검색

SQL을 작성하지 않고 데이터 쿼리 구성하기

개요

Panther의 검색 도구에서 SQL을 작성하지 않고도 로그 이벤트, 룰 매치 등 모든 데이터를 검색할 수 있습니다. 드롭다운 필드를 사용하여 필터 표현식을 만들고 다음을 사용해 그룹화할 수 있습니다 AND and OR 기능입니다. 또한 검색에서 PantherFlow 쿼리를 실행할 수 있으며—이를 통해 시각화 를 만들어 사용자 지정 대시보드.

에 추가할 수 있습니다. 필터 표현식은 다음과 같은 다양한 방식으로 구성할 수 있습니다: 키/값 쌍 , 자유 텍스트 검색, 또는 정규 표현식 검색입니다. 이들 각각은 또한 와일드카드 문자를 사용할 수 있습니다. 서로 다른 유형의 필터 표현식을 하나의 검색에서 결합할 수 있습니다.

검색을 실행하면 결과 이벤트의 시간 분포를 시각화하는 히스토그램 아래에 결과 테이블이 표시됩니다. 결과 테이블은 사용자 지정이 가능하며—다음과 같이 이벤트 필드를 열로 추가하거나 제거할 수 있습니다 . 결과 테이블에서 또한 포함/제외 필터를 추가 하여 검색, 피벗 및 관련 보강 데이터 조회를 할 수 있습니다. 또한 Panther AI를 사용하여 결과 집합을 요약할 수 있습니다.

당신은 팀과 협업할 수 있습니다 결과 테이블을 다운로드하거나 Panther에서 특정 검색에 대한 링크를 공유하여.

검색 사용 방법

다음 항목을 사용하여 데이터를 효과적으로 검색할 수 있습니다:

• 필터 조합: 먼저 데이터베이스, 테이블, 및 날짜 범위 필터에서 선택을 시작한 다음 자신만의 필터 표현식을 만드세요.

• PantherFlow: 아래에서 Search에서 PantherFlow를 사용하는 방법을 알아보세요

데이터베이스, 테이블 및 날짜 범위 필터 사용

데이터베이스, 테이블 및 날짜 범위 필터를 사용하여 검색 범위를 좁히세요. 이러한 컨트롤 사용은 선택 사항이지만 대용량 데이터 집합을 검색할 때 검색 성능을 크게 향상시킬 수 있습니다. 아래에서 각 필터에 대해 자세히 알아보세요.

만약 당신이 Search에서 PantherFlow 쿼리를 작성하면 Panther는 쿼리 텍스트를 데이터베이스, 테이블 및 날짜 범위 필터 값과 동기화하려고 시도합니다. 자세한 내용은 PantherFlow 쿼리 텍스트 및 필터 동기화.

데이터베이스 필터

데이터베이스 필터를 사용하여 검색을 특정 데이터베이스로 좁히세요. 예를 들어 다음만 로그 또는 룰 매치.

이 필터의 기본값은 로그입니다. 데이터베이스 필터에 포함된 옵션은 다음과 같습니다:

• 룰 매치

• 로그

• 조회(룩업)

• 모니터

• 클라우드 보안

• 룰 오류

• 신호

테이블 필터

테이블 필터를 사용하여 데이터베이스 필터로 지정된 데이터베이스 내의 특정 테이블로 검색을 좁힐 수 있습니다. 데이터베이스 필터.

이 필터의 기본값은 모든 테이블는 포함된 각 데이터베이스의 모든 테이블을 포함합니다. 이 드롭다운에서 특정 테이블만 선택하여 검색을 좁힐 수 있습니다.

날짜 범위 필터

날짜 범위 필터를 사용하여 검색을 특정 기간으로 좁히세요.

이 필터의 기본값은 지난 20분입니다. 미리 설정된 상대 옵션(예: 지난 1시간 또는 지난 주) 중 하나를 사용하거나, 상대 시간으로 자신만의 상대 창을 설정하거나, 전체 기간으로 시간 제약을 제거하거나, 사용자 지정 범위로 특정 창을 설정할 수 있습니다. 사용자 지정 범위를 사용할 때에는 검색에서 시간대가 어떻게 사용되는지.

