한 장비의 여러 로그 타입을 처리하기
상황: FortiGate에서 Traffic, Web Filter, IPS 로그가 함께 발생합니다. 모두 같은 필드 구조를 갖는 것은 아닙니다.실습 로그
영상과 동일한 로그 원본 직접 복사
각 코드 블록의 복사 아이콘으로 모든 내용을 복사한 다음 Parser Studio에 붙여 넣으세요. 각 줄은 하나의 원본 이벤트이며 영상과 같은 결과를 재현하기 위해 수정하지 마세요. 전체 화면 영상 및 다운로드 자료.Traffic 그룹 — FortiGate Traffic 로그 2건
원본 크기: 1745 bytes · 파일명:04-fortigate-traffic.log · 영상과 같은 이벤트 줄 수를 유지합니다.
Threat 그룹 — FortiGate Web Filter 및 IPS 로그
원본 크기: 1373 bytes · 파일명:04-fortigate-threat.log · 영상과 같은 이벤트 줄 수를 유지합니다.
따라 하기
- Auto Parser에서 Manufacturer를 Fortinet, Product를 FortiGate로 입력합니다.
- Add Another Log Type을 눌러 두 개의 샘플 그룹을 만듭니다.
- 첫 번째 유형 이름을 Traffic, 두 번째를 Threat로 지정하고 각각 해당 로그 2개를 입력합니다.
- Analyze Logs를 실행해 4 of 4 log events parsed completely와 그룹별 이벤트 2건을 확인합니다.
- Review Fields에서 traffic과 utm 등 실제 원본의 type/subtype 값을 살펴보고 서로 다른 필드가 유지되는지 검토합니다.
- Optional: one parser for several event types의 분기 기준을 검토합니다. 이름만으로 이벤트 유형을 추정하면 안 됩니다.
- Stellar Cyber 7.0으로 필드를 매핑하고 전체 4건을 Run Final Test & Create Files에서 다시 검사합니다.