목차/04. View와 Report

04View와 ReportView와 Report

로그를 숫자의 나열이 아니라 그림으로 바꿔 보면 무슨 일이 일어났는지 훨씬 빨리 이해됩니다. View 와 Report 는 로그와 이벤트를 쿼리해서 차트·표·지도 같은 그래픽으로 그려 주는 시각화 도구 입니다. 분석 목적으로도, 보고·발표 목적으로도 쓸 수 있도록 풍부하고 자유롭게 꾸밀 수 있습니다. 이 장은 View와 Report가 무엇이고 어떻게 다른지, 카탈로그에서 어떻게 찾아 여는지, MITRE ATT&CK 같은 특수 View를 어떻게 활용하는지, 그리고 내보내기·공유·템플릿·스케줄·이메일·커스터마이즈·widget·필터를 어디 하나 빠뜨리지 않고 정리합니다.

View와 Report는 두 곳에서 만들고 편집합니다.

SmartConsole — 왼쪽 탐색 패널에서 Logs & Events > Logs 를 엽니다.
SmartView 웹 애플리케이션 — 브라우저에서 View를 만들고 편집하려면 다음 주소로 접속합니다.

https://<Server IP Address>/smartview/

여기서 <Server IP Address> 는 Security Management Server 또는 SmartEvent Server의 IP 주소입니다.

View와 Report — 무엇이 다른가

View 는 여러 widget으로 짜인 대화형 대시보드 입니다. 각 widget은 쿼리 하나의 결과물이며, 그 정보를 차트·표 또는 다른 형식으로 보여 줍니다. View는 관리자와 이해관계자에게 보안·네트워크 이벤트의 상황을 알려 주는 역할을 하고, 대부분의 widget을 더블클릭하면 더 구체적인 View나 원시 로그 파일로 드릴다운 해 자세히 파고들 수 있습니다.

반면 Report 는 여러 View와 표지(cover page)를 묶은 문서 입니다. View 여러 개로 구성되므로 한 View보다 더 많은 세부 내용을 담고, 커스터마이즈·필터링·생성·스케줄이 모두 가능합니다. 다만 한 가지 결정적 차이가 있습니다 — Report에서는 드릴다운을 할 수 없습니다.

한마디로 정리하면 View는 파고들며 분석하는 도구, Report는 정리해서 전달하는 보고 문서 입니다. 둘 다 미리 정의된 것이 여럿 제공되고, 필요에 맞춰 새로 만들거나 기존 것을 고쳐 쓸 수 있습니다.

카탈로그 — 모든 View·Report의 입구

Logs & Events view에서 (+) 탭 을 누르면 미리 정의된 것과 커스텀을 모두 모은 카탈로그 가 열립니다. View나 Report를 클릭하면 바로 열리고, 새로 만들거나 PDF로 내보낼 수도 있습니다. 그 밖의 동작은 Actions 메뉴에서 찾습니다.

① Open Log View / Audit Logs View ② Views(+Compliance View) ③ Reports ④ Favorites·Recent ⑤ Table/Thumbnails 전환 ⑥ Scheduled Tasks ⑦ Archive ⑧ Catalog 새 탭 — 카탈로그 구성

카탈로그의 각 요소는 다음과 같습니다.

번호	항목	설명
①	Open Log View / Open Audit Logs View	Open Log View는 모든 Log Server의 로그 를 보고 검색합니다(SmartConsole에서만 특정 Log Server의 로그를 검색할 수 있음). Open Audit Logs View는 SmartConsole 관리자가 한 행동의 기록 을 보여 줍니다. 이 두 View는 Log Server에서 옵니다. Compliance View를 뺀 나머지 모든 View·Report는 SmartEvent Server에서 옵니다.
②	Views (+ Compliance View)	미리 정의된 View와 커스텀 View 목록. View는 widget으로 짜인 대화형 대시보드이며 각 widget은 쿼리의 결과입니다. Compliance View 는 보안 설정을 최적화하고 규제 준수를 돕습니다.
③	Reports	미리 정의된 Report와 커스텀 Report 목록. Report는 여러 View로 구성돼 더 자세하며, 커스터마이즈·필터·생성·스케줄이 됩니다. 드릴다운은 불가 합니다.
④	Favorites / Recent	Favorites는 자주 쓰는 View·Report 모음 , Recent는 가장 최근에 연 항목 입니다.
⑤	Table View / Thumbnails View 전환	Views와 Reports는 Table 보기가 기본 , Favorites·Recent·Logs는 Thumbnails 보기가 기본 입니다.
⑥	Scheduled Tasks	예약 작업을 보고 편집합니다.
⑦	Archive	내보낸 View·Report를 다운로드 합니다.
⑧	Catalog (New Tab)	새 카탈로그 탭을 열어 Log View, Audit View, Views, Reports를 고릅니다. View를 열 때는 더블클릭하거나, 항목을 선택한 뒤 action bar에서 Open 을 누릅니다.