를 주의하세요

만약 귀하의 Panther 콘솔에서 UTC 시간대 표시 설정이 이(가) 켜짐이면, 검색 도구는 타임스탬프를 표시할 때 항상 협정 세계시(UTC)를 사용합니다. 설정이 꺼짐이면, 검색 도구는 다음 위치에서 타임스탬프를 표시할 때 로컬 시간대를 사용합니다:

• 다음에서 사용자 지정 범위를 생성할 때 날짜 범위 필터:

• 에서 키/값 필터 표현식 에서 값이 타임스탬프인 경우:

• 결과 테이블에서 시간 열:

  • 결과 테이블의 다른 타임스탬프 열(예: 그 열이 시간이 아닌 경우)은 여전히 UTC로 표시됩니다.

  • 이벤트에 표시된 타임스탬프(포함하여 p_event_time)은 JSON 이벤트 슬라이드아웃 패널 및 이벤트 결과 테이블의 열 에서 표시되는 경우에도 여전히 UTC로 표시됩니다.

    

필터 표현식 생성

필터 표현식은 다음을 포함하는 조항입니다: 키/값 검색 논리, 자유 검색어 , 또는 일치 패턴입니다. 필터 표현식을 생성하려면 검색 필터 추가 바를 클릭하거나 필터 표현식 추가 키보드 단축키.

키/값 필터 표현식

키/값 필터 표현식에서는 이벤트 키를 선택하고(필요한 경우) 값을 제공합니다.

키/값 필터 표현식을 생성하려면:

1. 바를 클릭하거나, 필터 표현식 추가 검색 필터 추가 단축키를 사용하세요 키보드 단축키.

2. 드롭다운 목록에서 이벤트 키를 선택하세요. 드롭다운 메뉴에는 다음 범주로 그룹화된 옵션이 포함되어 있습니다:

   • Panther 필드: 다음을 포함합니다 지표 필드 (또는 알려진 p_any 필드), 및 핵심 필드 (p_udm 필드), 이는 로그 유형 전반에서 검색할 때 유용합니다.

   • 여러 테이블: 둘 이상의 로그 유형에서 발견되는 필드입니다.

   • 일치하는 필드를 가진 모든 나머지 테이블은 알파벳 순으로 표시됩니다.

3. 드롭다운 메뉴에서 연산자(조건이라고도 함)를 선택하세요.

   • 드롭다운 옵션은 선택된 필드의 데이터 유형에 적용 가능한 항목으로 제한됩니다.

   • 사용 가능한 연산자의 전체 목록은 검색 필터 연산자.

4. 에서 확인하세요.

   • 선택한 연산자가 값을 필요로 하는 경우 값을 입력하세요. 와일드카드 문자를 사용하는 방법에 대해 자세히 알아보려면 아래를 참조하세요.

5. 다른 필터 표현식을 더 생성하려면:

   • 를 생성하려면, AND 필터를 생성한 수평 바(같은 바 내) 바깥쪽을 클릭하거나, 탭.

   • 를 생성하려면, OR 필터를 생성하려면, 클릭하세요 + OR 조건 추가.

6. 검색을 실행할 준비가 되면 클릭하거나 검색 또는 엔터.

   • 를 누르세요. 두 줄보다 많은 행이 있으면 접힙니다. 모든 필터를 확장하려면 표시 +n 조건.

을 클릭하세요. 또한 빠르게 초기 검색의 결과 집합에서 키/값 필터 표현식을 생성할 수 있습니다 .

자유 텍스트 필터 표현식

자유 텍스트 필터 표현식에서는 문자열을 입력합니다.

자유 텍스트 필터 표현식은 데이터베이스, 테이블 및 날짜 제약 내에서 모든 이벤트의 모든 필드(복잡한 객체에 중첩된 필드 포함)를 검색하므로 검색 실행에 오랜 시간이 걸릴 수 있습니다.

자유 텍스트 필터 표현식을 사용하는 동안 검색 성능을 향상시키려면, 검색할 테이블의 하위 집합을 선택하세요 .

자유 텍스트 필터 표현식을 생성하려면:

1. 바를 클릭하거나, 필터 표현식 추가 검색 필터 추가 단축키를 사용하세요 키보드 단축키.

2. 텍스트 값을 입력하세요.

   • 선택한 연산자가 값을 필요로 하는 경우 값을 입력하세요. 와일드카드 문자를 사용하는 방법에 대해 자세히 알아보려면 아래를 참조하세요.

3. 다른 필터 표현식을 더 생성하려면:

   • 를 생성하려면, AND 필터를 생성한 수평 바(같은 바 내) 바깥쪽을 클릭하거나, 탭.

   • 를 생성하려면, OR 필터를 생성하려면, 클릭하세요 + OR 조건 추가.

