CEF 및 CommonSecurityLog 필드 매핑
다음 표에서는 CEF(Common Event Format) 필드 이름을 Microsoft Sentinel의 CommonSecurityLog에서 사용하는 이름에 매핑하며 Microsoft Sentinel에서 CEF 데이터 원본으로 작업할 때 유용할 수 있습니다. 자세한 내용은 Azure Monitor 에이전트를 사용하여 Syslog 및 CEF 메시지를 Microsoft Sentinel에 수집을 참조하세요.
A - C
D
E - I
| CEF 키 이름 | CommonSecurityLog 이름 | 설명 |
|---|---|---|
| externalId | ExternalID | 원본 디바이스에서 사용하는 ID입니다. 일반적으로 이러한 값은 각각 이벤트와 연결된 늘어나는 값입니다. |
| fileCreateTime | FileCreateTime | 파일을 만든 시간입니다. |
| fileHash | FileHash | 파일의 해시입니다. |
| fileId | FileID | inode와 같은 파일과 연결된 ID입니다. |
| fileModificationTime | FileModificationTime | 파일이 마지막으로 수정된 시간입니다. |
| filePath | FilePath | 파일 이름을 포함하여 파일의 전체 경로입니다. 예를 들어 C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe 또는 /usr/bin/zip입니다. |
| filePermission | FilePermission | 파일의 사용 권한입니다. |
| fileType | FileType | 파이프, 소켓 등의 파일 형식입니다. |
| fname | FileName | 경로가 없는 파일의 이름입니다. |
| fsize | FileSize | 파일의 크기입니다. |
| 호스트 | 컴퓨터 | 호스트( Syslog에서) |
| in | ReceivedBytes | 인바운드로 전송된 바이트 수입니다. |
M - P
| CEF 키 이름 | CommonSecurityLog 이름 | 설명 |
|---|---|---|
| msg | 메시지 | 이벤트에 대한 자세한 정보를 제공하는 메시지입니다. |
| 속성 | 활동 | 사람이 읽을 수 있고 이해할 수 있는 이벤트에 대한 설명을 나타내는 문자열입니다. |
| oldFileCreateTime | OldFileCreateTime | 이전 파일을 만든 시간입니다. |
| oldFileHash | OldFileHash | 이전 파일의 해시입니다. |
| oldFileId | OldFileId | 및 이전 파일과 연결된 ID(예: inode)입니다. |
| oldFileModificationTime | OldFileModificationTime | 파일이 마지막으로 수정된 시간입니다. |
| oldFileName | OldFileName | 이전 파일의 이름입니다. |
| oldFilePath | OldFilePath | 파일 이름을 포함하여 이전 파일의 전체 경로입니다. 예를 들어 C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe 또는 /usr/bin/zip입니다. |
| oldFilePermission | OldFilePermission | 이전 파일의 사용 권한입니다. |
| oldFileSize | OldFileSize | 이전 파일의 크기입니다. |
| oldFileType | OldFileType | 파이프, 소켓 등과 같은 이전 파일의 파일 형식입니다. |
| out | SentBytes | 아웃바운드로 전송된 바이트 수입니다. |
| 결과 | EventOutcome | 이벤트의 결과(예: success 또는 failure. |
| proto | 프로토콜 | 사용된 Layer-4 프로토콜을 식별하는 전송 프로토콜입니다. 가능한 값에는 프로토콜 이름(예: TCP 또는 UDP.)이 포함됩니다. |
R - T
사용자 지정 필드
다음 표에서는 고객이 기본 제공 필드에 적용되지 않는 데이터에 사용할 수 있는 CEF 키 및 CommonSecurityLog 필드의 이름을 매핑합니다.
사용자 지정 IPv6 주소 필드
다음 표에서는 사용자 지정 데이터에 사용할 수 있는 IPv6 주소 필드의 CEF 키 및 CommonSecurityLog 이름을 매핑합니다.
| CEF 키 이름 | CommonSecurityLog 이름 |
|---|---|
| c6a1 | DeviceCustomIPv6Address1 |
| c6a1Label | DeviceCustomIPv6Address1Label |
| c6a2 | DeviceCustomIPv6Address2 |
| c6a2Label | DeviceCustomIPv6Address2Label |
| c6a3 | DeviceCustomIPv6Address3 |
| c6a3Label | DeviceCustomIPv6Address3Label |
| c6a4 | DeviceCustomIPv6Address4 |
| c6a4Label | DeviceCustomIPv6Address4Label |
| cfp1 | DeviceCustomFloatingPoint1 |
| cfp1Label | deviceCustomFloatingPoint1Label |
| cfp2 | DeviceCustomFloatingPoint2 |
| cfp2Label | deviceCustomFloatingPoint2Label |
| cfp3 | DeviceCustomFloatingPoint3 |
| cfp3Label | deviceCustomFloatingPoint3Label |
| cfp4 | DeviceCustomFloatingPoint4 |
| cfp4Label | deviceCustomFloatingPoint4Label |
사용자 지정 숫자 필드
다음 표에서는 사용자 지정 데이터에 사용할 수 있는 숫자 필드의 CEF 키 및 CommonSecurityLog 이름을 매핑합니다.
