릭하세요 .

   • 기존의 모든 필터가 피벗한 키/값만을 나타내는 필터 표현식으로 교체됩니다.

4. 검색 결과를 새로 고치려면 클릭하세요 검색.

결과 요약 차트

결과 값의 인리치먼트 데이터를 탐색하는 방법

슬라이드 아웃 패널

JSON 이벤트 슬라이드 아웃 패널의 값에 대한 인리치먼트 데이터를 탐색하는 방법

1. 결과 테이블에서 관심 있는 이벤트 행을 찾아 클릭하세요.

   • JSON 이벤트 슬라이드 아웃 패널이 표시됩니다.

2. JSON 이벤트 슬라이드 아웃 패널에서 탐색하려는 값 위에 마우스를 올리세요 인리치먼트 데이터 에 대해.

3. 인리치먼트 아이콘을 클릭하세요 .

4. 에서 인리치먼트 조회 팝업 모달에서, LOOKUP TABLE 열을 사용하여 탐색하려는 인리치먼트 소스의 행을 찾은 다음 클릭하세요 JSON 보기→.

   • 인리치먼트 항목이 표시됩니다.

결과 요약 차트

검색 공유

조사하거나 위협 헌팅을 할 때, 검색 또는 결과 세트를 팀과 공유하는 것이 유용할 수 있습니다. 이렇게 하려면:

1. 결과 테이블 오른쪽 상단에서 클릭하세요 공유:

   
2. 메뉴 옵션 중 하나를 선택하세요:

   • 보기용 링크 복사: 이 특정 검색에 대한 URL을 클립보드에 복사합니다.

   • (결과가 1000건 이하인 경우) CSV 다운로드: 결과 테이블의 CSV를 다운로드합니다.

• (결과가 1000건 초과인 경우) CSV 생성: Panther가 비동기적으로 결과(CSV, 최대 1GB) 생성을 시작하며 Panther 콘솔 왼쪽 하단의 팝업으로 표시됩니다:

  • Panther가 CSV 생성을 완료하고 다운로드할 준비가 되면, 알림을 받게 됩니다. CSV에 접근하려면 다음 중 하나를 수행하세요:

    • Panther 콘솔 왼쪽 하단의 팝업 알림에서 클릭하세요 CSV 다운로드.

    • 에서 CSV 다운로드 준비 완료 알림에 있는 알림 목록에서 클릭하세요 CSV 다운로드합니다. 이 다운로드 링크는 12시간 후에 만료됩니다—그 이후에는 알림의 검색 링크를 클릭하여 쿼리로 돌아가서 CSV를 다시 생성할 수 있습니다.

      

      "알림" 헤더 아래에 "CSV 다운로드" 버튼이 원으로 표시되어 있습니다.