4. 검색을 실행할 준비가 되면 클릭하거나 검색 또는 엔터.

   • 를 누르세요. 두 줄보다 많은 행이 있으면 접힙니다. 모든 필터를 확장하려면 표시 +n 조건.

정규 표현식(regex) 필터 표현식

검색에서 정규식을 사용하는 것은 로그 전반에 걸친 동적 텍스트 기반 검색에 강력할 수 있습니다. Search는 POSIX 확장 정규식.

를 지원합니다.

1. 바를 클릭하거나, 필터 표현식 추가 검색 필터 추가 단축키를 사용하세요 키보드 단축키.

2. 정규식 필터 표현식을 생성하려면: 키보드 단축키.

   • 정규식 모드로 입력하려면 정규식 키보드 단축키.

3. 을 사용하세요. 정규식 모드에서 나가려면 동일한.

   • 선택한 연산자가 값을 필요로 하는 경우 값을 입력하세요. 와일드카드 문자를 사용하는 방법에 대해 자세히 알아보려면 아래를 참조하세요.

4. 다른 필터 표현식을 더 생성하려면:

   • 를 생성하려면, AND 필터를 생성한 수평 바(같은 바 내) 바깥쪽을 클릭하거나, 탭.

   • 를 생성하려면, OR 필터를 생성하려면, 클릭하세요 + OR 조건 추가.

5. 검색을 실행할 준비가 되면 클릭하거나 검색 또는 엔터.

   • 를 누르세요. 두 줄보다 많은 행이 있으면 접힙니다. 모든 필터를 확장하려면 표시 +n 조건.

을 반복하면 됩니다.

검색하려는 정규식을 입력하세요. 예:*.*aws:.*admin.* 필터 표현식에서 와일드카드 사용 와일드카드 문자( )는 문자열이나 표현식의 시작, 중간 또는 끝에 자리 표시자로 사용할 수 있습니다. 와일드카드 문자는 키/값 필터 표현식 내에서 사용할 수 있습니다), (키의 유형이 , 또는 문자열: type.

이고 연산자가

• LIKE * 인 경우에만)

• 자유 텍스트 필터 표현식 * 인 경우에만)

• 정규식 필터 표현식 * 인 경우에만)

와일드카드 문자의 위치는 어떤 데이터가 일치로 반환되는지를 결정합니다:

시작: 해당 PantherFlow.

에서 앞서거나 그 위치에 있는 모든 문자(들)가 일치로 간주됩니다.

중간: 해당

1. 에서의 모든 문자(들)가 끝: 해당 Searching Indicators of Compromise

2. 바를 클릭하거나, 필터 표현식 추가 검색 필터 추가 단축키를 사용하세요 키보드 단축키.

3. 이 기능은

4. 로 검색할 때는 사용할 수 없습니다 공개된 침해 공지에 대응하거나 위협 헌팅을 할 때, 조직의 이벤트 로그 전반에서 침해 지표(IoC) 목록의 값이 발견되는지 여부를 빠르게 확인해야 할 수 있습니다. Search에서 IoC를 검색하려면:

   • 다음과 같은 데이터베이스, 테이블 및 날짜 범위 필터선택을 하세요. 필터 표현식에서 와일드카드 사용지표나 지표 목록을 입력하거나 붙여넣으세요. 표시되는 드롭다운 옵션에서.

   • (자동 감지) OR.

5. 옵션을 선택하세요. 검색 또는 엔터.

Search는 공백, 쉼표 및 세미콜론이 있는 부분에서 입력된 문자열을 구문 분석한 다음 각 값이

Panther 지표 필드

와 일치하는지 감지합니다. 감지된 각 지표 필드에 대해 Search는 하나의 필터 표현식을 생성합니다. 다른 값은 여전히

동작	Mac	Windows/Linux
필터 표현식 추가 정규식 모드 입력 또는 종료	⌘/	⌃/
현재 그룹의 모든 필터 선택	⌘A	⌃A
선택한 필터 복사	⌘C	⌃C
붙여넣기	⌘V	⌃V
실행 취소	⌘Z	⌃Z
다시 실행	⇧⌘Z	⇧⌃Z
선택된 필터 삭제	⌫	⌫

검색에서 PantherFlow 사용

PantherFlow는 Panther 버전 1.110부터 오픈 베타이며 모든 고객이 사용할 수 있습니다. 버그 리포트나 기능 요청이 있으면 Panther 지원팀과 공유해 주세요.

