이벤트 필드 이해하기

이벤트 유형과 관련된 작업 예시:

거래 또는 작전의 시작과 종료 사이의 밀리초 기간. 예를 들어, DNS 또는 HTTP 이벤트에서 요청과 대응 간의 시간 간격을 반영합니다.

DNS 이벤트 하위 유형에 대해

NAT 또는 경로 지정 구성을 사용하여 네트워크 규칙에 정의된, 트래픽이 송신되는 PoP의 이름

사이트와 연결된 것과 다른 PoP에서 트래픽이 송신될 때만 필드가 표시됩니다

이벤트에 대한 Cato 설명

BGP 경로 무시 작업에 대해:

관련 파일의 이름

참고: 감지 시점에 PoP가 실제 파일 이름을 캡처할 수 없는 경우 URL의 마지막 부분을 파일 이름으로 사용합니다, 예를 들어 다운로드

파일 콘텐츠 유형(예: 아카이브 또는 Microsoft Office)

파일 제어 규칙 추가의 경우, form_data는 HTTP 요청에서 일반적으로 사용되는 웹 양식을 통해 제출된 데이터의 일반적인 표현입니다(예: 다중 부분 양식 제출). 별개의 파일 유형을 나타내지 않습니다.

HTTP 상태 코드는 DNS 요청, DNS-over-HTTPS(DoH) 서버가 DoH를 사용한 경우 반환됩니다.

DNS 및 앱 보안 이벤트의 하위 유형에 대해

이번 이벤트에 사용된 ISP

IP 주소가 ISP에 의해 제공되지 않을 때, 이벤트 메시지는 IP 주소는 정적으로 할당됩니다

참고: 여러 활성 WAN 인터페이스를 사용하고 서로 다른 ISP를 사용하는 사이트의 경우, 트래픽 흐름의 라이프타임 동안 인터페이스가 변경될 수 있으므로 ISP 이름 값이 정확하지 않을 수 있습니다.

관련 IPS 이벤트의 경우, 사이버 적수에 대한 종합적인 Mitre Att&ck 지식 베이스 기반의 데이터를 보여줍니다

이 이벤트의 트래픽에 의해 일치된 네트워크 규칙의 이름

값이 0인 경우, 플로우에 패킷 손상 문제가 발생했거나, Socket WebUI에 액세스하는 등 시스템 플로우인 경우를 나타냅니다.

PoP에 의해 트래픽이 송신된 공인 IP 주소. 인터넷 트래픽 백홀링을 라우팅 방법으로 사용하는 사이트의 경우, 이 필드는 사이트의 네이티브 범위에 대한 로컬 IP 주소를 표시합니다．

PoP에서 인터넷으로 송신되지 않는 트래픽, 예: 내부 DNS 요청 및 FTP 트래픽에 대해 필드가 표시되지 않습니다.

쿼리 유형 (예: DNS 쿼리: A, AAAA, MX 또는 PTR)

DNS 및 앱 보안 이벤트 하위 유형의 경우

이 이벤트의 애플리케이션 식별 과정의 일환으로, 트래픽 흐름에서 식별된 애플리케이션 목록입니다.

이 프로세스는 플로우의 다양한 단계에서 트래픽을 분석하여 모든 프로토콜, 서비스 및 애플리케이션에 대한 정보를 수집하여 애플리케이션의 정확한 최종 결정을 내립니다. 이 필드는 프로세스의 단계 전반에 걸쳐 식별된 앱을 표시하여 앱 식별에 대한 컨텍스트를 제공합니다.

바이트로 요청 패킷 크기 (예: DNS 요청 패킷)

DNS와 앱 보안 이벤트 하위 유형에 대해

바이트 단위의 DNS 대응 패킷 크기 (즉, DNS 대응 패킷)

DNS 및 앱 보안 이벤트 하위 유형 동안

호스트 또는 네트워크에 대한 위협의 전체 영향을 나타내는 IPS 이벤트:

위험 수준 낮음 - 네트워크에 대한 최소 위험, 예를 들어 애드웨어와 같은 경우

위험 수준 중간 - 네트워크의 중간 위험, 예를 들어 네트워크 스캔과 같은 경우

위험 수준 높음 - 네트워크의 현저한 위험, 예를 들어 스파이웨어 또는 웜과 같은 경우

이벤트의 트래픽이 TCP 가속됨을 보여줍니다. 값은 1 (가속됨)과 0 (가속되지 않음)입니다.

이 필드는 TCP 기반 트래픽 플로우에만 표시됩니다.

안티멀웨어 이벤트에 대한 경우, 악성 소프트웨어 이름

IPS 이벤트에 대해서는 트래픽이 차단된 이유를 설명합니다

안티멀웨어 스캔의 결과

이 이벤트의 TLS 오류에 대한 설명, 값은 다음과 같습니다:

닫기 알림, 예기치 않은 메시지, 잘못된 기록 mac, 압축 실패, 핸드셰이크 실패, 인증서 없음, 잘못된 인증서, 지원되지 않는 인증서, 인증서 취소됨, 인증서 만료됨, 인증서 알 수 없음, 불법 매개변수, 암호 해독 실패, 기록 오버플로우, 알 수 없는 CA, 액세스 거부됨, 디코드 오류, 암호 해독 오류, 내보내기 제한, 프로토콜 버전, 보안 불충분, 내부 오류, 사용자 취소됨, 재협상 없음, 알 수 없는 PSK ID, 알 수 없음

이 오류에 대한 설명은 이 문서를 참조하십시오.

이 이벤트에 대한 TLS 오류 유형, 값은 다음과 같습니다:

이벤트의 트래픽이 TLS인지 보여줍니다. 값은 1 (검사됨)과 0 (검사되지 않음)입니다.

이 필드는 TLS 트래픽 플로우에만 표시됩니다.

요청과 응답을 포함하여 총 트랜잭션 크기(바이트 단위)

DNS 및 App 보안 이벤트 서브유형에 대해

트래픽에 대한 HTTP 헤더의 User Agent 필드에 나타나는 로그인에 사용된 User Agent. 이 필드는 HTTP 요청에서 값이 추출되면만 채워지며, 현재 발생하는 예시는 다음과 같습니다:

이들은 사용자 에이전트 값의 예시입니다:

이 이벤트가 다음과 같은지 여부를 나타내는 참/거짓 값입니다.