View 화면은 어떻게 생겼나

View를 열면 widget·옵션·쿼리 검색줄·기간이 한 화면에 배치됩니다.

① Widget ② Options ③ Query search bar ④ Time Period — View 화면 구성

번호	항목	설명
①	Widget	쿼리의 결과. 차트·표 등 여러 형식으로 정보를 보여 주며, 대부분의 widget을 더블클릭하면 더 구체적인 View나 원시 로그로 드릴다운 됩니다.
②	Options	View를 커스터마이즈하거나, 기본값 복원, Hide Identities(신원 숨기기), View 복사, View 내보내기를 합니다.
③	Query search bar	GUI 도구로 또는 직접 입력해 맞춤 쿼리를 정의 합니다. 가장 최근 쿼리의 정의가 표시되며, Query Syntax 를 누르면 온라인 도움말이 열립니다.
④	Time Period	View가 다룰 기간을 지정 합니다.

View나 Report 열기

가장 자주 마주치는 보안 문제는 미리 정의된 그래픽 View·Report로 곧장 살펴볼 수 있고, 필요하면 직접 손봐 쓸 수도 있습니다. 여는 절차는 다음과 같습니다.

SmartConsole에서 Logs & Events view를 엽니다.
+ 아이콘을 눌러 새 카탈로그를 엽니다.
Views 또는 Reports 를 클릭합니다.
View나 Report를 골라 Open 을 누릅니다(더블클릭으로도 열림).
필요한 기간(timeframe)을 정하고 검색줄에서 필터링 합니다.
Enter 를 누릅니다.

Report에 관한 한 가지 호환성 참고

MITRE ATT&CK View — 공격자 관점으로 보기

보안 사고를 공격자가 사용한 전술(tactic)과 기법(technique)의 관점 으로 조사하고 싶을 때 MITRE ATT&CK View 를 씁니다. 이는 보안 사고를 들여다보는 새로운 방법론으로, 쓰려면 SmartEvent와 함께 Threat Emulation·IPS·Anti-Bot 중 하나 이상 의 blade가 켜져 있어야 합니다.

SmartView에서 MITRE ATT&CK View로 할 수 있는 일은 다음과 같습니다.

공격자가 우리 네트워크를 상대로 쓴 전술(악성 파일)과 기법을 빠르게 찾아냅니다.
heat map으로 상위 기법을 짚고 , 악성 파일로 피해가 발생한 지점까지 드릴다운한 다음, MITRE ATT&CK의 완화(mitigation) 권고 를 따릅니다.
완화 흐름을 바탕으로 즉시 취할 조치 항목 을 뽑아냅니다.

MITRE ATT&CK View에 접근하는 절차입니다.

Views에서 새 카탈로그를 열고 MITRE ATT&CK View를 고릅니다. heat map 표가 열리는데, 색이 진할수록 공격 시도 횟수가 많은 칸입니다.

가장 진한 빨강의 기법 칸을 더블클릭하면 더 깊이 파고들 수 있습니다.
여러 악성 메일·파일 다운로드를 살펴보고 로그 중 하나를 클릭합니다.

로그 안에서 그 공격에 쓰인 MITRE ATT&CK 전술·기법 전체 목록 을 확인합니다.
기법을 짚었으면(예: Execution 아래의 Service Execution) https://attack.mitre.org/ 에서 상세 설명을 봅니다.

더 깊은 설명은 Threat Prevention 가이드의 Cyber Attack View·MITRE를 함께 보세요.

내보내기 — PDF와 CSV

Export to PDF 와 Export to CSV 옵션은 현재 View·Report를 정의된 필터와 기간에 맞춰 PDF 또는 CSV 파일로 저장 합니다. 내보낸 결과를 받으려면 새 탭(+)을 열고 Tasks > Archive 로 갑니다.