다음의 PantherFlow 검색에서 쿼리 실행:

1. Panther 콘솔의 왼쪽 탐색 막대에서 조사(Investigate) > 검색.

2. 의 왼쪽에서 데이터베이스 필터PantherFlow 모드 토글을 클릭하세요.

   • 이렇게 하면 필터 표현식 생성기가 자연어 입력 필드와 PantherFlow 코드 편집기로 대체됩니다.

     
3. PantherFlow 코드 편집기에서 쿼리를 입력하거나 ( 자연어로 쿼리를 설명 하려면 위의 텍스트 상자를 사용하세요).

   • 쿼리를 입력하는 동안 데이터베이스, 테이블, 및 날짜 범위 필터 페이지 오른쪽 상단의 값들은 PantherFlow 쿼리 텍스트와 동기화됩니다. 자세한 내용은 PantherFlow 쿼리 텍스트 및 필터 동기화.

   • PantherFlow 쿼리 구성 방법은 PantherFlow 문서에서 알아보세요.

   • 현재의 PantherFlow의 제한 사항.

4. 옵션을 선택하세요. 검색.

PantherFlow 쿼리 텍스트 및 필터 동기화

PantherFlow 쿼리 텍스트와 필터 동기화는 Panther 버전 1.116부터 오픈 베타이며 모든 고객이 사용할 수 있습니다. 버그 리포트나 기능 요청이 있으면 Panther 지원팀과 공유해 주세요.

PantherFlow 쿼리를 입력하거나 데이터베이스, 테이블, 및 날짜 범위 필터 값을 입력한 후 Panther는 쿼리 텍스트와 필터 값을 동기화하려고 시도합니다.

PantherFlow 쿼리 텍스트와 필터를 동기화할 수 없는 경우 PantherFlow 쿼리 텍스트가 우선하며 필터 값은 무시됩니다.

PantherFlow 쿼리를 입력하거나 업데이트하면 필터 값에 변경이 발생합니다:

• PantherFlow 쿼리에서 데이터베이스나 테이블을 지정하면 데이터베이스 and 테이블 필터 값이 각각 업데이트됩니다.

• 날짜/시간 범위( | where p_event_time... 문장)를 PantherFlow 쿼리에서 지정하면 날짜 범위 필터.

PantherFlow 쿼리를 입력한 후, 데이터베이스, 테이블 또는 날짜 범위 필터 를 업데이트하면 PantherFlow 쿼리 텍스트에 변경이 발생합니다:

• 필터 값을 업데이트했을 때 PantherFlow 쿼리가 이미 해당 값을 지정하고 있으면(예: 날짜 범위 필터 를 업데이트했는데 쿼리에 이미 | where p_event_time... 문장이 포함된 날짜/시간 범위가 지정된 경우) 쿼리의 해당 부분이 필터 값과 일치하도록 업데이트됩니다.

• 필터 값을 업데이트했을 때 PantherFlow 쿼리에 해당 값이 아직 지정되어 있지 않으면(예: 데이터베이스 필터 를 업데이트했는데 쿼리에 데이터베이스가 아직 지정되어 있지 않은 경우) 필터 값을 지정하는 새 줄이 삽입됩니다.

  • 데이터베이스 및 테이블 변경은 PantherFlow 쿼리 상단의 새 줄로 표시됩니다. 날짜/시간 변경은 데이터베이스/테이블 문장 아래의 새 줄로 표시됩니다.

AI 기반 PantherFlow 쿼리 생성(베타)

AI 기반 PantherFlow 쿼리 생성은 Panther 버전 1.118부터 오픈 베타이며 모든 고객이 사용할 수 있습니다. 버그 리포트나 기능 요청이 있으면 Panther 지원팀과 공유해 주세요.

PantherFlow 쿼리를 직접 작성하는 것 외에도 다음을 사용하여 자연어로 쿼리를 생성할 수 있습니다: Panther AI즉, 어떤 언어로든 평문으로 검색 의도를 설명하면 됩니다. 예: "지난 24시간 동안 Okta System Log에서 실패한 로그인 표시."

생성하고자 하는 쿼리를 설명하는 동안 @ 멘션으로 데이터 테이블 이름 자동완성 제안을 받을 수 있습니다. 특정 데이터 테이블을 지정하지 않으면 Panther AI가 설명에 기반해 관련 테이블을 자동으로 제안합니다.

