케세라세라: 엘라스틱 Runtime field

2024년 5월 28일 화요일

엘라스틱 Runtime field - 9th

윈도우 4656 이벤트의 권한 요청 내역.

스플렁크는 첫 번째 요청 권한만을 별도 필드값으로 추출한다. 제일 중요한 정보라고 판단하는 건가?

엘라스틱은 전체 내역을 별도 필드로 추출한다.

첫 번째 요청 권한만 따로 추출해보자. ingest pipeline을 이용해서 첫 번째 배열값 추출.

POST _ingest/pipeline/_simulate
{
  "pipeline": {
    "processors": [
      {
        "script": {
          "source": """
	          ctx.put('target_access', ctx.message[0]);
          """
        }
      }
    ]
  },
  "docs": [
    {
      "_source": {
        "message": ["DELETE", "READ_CONTROL", "Query key value", "Set key value", "Create sub-key", "Enumerate sub-keys", "Notify about changes to keys"]  
      }
    }
  ]
}

{
  "docs": [
    {
      "doc": {
        "_index": "_index",
        "_version": "-3",
        "_id": "_id",
        "_source": {
          "message": [
            "DELETE",
            "READ_CONTROL",
            "Query key value",
            "Set key value",
            "Create sub-key",
            "Enumerate sub-keys",
            "Notify about changes to keys"
          ],
          "target_access": "DELETE"
        },
        "_ingest": {
          "timestamp": "2024-05-28T12:12:53.6007524Z"
        }
      }
    }
  ]
}