View·Report를 PDF나 CSV로 내보내는 절차입니다.

SmartConsole에서 Logs & Events view를 엽니다.
+ 탭을 눌러 새 탭을 엽니다.
Views 또는 Reports 를 클릭합니다.
View나 Report를 선택합니다.
Export to PDF 를 클릭합니다. 선택적으로:
- Period 와 필터를 구성합니다.
- View·Report가 실행될 때마다 지정한 수신자에게 자동으로 이메일을 보내려면 Send by email 설정을 구성합니다(아래 "이메일 설정" 참고).

또는 Open 한 뒤 View·Report 안에서 Options > Export to PDF 또는 Export to CSV 를 눌러도 됩니다.

Network Activity Report 생성하기

Network Activity Report 는 상위 출처·목적지·서비스 같은 주요 Firewall 연결 을 보여 주는 대표적인 Report입니다. 이를 만들려면 SmartEvent가 먼저 Firewall 로그를 인덱싱 해야 합니다. 인덱싱은 Standalone을 제외한 모든 환경에서 R80 이상이면 기본으로 켜져 있습니다.

R80.10 이상 Security Gateway에서 이 Report를 켜는 방법은 한 가지뿐입니다.

SmartConsole의 Access Control Policy 규칙에서 Track 설정에 per Session 을 더합니다(로그 다루기의 Tracking Options 참고).

R77.30 이하 Security Gateway에서 켜는 방법은 다음과 같습니다.

SmartConsole에서 Logs & Events view를 엽니다.
(+) 를 눌러 새 탭을 엽니다.
External Apps 섹션에서 SmartEvent Settings & Policy 링크를 클릭합니다.
SmartEvent GUI client의 Policy 탭에서 Consolidated Sessions 를 선택해 펼칩니다.
Firewall Session 을 선택합니다.

Report 공유하기

만든 Report는 내보내고 가져오는 과정 없이 팀과 곧장 공유(Share) 할 수 있습니다. 일반 관리자가 공유하면 같은 도메인의 모든 관리자에게 보이고, Multi-Domain Server의 super admin이 공유하면 모든 도메인의 모든 사용자에게 보입니다.

Report를 공유하는 절차입니다.

SmartConsole에서 Logs & Events 를 열고 + 로 새 탭을 엽니다.
Reports 를 클릭해 Report를 고릅니다.
Actions 를 누르고 Share 를 선택합니다.

Yes 를 눌러 공유를 승인합니다. 이제 그 Report는 공유됨으로 표시됩니다.

공유를 해제하려면 Report 소유자가 Actions > Unshare 를 선택합니다.

소유자가 View·Report를 공유했을 때의 권한은 다음과 같습니다.

역할	카탈로그에 표시	편집	복제	삭제
Owner(소유자)	O	O	O	O
Super User	O	X	O	X

Template 내보내기·가져오기

View·Report의 레이아웃과 widget 정의만 파일로 빼낸 것 을 Template 이라 합니다. 다른 서버나 다른 관리자가 만든 template을 가져와 쓸 수 있습니다.

레이아웃과 widget 정의를 파일로 빼내려면 Export Template 옵션을 씁니다.
내보낸 template을 다운로드하려면 알림 메시지의 링크를 클릭합니다. 과거의 Report·View·template을 보려면 Tasks > Archive 로 갑니다.
다른 서버·관리자가 만든 파일을 가져오려면 새 카탈로그 탭(Catalog new tab)에서 Import Template 옵션을 씁니다.

View나 Report 스케줄하기

정기 보고가 필요하면 반복 주기·기간·필터를 정해 자동 실행·발송 하도록 예약할 수 있습니다. 스케줄하려면 먼저 SmartConsole에서 그 View·Report를 정의·편집해 두어야 합니다. Report를 스케줄하는 절차입니다.

SmartConsole에서 Logs & Events view를 엽니다.
+ 탭을 눌러 새 탭을 엽니다.
Views 또는 Reports 를 클릭합니다.
View나 Report를 선택합니다.
Actions > Schedule PDF 또는 Schedule CSV 를 선택하면 Export settings 창의 Schedule 페이지가 열립니다.
반복 패턴(recurrence pattern) 을 정의합니다.
Period 와 Filter 를 정의합니다.
(선택) 예약된 View·Report를 자동으로 이메일로 받으려면 Send by email 을 구성합니다.

