---
sourceDocument: Xanadu 보안 관리
sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/ko-KR/xanadu/security-management

 Release :

    - xanadu

ft:locale :

    - ko-KR

ft:publication_title :

    - Xanadu 보안 관리

ft:clusterId :

    - security

bundleId :

    - security

workflow :

    - Technology


---

# 정보 임포트를 MITRE-ATT\&CK 위한 자동 추출 기술 규칙

# 정보 임포트를 MITRE-ATT\&CK 위한 자동 추출 기술 규칙 {#ariaid-title1}

* 릴리스 버전: Xanadu
* 
* 업데이트 날짜 2024년 08월 01일
* 
* ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 소요 시간: 4분

기본 시스템 자동 추출 규칙을 사용하여 기존 외부 공급업체 통합에서 정보를 임포트 MITRE-ATT\&CK 합니다.
**관련 태스크**   

* [프레임워크 설정 MITRE-ATT\&CK](https://servicenow-prod.fluidtopics.net/pH5bZAqJ0uf2Dads~De1UA "조직의 위협 탐지를 위한 컬렉션을 설정할 MITRE-ATT&CK 수 있도록 프로필을 활성화 MITRE-ATT&CK 하고 예약된 작업을 설정합니다.")
* [매트릭스 관리](https://servicenow-prod.fluidtopics.net/lU1dmaK6aSun5w1ksH4hRg "컬렉션에서 MITRE TAXII 가져온 행렬을 관리합니다. 매트릭스는 전술과 기술의 모음입니다. 저장소에서 컬렉션을 사용할 수 MITRE-ATT&CK 있는지 검토할 매트릭스를 볼 수 있습니다.")
* [기술 관리](https://servicenow-prod.fluidtopics.net/ZDwSlj5B_KJDOsPCKB9FxQ "컬렉션에서 MITRE TAXII 임포트한 기술을 관리합니다. 이 기술에는 공격자가 특정 전술을 사용하기 위해 개발한 다양한 방법이 포함되어 있습니다. 조직과 관련이 없는 기술을 검토하고 비활성화할 수 있습니다. 에서 STIX기술은 공격 패턴으로 알려져 있습니다.")
* [완화 관리](https://servicenow-prod.fluidtopics.net/jcWmNfAo76YAvy903xlj_A "컬렉션에서 임포트한 완화를 MITRE TAXII 관리합니다. 완화를 사용하면 악의적 사용자가 조직에 대해 기술 또는 하위 기술을 성공적으로 실행하지 못하도록 방지할 수 있습니다. 에서 STIX완화는 작업 과정으로 알려져 있습니다.")
* [그룹 관리](https://servicenow-prod.fluidtopics.net/Q0g2s_uY70h80LCkhK9yGw "컬렉션에서 MITRE TAXII 임포트한 그룹을 관리합니다. 그룹은 보안 커뮤니티에서 일반 이름으로 추적되는 관련 침입 활동의 집합입니다. 분석가는 위협 그룹, 활동 그룹, 위협 행위자, 침입 집합 및 캠페인과 같은 다양한 용어를 사용하여 활동 클러스터를 추적합니다. 에서 STIX그룹은 침입 세트라고 합니다.")
* [맬웨어 관리](https://servicenow-prod.fluidtopics.net/nOH0_M7V1SYQNPhNE5ny0w "컬렉션에서 MITRE TAXII 임포트한 맬웨어 정보를 관리합니다. 맬웨어는 악성 코드를 나타내는 TTP의 일종입니다. 시스템에 은밀하게 삽입되는 프로그램을 말합니다. 맬웨어의 목적은 피해자의 데이터, 애플리케이션 또는 운영 체제(OS)의 기밀성, 무결성 또는 가용성을 손상시키는 것입니다.")
* [도구 관리](https://servicenow-prod.fluidtopics.net/3Snx90tJSQqqJ2dexMQPRg "컬렉션에서 MITRE TAXII 임포트한 도구 정보를 관리합니다. 도구는 위협 행위자가 공격을 수행하는 데 사용하는 합법적인 소프트웨어입니다.")
* [관계 관리 MITRE](https://servicenow-prod.fluidtopics.net/f~UBak9rxHLj27~hdniI1w "컬렉션에서 MITREMITRE TAXII 임포트한 관계 정보를 관리합니다.")
* [CVE 및 기술 매핑 관리](https://servicenow-prod.fluidtopics.net/hzb3JrVGrm0Ky8o79y8CgQ "컬렉션을 임포트 MITRE TAXII 한 후 매핑되는 CVE 및 기술 정보를 관리합니다.")
* [데이터 확장 MITRE-ATT\&CK](https://servicenow-prod.fluidtopics.net/vPD8AdiqBleTk2FvN9zLtA "에서 리포지토리 데이터를 Now Platform 보강하여 확장 MITRE-ATT&CK 합니다.")
