> ## Documentation Index
> Fetch the complete documentation index at: https://parser.xdr.ooo/llms.txt
> Use this file to discover all available pages before exploring further.

# 이미 일부 필드는 파싱되지만 나머지는 남는 로그

> 복잡한 Sophos Firewall 로그의 미파싱 영역을 별도로 검토하는 실무 시나리오.

# 일부 필드만 파싱될 때

**상황:** 수십 개의 값이 추출됐지만 긴 메시지의 일부 텍스트가 남아 **log events need attention**이 표시됩니다. 이 문제는 따옴표 하나를 수정하는 단순 문법 오류와 다릅니다.

## 실제 연습 자료

[복잡한 Sophos XG 원본 로그 2건](https://app.parser.xdr.ooo/training/parser-studio-real-scenarios-20261021/practice/02-sophos-xg.log) · [부분 파싱 교육 영상](https://parser.xdr.ooo/ko/videos/partial.md)

![미파싱 영역이 남아 있는 실제 Web UI 화면](https://mintcdn.com/xdr-parser/eZQo8zkyp__tw0U0/images/current-09-unparsed-region.png?fit=max\&auto=format\&n=eZQo8zkyp__tw0U0\&q=85\&s=d8348e2623a2f3ab587e746bb02087f2)

### 영상과 동일한 로그 원본 직접 복사

각 코드 블록의 **복사 아이콘**으로 모든 내용을 복사한 다음 Parser Studio에 붙여 넣으세요. 각 줄은 하나의 원본 이벤트이며 영상과 같은 결과를 재현하기 위해 수정하지 마세요.

[전체 화면 영상 및 다운로드 자료](https://parser.xdr.ooo/ko/videos/partial.md).

#### 복잡한 Sophos XG 방화벽 원본 2건 — Add Logs에 붙여 넣기

**원본 크기:** 1821 bytes · **파일명:** `02-sophos-xg.log` · 영상과 같은 이벤트 줄 수를 유지합니다.

```text theme={null}
device="SFW" date=2017-01-31 time=14:16:19 timezone="IST" device_name="CR750iNG-XP" device_id=C44313350024- P29PUA log_id=010101600001 log_type="Firewall" log_component="Firewall Rule" log_subtype="Allowed" status="Allow" priority=Information duration=30 fw_rule_id=2 policy_type=2 user_name="gaurav" user_gp="Open Group" iap=1 ips_policy_id=0 appfilter_policy_id=1 application="Youtube Video Streaming" application_risk=3 application_technology="Browser Based" application_category="Streaming Media" in_interface="PortA" out_interface="PortB" src_mac=00:00:00:00:00:00 src_ip=10.198.47.71 src_country_code=R1 dst_ip=81.2.69.143 dst_country_code=USA protocol="UDP" src_port=59859 dst_port=53 sent_pkts=1 recv_pkts=1 sent_bytes=77 recv_bytes=105 tran_src_ip=81.2.69.144 tran_src_port=0 tran_dst_ip= tran_dst_port=0 srczonetype="LAN" srczone="LAN" dstzonetype="WAN" dstzone="WAN" dir_disp="" connevent="Stop" connid="185246656" vconnid="" hb_health="No Heartbeat"
device="SFW" date=2018-05-30 time=13:14:26 timezone="IST" device_name="XG125w" device_id=SFDemo-763180a log_id=010102600002 log_type="Firewall" log_component="Firewall Rule" log_subtype="Denied" status="Deny" priority=Information duration=0 fw_rule_id=1 policy_type=1 user_name="" user_gp="" iap=2 ips_policy_id=0 appfilter_policy_id=0 application="" application_risk=0 application_technology="" application_category="" in_interface="Port1" out_interface="Port2.531" src_mac=b8:97:5a:5b:0f:fd src_ip=10.198.32.19 src_country_code= dst_ip=1.128.3.4 dst_country_code= protocol="ICMP" icmp_type=8 icmp_code=0 sent_pkts=0 recv_pkts=0 sent_bytes=0 recv_bytes=0 tran_src_ip= tran_src_port=0 tran_dst_ip= tran_dst_port=0 srczonetype="" srczone="" dstzonetype="" dstzone="" dir_disp="" connid="" vconnid="" hb_health="No Heartbeat" message="" appresolvedby="Signature
```

## 따라 하기

1. Auto Parser에 Manufacturer **Sophos**, Product **XG Firewall**을 입력하고 원본 두 로그를 붙여 넣습니다.
2. **Analyze Logs**를 누릅니다. 이 사례는 **0 of 2 log events parsed completely**가 표시되지만, 이미 찾은 많은 원본 필드는 그대로 유지됩니다.
3. **Problem to review**에서 **Original event**와 **Text not yet assigned to fields**를 확인합니다.
4. **Values already found**를 펼쳐 기존 필드·값을 목록으로 확인합니다.
5. **Problem to review** 안의 **Original event**와 **Text not yet assigned to fields**에서 남은 범위를 확인합니다. Tools & Diagnostics와 Re-analyze difficult logs는 현재 제품에서 제거됐습니다.
6. **Recommended fix**가 안전한 내장 조치를 제공하는지 먼저 확인합니다. 필요한 경우 **Fix with ChatGPT**로 기존 필드와 남은 원본 범위를 보존하도록 제안받습니다.
7. 새로운 규칙은 원본과 별도의 테스트 로그를 모두 통과하고 사람이 승인한 경우에만 적용합니다.

## 예상 결과

**이 실습은 의도적으로 완전 파싱으로 끝나지 않습니다.** 복잡한 미지원 영역을 올바르게 찾아내고 기존 추출값이 유지되는 것을 확인하는 것이 목표입니다.

## 복구 방법

미지원 문법에 대해 검증 가능한 추가 규칙이 없다면 원본을 보존하고 멈춰야 합니다. 경고를 지우려고 로그 행이나 잔여 영역을 삭제하지 않습니다.

[추가 추출 규칙을 ChatGPT로 검토](https://parser.xdr.ooo/ko/scenarios/recipe-ai.md)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.