예약한 View·Report를 편집하려면 새 탭을 연 뒤 Tasks > Scheduled 로 갑니다.

View·Report 커스터마이즈

기존 View·Report는 열어서 손보거나 새로 정의할 수 있습니다. 커스터마이즈 절차입니다.

View나 Report를 골라 Open 합니다.
Options > Edit 를 클릭합니다.

Report에서는 Report 자체를 편집하거나, Report 안의 현재 View 를 편집할 수 있습니다.
- 더하거나 빼려면 편집 모드에서 나타나는 편집 도구막대의 해당 아이콘을 누릅니다.
- widget을 추가하거나 View 안에서 배치하려면 드래그&드롭 하거나 펼칩니다.
- 필터를 정의합니다(아래 "필터" 참고).

View Settings

View는 다음 옵션으로 구성합니다.

제목(title) 을 입력합니다.
더 많은 결과를 보이려면, PDF로 저장할 때 표가 여러 페이지에 걸쳐 펼쳐지도록 허용합니다. No page limit 옵션은 선택한 표 쿼리의 모든 결과를 필요한 만큼 여러 페이지에 펼쳐 보여 줍니다.
이 컨트롤에 데이터가 없을 때 무엇을 보일지 고릅니다 — 페이지를 제거하거나, 기본 메시지 또는 맞춤 메시지를 보입니다.
View를 template으로 삼아 필터·정렬 기준을 더합니다. View를 바탕으로 더 세분화된 중복 View를 한 번에 생성 할 때 씁니다.

사용 예 — 사용자별 세분 View : 미리 정의된 Active Users View는 모든 활성 사용자를 보여 줍니다. 이를 사용자 한 명 한 명별로 쪼개 보고 싶다면 —

Active Users View를 열고 Options > View settings 를 누릅니다. View Settings 창이 열립니다.
Use View as template 을 선택합니다.
Filter each view by 에서 User 를 고릅니다.
Number of values 를 정합니다(예: 5).
OK 를 누릅니다.
Options > Export > Export to PDF 로 갑니다.
View가 내보내집니다. 성공 메시지가 뜰 때까지 기다립니다.
Download 를 누릅니다.

그러면 Report에 View 안의 모든 widget이 사용자별로 필터링돼 나타납니다.

View를 다른 Report로 복사하기

View를 다른 Report에 복사하는 절차입니다.

원하는 View를 마우스 오른쪽 클릭합니다.
View 이름이 붙은 복사 옵션이 나타납니다.

Copy: [view name] 을 선택합니다.
View를 붙여 넣을 Report로 이동합니다.
Options > Edit 로 갑니다.

Report의 빈 공간을 마우스 오른쪽 클릭합니다.
Paste 드롭다운에서 붙여 넣을 View를 고릅니다.

Done 을 누릅니다.

Report Settings

Report도 자체 옵션으로 구성할 수 있습니다.

이메일 설정

View·Report가 실행될 때마다 지정한 수신자에게 자동으로 이메일 발송 할 수 있습니다.

이메일 서버 설정

SmartConsole과 SmartView의 메일 서버 설정은 모든 이메일 작업에 공유 됩니다. SmartConsole 관리자마다 한 번만 설정 하면 됩니다. 이메일 서버를 구성하는 절차입니다.

카탈로그에서 View나 Report를 선택합니다.
Export to PDF, 또는 Actions > Schedule PDF / Schedule CSV 를 누릅니다.
Send by email 을 클릭합니다.
Email Server 섹션에서 Edit 를 누릅니다.

이메일 서버 옵션을 구성합니다.
- Sender email address — 모든 Report 이메일에 표시되는 발신자 주소.
- Outgoing mail server (SMTP) — 보내는 메일 서버.
- Port — 기본 포트는 25.
- Use authentication (선택) — 서버가 요구하면 Username·Password를 구성.
- Connection encryption (선택) — 서버가 요구하면 SSL 또는 TLS 선택.
OK 를 누릅니다.

이메일 수신자 설정

수신자는 View·Report를 실행할 때마다, 또는 예약 Report라면 한 번만 정의합니다.