* [데이터 소스 및 탐지 도구 매핑 정의](https://servicenow-prod.fluidtopics.net/pKUElS_gNUC3DcgTLXjPRw "전술 및 기술에 대한 데이터 소스와 탐지 도구 매핑을 MITRE-ATT&CK 정의합니다. 데이터 소스 매핑은 데이터 소스의 관련성 및 가용성에 대한 인사이트와 사용자 환경에서 데이터 소스를 모니터링하기 위한 탐지 도구를 제공합니다.")
* [데이터 소스 및 데이터 구성요소 매핑 정의](https://servicenow-prod.fluidtopics.net/lAZzWs3Kk7RgbbiOO5YuYg "최신 TAXII 컬렉션을 사용하고 있으며 데이터 소스, 데이터 구성요소 및 다양한 기술 간의 관계를 유지하려는 경우 데이터 구성요소 매핑을 사용합니다. 데이터 소스를 데이터 구성요소의 추가 컨텍스트와 매핑하여 데이터 소스에 컨텍스트의 추가 하위 계층을 제공하여 악의적 사용자의 행동을 MITRE-ATT&CK 더 잘 이해할 수 있도록 합니다.")
* [기술 탐지 범위 정의](https://servicenow-prod.fluidtopics.net/4yPFKho53xi7T_ceT2YDMw "조직에서 특정 악의적 기술을 측정하고 탐지해야 하는 기술 탐지 범위를 정의합니다.")
* [기술 탐지 범위를 기술에 매핑](https://servicenow-prod.fluidtopics.net/KXX41hyUaq8UuLCO9iMKow "조직에서 특정 악의적 기술을 탐지할 수 있는 기술과 전체 기술 탐지 범위를 매핑합니다.")
* [완화 범위 정의](https://servicenow-prod.fluidtopics.net/ti6W27Frx8PtOn2gQBB1xQ "조직에서 특정 기술로 인해 발생하는 공격을 얼마나 잘 방지할 수 있는지 파악할 수 있도록 기술과 연결된 각 완화에 대한 완화 범위를 정의합니다.")
* [완화 범위를 기술에 매핑](https://servicenow-prod.fluidtopics.net/XyMbAPHgpEvXgy4VU4bs8Q "조직의 전반적인 완화 전략을 탐지할 수 있는 기술과 완화 범위를 매핑합니다.")
* [탐지 규칙 생성 및 매핑](https://servicenow-prod.fluidtopics.net/fUKcRCfEmQVPUA_Y_x1DLg "탐지 규칙을 생성하고 전술 및 기술에 대해 매핑합니다. 이 매핑을 사용하면 조직의 탐지 규칙에 대한 범위를 볼 수 있습니다.")
* [위협 그룹 및 MITRE-ATT\&CK 기술 매핑 검토](https://servicenow-prod.fluidtopics.net/dMiOdO_LPDynYSKWdcFvzg "컬렉션에서 MITRE TAXII 가져온 위협 그룹 및 기술 개체와 개체 간의 관계 매핑 정보를 검토합니다. 이 매핑을 사용하면 기술 그룹과 해당 기술 매핑을 볼 수 있습니다.")
* [기술 히트맵 정의에 대한 위협 그룹](https://servicenow-prod.fluidtopics.net/0CCyUZXV5VeCP9Zyo9qeRg "히트맵에서 위협 그룹이 조직을 공격하는 데 사용하는 공격 패턴을 측정하고 탐지할 수 있도록 기술 히트맵 정의에 대한 위협 그룹을 정의합니다. 공격자 수가 많을수록 특정 기술을 사용하여 공격할 확률이 높아집니다.")
* [MITRE-ATT\&CK 시스템 속성 검토](https://servicenow-prod.fluidtopics.net/~z0o_eoIoIYS58LACvBXCg "MITRE-ATT&CK 시스템 속성 값을 검토합니다.")  
**관련 참조**   

* [프레임워크 시작하기 MITRE-ATT\&CK](https://servicenow-prod.fluidtopics.net/DNvoBUzJu_bxC7RhunrVuw "프레임워크 설정을 시작하기 전에 다음 정보를 검토하십시오 MITRE-ATT&CK .")
* [대상 STIX 데이터 모델 이해 MITRE](https://servicenow-prod.fluidtopics.net/A_Vqp6dOMtJ6q1z06jdwSA "에서 STIX 사용하는 MITRE 용어를 검토하고 의 프레임워크Now Platform를 MITRE-ATT&CK 효율적으로 사용하고 이해합니다.")
* [도메인 분리 및 MITRE-ATT\&CK](https://servicenow-prod.fluidtopics.net/Q5meNaRYykI3kAF9lnmeOg "이 도메인 분리 개요는 와 관련이 있습니다 MITRE-ATT&CK. 도메인 분리를 사용하여 데이터, 프로세스 및 관리 작업을 도메인이라는 논리적 그룹으로 분할할 수 있습니다. 그런 다음 사용자가 데이터를 보고 액세스할 수 있는 것을 포함하여 이러한 분리의 여러 가지 측면을 제어할 수 있습니다.")