AI 기반 쿼리 생성을 사용하려면:

1. Panther 콘솔의 왼쪽 탐색 막대에서 조사(Investigate) > 검색.

2. 의 왼쪽에서 데이터베이스 필터PantherFlow 모드 토글을 클릭하세요.

   • 이렇게 하면 필터 표현식 생성기가 자연어 입력 필드와 PantherFlow 코드 편집기로 대체됩니다.

   
3. PantherFlow 편집기 위의 텍스트 상자에 수행하려는 검색을 설명하세요.

   • 현재의 PantherFlow의 제한 사항.

   
4. 텍스트 입력 상자 오른쪽에서 화살표(쿼리 생성)를 클릭하세요.

   
5. 생성된 PantherFlow 쿼리를 검토하고 필요한 변경을 한 다음 클릭하세요 검색.

   

저장된 검색 생성

Search에서 저장된 검색을 생성할 수는 있지만 이를 예약(즉, 스케줄된 검색).

을 생성하는 것)은 불가능합니다. 저장된 및 예약된 검색.

저장된 검색을 생성하면 자주 사용하는 검색을 빠르게 재사용할 수 있습니다. 자세한 내용은

1. 다음 지침을 따라 검색을 생성하세요 검색 사용 방법.

2. 상자의 검색 필터 추가 아래에서 다른 이름으로 저장(Save As).

   
3. 팝업 모달에서 필드 값을 입력하세요:

   • 검색 이름: 설명적인 이름을 추가하세요.

   • 태그 (선택 사항): 태그를 추가하세요. 태그는 관련 검색을 그룹화하는 데 도움이 됩니다.

   • 설명 (선택 사항): 검색의 목적을 설명하세요.

4. 옵션을 선택하세요. 검색 저장.

   • 다음 섹션에서 저장된 검색을 여는 방법과 재사용 방법을 알아보세요.

Search 도구에서 저장된 검색 열고 재사용하기

Search 도구에서 저장된 검색을 생성한 후 이를 보고 재사용할 수 있습니다. Search 페이지나 저장된 검색 페이지에서 열 수 있습니다.

검색 페이지

Search 페이지에서 저장된 검색을 열기:

1. Panther 콘솔의 왼쪽 탐색 막대에서 조사(Investigate) > 검색.

2. 오른쪽 상단에서 점 세 개 아이콘을 클릭한 다음 저장된 검색 열기.

   • 하나의 검색 열기 모달이 팝업되어 이전에 저장된 검색을 표시합니다.

3. 열고자 하는 검색을 찾아 선택한 다음 클릭하세요 검색 열기.

   • 저장된 검색이 Search에 채워집니다.

저장된 검색 페이지

검색 결과 분석

검색 결과에는 히스토그램 , 결과 이벤트 표, 및 요약 시각화.

검색 결과 히스토그램

결과 히스토그램은 검색의 날짜 및 시간 창 내 이벤트 분포를 표시하여 결과를 빠르게 맥락화하는 데 도움을 줍니다.

검색이 실행된 후 히스토그램은 기본적으로 축소된 상태로 표시됩니다. 차트 오른쪽 상단의 대각선 화살표 버튼을 클릭하면 확장할 수 있습니다. 버튼을 다시 클릭하면 차트가 다시 축소됩니다.

히스토그램과 상호작용하기

기간별 로그 유형별 개수에 대한 추가 데이터 인사이트를 보려면 차트 내의 막대 위에 마우스를 올리세요.

사각형에는 "2024년 6월 05일 수요일, 15:00 (UTC)."라는 텍스트가 있고 아래에는 "AWS.CloudTrail" 및 "Panther.Audit."가 있습니다.

히스토그램 막대 중 하나의 기간으로 설정된 시간 범위로 새로운 검색을 드릴다운하여 새 탭에서 만들려면 해당 막대를 클릭하세요.

이 드릴다운 기능은 1분보다 긴 기간을 나타내는 표의 막대에 대해서만 사용할 수 있습니다.

결과 테이블에서 필드 추가, 제거 및 재정렬

다음 작업으로 검색의 결과 테이블을 사용자화할 수 있습니다: 추가, 제거, 및 재정렬 열.

또한 다음을 수행할 수 있습니다: 결과 테이블에서 직접 새 필터 생성, 결과 테이블 값으로 필터 표현식 대체, 및 결과 테이블 값에 대한 인리치먼트 데이터 탐색.