| CEF 키 이름 | CommonSecurityLog 이름 |
|---|---|
| cn1 | DeviceCustomNumber1 |
| cn1Label | DeviceCustomNumber1Label |
| cn2 | DeviceCustomNumber2 |
| cn2Label | DeviceCustomNumber2Label |
| cn3 | DeviceCustomNumber3 |
| cn3Label | DeviceCustomNumber3Label |
사용자 지정 문자열 필드
다음 표에서는 사용자 지정 데이터에 사용할 수 있는 문자열 필드의 CEF 키 및 CommonSecurityLog 이름을 매핑합니다.
| CEF 키 이름 | CommonSecurityLog 이름 |
|---|---|
| cs1 | DeviceCustomString1 1 |
| cs1Label | DeviceCustomString1Label 1 |
| cs2 | DeviceCustomString2 1 |
| cs2Label | DeviceCustomString2Label 1 |
| cs3 | DeviceCustomString3 1 |
| cs3Label | DeviceCustomString3Label 1 |
| cs4 | DeviceCustomString4 1 |
| cs4Label | DeviceCustomString4Label 1 |
| cs5 | DeviceCustomString5 1 |
| cs5Label | DeviceCustomString5Label 1 |
| cs6 | DeviceCustomString6 1 |
| cs6Label | DeviceCustomString6Label 1 |
| flexString1 | FlexString1 |
| flexString1Label | FlexString1Label |
| flexString2 | FlexString2 |
| flexString2Label | FlexString2Label |
사용자 지정 타임스탬프 필드
다음 표에서는 사용자 지정 데이터에 사용할 수 있는 타임스탬프 필드의 CEF 키 및 CommonSecurityLog 이름을 매핑합니다.
| CEF 키 이름 | CommonSecurityLog 이름 |
|---|---|
| deviceCustomDate1 | DeviceCustomDate1 |
| deviceCustomDate1Label | DeviceCustomDate1Label |
| deviceCustomDate2 | DeviceCustomDate2 |
| deviceCustomDate2Label | DeviceCustomDate2Label |
| flexDate1 | FlexDate1 |
| flexDate1Label | FlexDate1Label |
사용자 지정 정수 데이터 필드
다음 표에서는 사용자 지정 데이터에 사용할 수 있는 정수 필드의 CEF 키 및 CommonSecurityLog 이름을 매핑합니다.
| CEF 키 이름 | CommonSecurityLog 이름 |
|---|---|
| flexNumber1 | FlexNumber1 |
| flexNumber1Label | FlexNumber1Label |
| flexNumber2 | FlexNumber2 |
| flexNumber2Label | FlexNumber2Label |
보강 필드
다음 CommonSecurityLog 필드는 Microsoft Sentinel에서 원본 디바이스에서 받은 원래 이벤트를 보강하기 위해 추가되며 CEF 키에 매핑이 없습니다.
위협 인텔리전스 필드
| CommonSecurityLog 필드 이름 | 설명 |
|---|---|
| IndicatorThreatType | 위협 인텔리전스 피드에 따른 MaliciousIP 위협 유형입니다. |
| MaliciousIP | 메시지의 현재 위협 인텔리전스 피드와 상관 관계가 있는 IP 주소를 나열합니다. |
| MaliciousIPCountry | 레코드 수집 시의 지리적 정보에 따른 MaliciousIP 국가/지역입니다. |
| MaliciousIPLatitude | 레코드 수집 시 지리적 정보에 따른 MaliciousIP 경도입니다. |
| MaliciousIPLongitude | 레코드 수집 시 지리적 정보에 따른 MaliciousIP 경도입니다. |
| ReportReferenceLink | 위협 인텔리전스 보고서에 대한 링크입니다. |
| ThreatConfidence | 위협 인텔리전스 피드에 따르면 MaliciousIP 위협 신뢰도입니다. |
| ThreatDescription | 위협 인텔리전스 피드에 따른 MaliciousIP 위협 설명입니다. |
| 위협 심각도 | 레코드 수집 시 위협 인텔리전스 피드에 따라 MaliciousIP에 대한 위협 심각도입니다. |
기타 보강 필드
| CommonSecurityLog 필드 이름 | 설명 |
|---|---|
| OriginalLogSeverity | 항상 비어 있으며 CiscoASA와의 통합에서 지원됩니다. 로그 심각도 값에 대한 자세한 내용은 LogSeverity 필드를 참조하세요. |
| RemoteIP | 원격 IP 주소입니다. 가능하면 이 값은 CommunicationDirection 필드를 기준으로 합니다. |
| RemotePort | 원격 포트입니다. 가능하면 이 값은 CommunicationDirection 필드를 기준으로 합니다. |
| SimplifiedDeviceAction | DeviceAction 필드에 원래 값을 유지하면서 DeviceAction 값을 정적 값 집합으로 간소화합니다. 예: Denied>Deny |
| SourceSystem | 항상 OpsManager로 정의됩니다. |