## 위협 조회 자동 추출 규칙 사용 {#ariaid-title2}

위협 조회 자동 추출 규칙을 사용하여 기존 위협 인텔리전스 외부 공급업체 통합에서 MITRE-ATT\&CK 정보를 임포트합니다.

### 시작하기 전에

필요한 역할:

* sn_ti.admin, sn_si.admin: 만들기, 쓰기, 삭제 권한
* sn_ti.read: 읽기 권한
{#threat-lookup-auto-extraction__ul_kg3_lwl_wnb}

### 이 태스크 정보

위협 인텔리전스 샌드박스 또는 TIP와 같은 통합이 프레임워크 MITRE-ATT\&CK 를 MITRE-ATT\&CK 지원하고 각 통합 수준에서 정보가 구문 분석되면 각 위협 조회 결과 레코드에 정보가 표시됩니다. 그러나 모든 위협 인텔리전스 통합이 정보를 구문 분석하는 MITRE-ATT\&CK 것은 아닙니다. 위협 조회 전역 자동 추출 규칙은 모든 위협 인텔리전스 통합에서 정보를 추출 MITRE-ATT\&CK 할 수 있습니다.

위협 조회 결과에서 보안 인시던트로 정보를 자동으로 롤업 MITRE-ATT\&CK 하도록 선택할 수 있습니다. 위협 조회 결과를 보안 인시던트에 자동으로 롤업하려면 [시스템 속성을 활성화합니다](https://servicenow-prod.fluidtopics.net/~z0o_eoIoIYS58LACvBXCg "MITRE-ATT&CK 시스템 속성 값을 검토합니다."). 또는 각 개별 위협 조회 [에 대한 정보를 수동으로 롤업](https://servicenow-prod.fluidtopics.net/jvtnhJjxP2lEWNXwKe47vw "세분화된 수준에서 더 나은 보안 인시던트 및 위협 분석을 위해 전술과 기술을 옵저버블에 연결합니다 MITRE-ATT&CK .") 할 수 있습니다.

통합이 위협 인텔리전스 기술 또는 전술과 같은 정보를 제공하는 MITRE-ATT\&CK 경우 기본 시스템은 위협 인텔리전스 외부 공급업체 통합 원시 페이로드에서 위협 조회 결과 기록으로 정보를 자동으로 추출 MITRE-ATT\&CK 합니다.

MITRE-ATT\&CK 위협 조회 기록의 원시 페이로드 필드에서 정보를 사용할 수 없는 경우 외부 공급업체 통합에서 자동 추출하기 위한 고유한 규칙을 정의해야 합니다.

### 프로시저

1. 다음으로 이동 모두위협 인텔리전스MITRE ATT\&CK 관리기술 추출 규칙.
2. 새로 만들기를 클릭합니다.
3. 양식의 필드에 내용을 입력합니다.  
   {#threat-lookup-auto-extraction__table_o41_d3t_wnb__entry__2}

   | 필드 | 설명 |
   |-|-|
   | 이름 | 자동 추출 규칙 이름입니다. |
   | 규칙 유형 | 자동 추출 규칙 유형입니다. 위협 조회를 선택합니다. |
   | 자동 추출 무시 | 기본적으로 이 설정은 지워집니다. 이 설정을 사용하면 기술을 자동으로 추출할 MITRE-ATT\&CK 수 있습니다. |
   | 소스 엔진 | 소스 엔진. |
   | 전역 | 소스 엔진 설정. 소스 엔진을 전역으로 설정하면 추출이 모든 위협 조회 통합 결과에서 실행됩니다. |
   | 설명 | 자동 추출 규칙에 대한 설명입니다. |
   | 프로세스 방법 | 원시 페이로드에서 기술 정보를 연결하기 위해 지정하는 정규 표현식 또는 스크립트 메서드입니다. |
   | 정규 표현식 추출 | 정규 표현식 추출 방법을 사용할 때 대상 필드에 지정하는 옵션입니다. Regex가 기본값입니다. |
   | 스크립트 추출 | 스크립트를 실행할 때 선택하는 프로세스입니다. 스크립트는 다음을 검토합니다. * threatLookupResultSysId: 위협 조회 결과 기록의 sys_id * sourceName: 위협 조회 소스의 이름입니다. {#threat-lookup-auto-extraction__ul_cbr_4kt_wnb} |
   | 방법 추출 | 원시 페이로드에서 방법 관련 정보를 추출하기 위해 지정하는 옵션입니다. 페이로드에 특정 전술 및 기술 관련 정보가 포함되어 있는 경우 정보를 추출하여 보안 인시던트에 추가할 수 있습니다. |
   [표 1. 기술 추출 규칙 양식]

   {#threat-lookup-auto-extraction__table_o41_d3t_wnb}
4. 제출을 클릭합니다.