Search 결과 테이블에 열을 추가하는 방법

결과 테이블에 열을 추가하려면 사용 가능한 필드 목록 의 왼쪽에서 또는 JSON 이벤트 보기.

에서 추가할 수 있습니다. 중첩된 필드는 JSON 이벤트 보기.

사용 가능한 필드 목록에서만 테이블에 추가할 수 있습니다.

사용 가능한 필드 목록에서 Search 결과 테이블에 열 추가하기

1. 결과 테이블 왼쪽의 필드 목록에서 사용 가능한 필드 헤더 내에서 결과 테이블에 추가하려는 열을 찾으세요.

   

   • 이 목록에는 최상위 필드만 표시됩니다. 중첩된 필드를 테이블에 추가하려면 JSON 이벤트 보기.

2. 필드 오른쪽에 있는 + (더하기 기호)를 클릭하세요.

   • 필드가 결과 테이블의 열로 추가되고, 테이블 왼쪽의 선택된 필드.

JSON 이벤트 보기

필드 위에 마우스를 올렸을 때

Search 결과 테이블에서 열을 제거하는 방법 선택된 필드 목록 결과 테이블에서 열을 제거하려면 JSON 이벤트 보기테이블 왼쪽의 , 또는.

테이블 헤더 행

선택된 필드 목록

1. 결과 테이블 왼쪽의 필드 목록에서 선택된 필드 선택된 필드 목록에서 Search 결과 테이블에서 열 제거하기

2. 필드 오른쪽에 있는 - 헤더에서 결과 테이블에서 제거하려는 필드를 찾으세요.

   

   (빼기 기호).

   • 그 필드의 열이 결과 테이블에서 제거되고, 테이블 왼쪽의 사용 가능한 필드.

JSON 이벤트 보기

\

X

• Search 결과 테이블에서 열의 순서를 변경하는 방법

결과 테이블에서 열 헤더를 클릭하여 원하는 위치로 드래그하면 열의 순서를 변경할 수 있습니다.

전체 결과 이벤트 보기 이벤트 결과 테이블은 기본적으로 압축된 보기로 로드됩니다. 이 보기에서는 종종 큰 이벤트 필드를 단일 행에 모두 표시합니다. 이 보기에서

값을 보려면 가로로 스크롤하세요. 전체 이벤트 데이터를 더 쉽게 보려면 상세 테이블 보기 JSON 이벤트 슬라이드아웃 패널또는 을(를) 사용할 수 있습니다. 슬라이드아웃 패널을 사용하면.

Panther 필드를 표시하거나 숨길 수 있는 추가 이점이 있습니다.

Panther 필드 이벤트 상세 결과 테이블 보기

결과 테이블은 대안으로 로그를 자세한 보기로 표시할 수 있습니다. 이 보기에서는

JSON 이벤트 슬라이드아웃 패널

필드 값을 이벤트의 다른 필드 아래의 새 행에 텍스트 줄바꿈과 함께 표시합니다.

자세한 보기를 활성화하려면 테이블 오른쪽 상단의 토글 버튼을 클릭하세요: 을(를) 사용할 수 있습니다. 슬라이드아웃 패널을 사용하면 이벤트 행을 클릭하면 전체 이벤트 데이터를 JSON 형식으로 볼 수 있습니다. 그러면 브라우저 창 오른쪽에 슬라이드아웃 패널이 열립니다. JSON 이벤트 보기에서 는 JSON 객체 상단에 이벤트 필드에 이어 표시됩니다. 이 필드들은

토글을 클릭하여 숨기거나 표시할 수 있습니다. 슬라이드아웃 패널에서 필드 위에 마우스를 올리면 필터 추가와 같은 추가 작업을 수행할 수 있는 아이콘이 표시됩니다. 자세한 내용은.

검색 반복(iteration)

검색 결과 요약 차트 검색 결과 내에서의,」「t201":"시각화"} 탭은 필드 값에 대한 막대 차트를 표시하여 데이터에 대한 빠른 통찰을 제공할 수 있습니다. 이러한 차트를 보려면 클릭하세요 검색 결과 내에서의,」「t201":"시각화"}.

또한 다음을 수행할 수 있습니다: 요약 차트에서 직접 필터 만들기, 요약 차트의 값으로 필터 교체, 및 요약 차트 값에 대한 인리치먼트 데이터 탐색.

요약 차트 추가 또는 제거 방법

결과 패널 왼쪽의 사용 가능한 필드 and 선택된 필드 목록을 사용하여 이벤트 필드에 대한 시각화를 추가하거나 제거합니다. 필드를 추가하거나 제거하면 해당 필드가 차트와 결과 테이블의 열 모두에서 표시되거나 숨겨집니다.

시각화를 추가하려면:

• 내에서 사용 가능한 필드 목록에서 필드 이름 오른쪽에 있는 +.

  

시각화를 제거하려면:

• 내에서 선택된 필드 목록에서 필드 이름 오른쪽에 있는 –.

  

차트의 정렬 순서 설정 방법

결과를 오름차순(낮은 값에서 높은 값)으로 정렬하려면:

• 시각화의 오른쪽 상단 모서리에서 아래쪽을 가리키는 화살표 아이콘을 클릭하세요:

  

결과를 내림차순(높은 값에서 낮은 값)으로 정렬하려면:

• 시각화의 오른쪽 상단 모서리에서 위쪽을 가리키는 화살표 아이콘을 클릭하세요:

  

차트에 표시되는 값 수를 확장하거나 축소하는 방법

• 시각화에서 처음 25개 값을 보려면 오른쪽 하단 모서리에서 클릭하세요 상위 25개 표시. 이용 가능한 값이 25개 미만인 경우 텍스트는 모든 <number> 행 표시 대신 표시됩니다. 시각화에서 처음 5개 값만 보려면 오른쪽 하단 모서리에서 클릭하세요 추가 행 숨기기.

Panther AI 검색 결과 요약

Search의 AI 이벤트 요약은 Panther 버전 1.113부터 오픈 베타로 제공되며 모든 고객이 이용할 수 있습니다. 버그 보고나 기능 요청은 Panther 지원팀에 공유해 주세요.

Panther AI 기능 사용은 다음의 영향 받습니다 법률 페이지의 AI 고지사항.

검색을 실행하여 결과가 생성되면, Panther AI가 생성한 결과 이벤트의 요약을 볼 수 있습니다. 여기에서 AI 검색 결과 요약의 전체 비디오 데모를 시청하세요.

AI 이벤트 요약은 로그가 나타내는 작업을 설명하는 경향이 있으며, 여기에는 행위자 식별, 접근한 리소스 명시, 제기된 보안 위험 평가, 작업을 MITRE ATT&CK 전술과 연결하는 것 등이 포함될 수 있습니다. AI 응답 길이 을 구성하는 방법을 포함한 Panther AI에 대한 자세한 내용은 에서 AI 응답 관리 Panther AI and Panther AI 응답 기록 관리.

결과 테이블에 표시된 이벤트에 대한 AI 생성 요약을 보려면:

1. 검색을 실행한 후 결과 테이블의 오른쪽 상단 모서리에서 클릭하세요 AI 요약 보기.

   

   • 슬라이드 아웃 패널에서 Panther AI가 생성한 요약을 확인하세요.

     • 요약되는 이벤트는 결과 테이블에 로드되어 보이는 이벤트입니다—기본적으로는 25개 이벤트입니다. 결과 테이블의 끝까지 스크롤하여 더 많은 이벤트를 로드한 후 클릭하면 AI 요약 보기, 더 많은 수의 이벤트가 요약됩니다.\

       
2. (선택 사항) 슬라이드 아웃 패널 상단의 프롬프트 입력 상자에서 후속 질문을 하거나 Panther AI에게 특정 작업을 지시할 수 있습니다. 이러한 프롬프트와 그 응답은 AI 응답 기록. 예를 들면:

   • 이 사용자는 누구인가요?

   • 이 활동으로 Panther 탐지를 생성하세요.

     • Panther AI에게 탐지 생성을 요청하면 일반적으로 응답 길이 설정이 긴.

     • AI 검색 결과 요약 이후의 탐지 생성 전체 비디오 데모를 여기에서 시청하세요.

   • 이 사용자가 오늘 생성한 CloudTrail 로그가 있는지 확인하려면 검색을 실행하세요.결과 테이블에서 제거하려는 필드를 찾으세요.

     

슬라이드아웃 패널에서 필드 위에 마우스를 올리면 필터 추가와 같은 추가 작업을 수행할 수 있는 아이콘이 표시됩니다. 자세한 내용은

JSON 이벤트 슬라이드 아웃 패널과 요약 차트에서 직접 다음을 수행할 수 있습니다 포함/제외 필터 생성, 결과 값으로 필터 식 교체, 및 인리치먼트 데이터 탐색.