## SIEM 자동 추출 규칙 사용 {#ariaid-title3}

SIEM 자동 추출 규칙을 사용하여 기존 보안 운영 SIEM 외부 공급업체 통합에서 정보를 임포트 MITRE-ATT\&CK 합니다.

### 시작하기 전에

필요한 역할:

* sn_ti.admin, sn_si.admin: 만들기, 쓰기, 삭제 권한
* sn_ti.read: 읽기 권한
{#siem-auto-extraction__ul_kg3_lwl_wnb}

### 이 태스크 정보

기술 추출 규칙은 Splunk, IBM QRadar 및 ArcSight 통합과 같은 모든 기본 시스템 보안 운영 SIEM 통합에 사용할 수 있습니다. Now Platform 이러한 SIEM 통합에서 경보 또는 이벤트 데이터를 수집하고 정보를 Now Platform 포함하는 MITRE-ATT\&CK 경우 원시 페이로드를 처리하고 정보를 자동으로 추출합니다MITRE-ATT\&CK.

Now Platform 기본 시스템 SIEM 통합이 포함된 경우 기술 추출 규칙이 모듈에 MITRE-ATT\&CK 이미 생성되어 있음을 의미합니다. 필요한 경우 규칙을 검토하고 수정해야 합니다.

SIEM 자동 추출 규칙 또는 경보 규칙을 한 번에 사용하도록 설정합니다.

### 프로시저

1. 다음으로 이동 모두위협 인텔리전스MITRE ATT\&CK 관리기술 추출 규칙.
2. 새로 만들기를 클릭합니다.
3. 양식의 필드에 내용을 입력합니다.  
   {#siem-auto-extraction__table_o41_d3t_wnb__entry__2}

   | 필드 | 설명 |
   |-|-|
   | 이름 | 자동 추출 규칙 이름입니다. |
   | 규칙 유형 | 자동 추출 규칙 유형입니다. SIEM을 선택합니다. |
   | 자동 추출 무시 | 이 설정은 기본적으로 지워져 있습니다. 이 설정을 사용하면 기술을 자동으로 추출할 MITRE-ATT\&CK 수 있습니다. |
   | 임포트 테이블 | 기본 시스템 SIEM 통합을 위해 자동으로 매핑되는 임포트 테이블입니다. 정보를 위해 다른 SIEM 통합에 대해 이 필드를 검토하고 그에 따라 매핑합니다 MITRE-ATT\&CK . |
   | 임포트 필드 | 기본 시스템 SIEM 통합을 위해 자동으로 매핑되는 임포트 필드입니다. 정보를 위해 다른 SIEM 통합에 대해 이 필드를 검토하고 그에 따라 매핑합니다 MITRE-ATT\&CK . |
   | 설명 | 자동 추출 규칙. |
   | 프로세스 방법 | 원시 페이로드에서 기술 정보를 연결하기 위해 지정하는 정규 표현식 또는 스크립트 메서드입니다. |
   | 정규 표현식 추출 | 정규 표현식 방법을 사용할 때 대상 필드에 지정하는 옵션입니다. 정규 표현식 추출은 기본 프로세스 방법입니다. |
   | 스크립트 추출 | 정보를 추출하는 방법을 MITRE-ATT\&CK 사용자 지정하려는 경우 사용하는 스크립트 프로세스 방법입니다. |
   | 방법 추출 | 원시 페이로드에서 방법 관련 정보를 추출하기 위해 지정하는 옵션입니다. 페이로드에 특정 전술 및 기술 관련 정보가 포함되어 있는 경우 정보를 추출하여 보안 인시던트에 추가할 수 있습니다. |
   [표 2. 기술 추출 규칙 양식]

   {#siem-auto-extraction__table_o41_d3t_wnb}

   다음 그림에서는 폼 뷰에서 SIEM 기술 추출 규칙의 Splunk Enterprise 예를 볼 수 있습니다. 이 규칙은 다른 모든 SIEM 기술 추출 규칙과 유사합니다.
4. 제출을 클릭합니다.