결과에서 포함 또는 제외 필터 식을 만드는 방법

슬라이드 아웃 패널

JSON 이벤트 슬라이드 아웃 패널에서 필터 식을 만드는 방법

1. 결과 테이블에서 관심 있는 이벤트 행을 찾아 클릭하세요.

   • JSON 이벤트 슬라이드 아웃 패널이 표시됩니다.

2. JSON 이벤트 슬라이드 아웃 패널에서 포함 또는 제외 필터 식을 만들려는 값 위에 마우스를 올리세요.

   • 포함 필터를 만들려면 클릭하세요 .

   • 제외 필터를 만들려면 클릭하세요 .

3. 창 상단의 검색창에서 새 필터 식을 확인하세요.

4. 검색 결과를 새로 고치려면 클릭하세요 검색.

결과 요약 차트

결과에서 값으로 필터 식을 교체하는 방법

슬라이드 아웃 패널

결과 테이블에서 값으로 필터 식을 교체하는 방법

1. 결과 테이블에서 관심 있는 이벤트 행을 찾아 클릭하세요.

   • JSON 이벤트 슬라이드 아웃 패널이 표시됩니다.

2. JSON 이벤트 슬라이드 아웃 패널에서 피벗하려는 필드 위에 마우스를 올리세요.

   

   JSON 이벤트 슬라이드 아웃 패널에서 필드에 마우스를 올리면 표시되는 버튼의 툴팁에 "값으로 필터 교체"라고 표시됩니다.
3. 교체 아이콘을 클릭하세요 .

   • 기존의 모든 필터는 피벗한 키/값만을 나타내는 필터 식으로 교체됩니다.

4. 검색 결과를 새로 고치려면 클릭하세요 검색.

결과 요약 차트

결과의 값에 대한 인리치먼트 데이터를 탐색하는 방법

슬라이드 아웃 패널

JSON 이벤트 슬라이드 아웃 패널의 값에 대한 인리치먼트 데이터를 탐색하는 방법

1. 결과 테이블에서 관심 있는 이벤트 행을 찾아 클릭하세요.

   • JSON 이벤트 슬라이드 아웃 패널이 표시됩니다.

2. JSON 이벤트 슬라이드 아웃 패널에서 탐색하려는 값 위에 마우스를 올리세요 인리치먼트 데이터 에 대한.

3. 인리치먼트 아이콘을 클릭하세요 .

4. 에서 인리치먼트 조회 팝업 모달에서 LOOKUP TABLE 열을 사용하여 탐색하려는 인리치먼트 소스의 행을 찾은 다음 클릭하세요 JSON 보기→.

   • 인리치먼트 항목이 표시됩니다.

결과 요약 차트

검색 공유

조사하거나 위협 헌팅을 하는 동안 팀과 검색 또는 결과 집합을 공유하는 것이 유용할 수 있습니다. 이렇게 하려면:

1. 결과 테이블의 오른쪽 상단 모서리에서 클릭하세요 공유:

   
2. 메뉴 옵션 중 하나를 선택하세요:

   • 보기용 링크 복사: 이 특정 검색에 대한 URL을 클립보드에 복사합니다.

   • (결과가 1000개 이하인 경우) CSV 다운로드: 결과 테이블의 CSV를 다운로드합니다.

결과 집합이 1000행을 초과하는 경우의 CSV 생성은 Panther 버전 1.114부터 오픈 베타로 제공되며 모든 고객이 이용할 수 있습니다. 버그 보고나 기능 요청은 Panther 지원팀에 공유해 주세요.

• (결과가 1000개 초과인 경우) CSV 생성: Panther가 결과의 CSV 파일(최대 1GB)을 비동기적으로 생성하기 시작하면 Panther 콘솔 왼쪽 하단에 팝업이 표시됩니다:

  • Panther가 CSV 생성을 완료하고 다운로드할 준비가 되면 알림를 받게 됩니다. CSV에 접근하려면 다음 중 하나를 수행하세요:

    • Panther 콘솔 왼쪽 하단의 팝업 알림에서 클릭하세요 CSV 다운로드.

    • 에서 CSV 다운로드 준비 알림에서 알림 목록, 클릭하세요 CSV 다운로드이 다운로드 링크는 12시간 후 만료됩니다—그 시간 이후에는 알림의 검색 링크를 클릭하여 쿼리로 돌아가 CSV를 다시 생성할 수 있습니다.

      

      "알림" 헤더 아래에 "CSV 다운로드" 버튼이 원으로 표시되어 있습니다.