카탈로그에서 View나 Report를 선택합니다.
Export to PDF, 또는 Actions > Schedule PDF / Schedule CSV 를 누릅니다.
Send by email 을 클릭합니다.
Email recipients 섹션에서 + 를 눌러 이메일 주소를 입력합니다(여러 개 추가 가능).
OK 를 누릅니다.

Report에 로고 넣기

Report 표지에 Check Point 로고 대신 회사 로고 를 넣을 수 있습니다.

로고 이미지를 cover-company-logo.png 라는 이름의 PNG 파일로 저장합니다.
그 이미지를 SmartEvent Server의 $RTDIR/smartview/conf/ 디렉터리에 복사합니다.

Widget

widget은 시각적 표현을 다듬는 단위 입니다. 커스터마이즈하려면 편집 모드로 들어갑니다 — Options > Edit. 한 widget을 복사해 다른 View에서 쓸 수도 있습니다.

변경을 저장하려면 Done 을 누릅니다.
변경을 취소하려면 Discard 를 누릅니다.
미리 정의된 View를 기본값으로 되돌리려면 Options > Restore Defaults 를 누릅니다.

widget 추가·커스터마이즈

widget을 추가하는 절차입니다.

View나 Report를 더블클릭해 엽니다.
Options > Edit 를 클릭합니다.
Add Widget 을 누르고 widget 종류를 고릅니다.

widget 종류별 설정은 다음과 같습니다.

Chart 설정

제목 입력.
차트 종류 선택 — 세로 막대(vertical bar)·가로 막대(horizontal bar)·파이(pie)·영역(area)·선(line).
X축의 데이터 범주 선택.
Top Values 계산 방식 정의(로그 개수 기준 또는 트래픽 기준).
상위 몇 개까지 보일지 한도 설정.
(선택) Series — 결과를 색이 다른 그룹으로 나눠 series별 값을 보입니다.

(선택) Customize — 축 제목과 범례 위치를 정의합니다.

Timeline 설정

제목 입력.
표현 방식 선택 — 세로 막대·도넛(doughnut)·영역·선.
셀 데이터 선택.
Advanced — 결과를 색이 다른 그룹으로 나눠 series별 값을 보임.
시간 단위(time-granularity) 정의 — 보일 막대·도넛 개수 입력.

Table 설정

제목 입력.
열 관리 — 추가·편집·제거·순서 변경.
왼쪽에서 열을 골라 설정 정의 — 상위 값 개수 입력, 정렬 방식 선택.
같은 값을 가진 결과를 한 행으로 묶는 옵션 선택.

Map 설정

제목 입력.
표시할 상위 국가(Top Countries) 개수 입력.
Top Source Countries, Top Destination Countries, 또는 둘 다 표시할지 선택.
상위 국가를 찾는 방식 정의(예: 로그 개수 또는 트래픽 기준).

Infographic 설정 — infographic widget은 크고 의미 있는 값 을 보여 줍니다.

제목 입력.
셀 필드 선택 — None 을 고르면 필터 조건에 맞는 모든 로그가 카운트됩니다.
필터 조건 정의 — 이 조건은 Report·View 계층에서 상속받은 필터에 더해서 적용됩니다.
(선택) 아이콘 이름 입력. 아래 목록에서 고르되 대소문자와 하이픈 사용에 주의 합니다.

아이콘 이름	용도
`apps`	애플리케이션
`attacks`	공격
`hosts`	호스트
`gateway`	게이트웨이
`traffic`	트래픽
`usercheck`	UserCheck
`users`	사용자
`new`	Audit Logs(신규)
`add`	Audit Logs(추가)
`remove`	Audit Logs(제거)
`modify`	Audit Logs(수정)
`install-policy`	정책 설치
`publish`	게시(publish)
`ips`	IPS
`anti-bot`	Anti-Bot
`anti-virus`	Anti-Virus
`threat-emulation`	Threat Emulation

카운트한 값을 설명하는 기본 텍스트(primary text) 입력.
(선택) 더 자세한 설명을 위한 보조 텍스트(secondary text) 입력.

Container 설정 — container는 여러 widget을 하나의 틀로 묶는 widget입니다. container를 추가한 뒤 그 안의 widget을 더하거나 편집·제거합니다.

제목 입력.
(선택) container 수준에서 필터링 — 이 필터는 내부의 모든 widget에 적용됩니다.
container 안 widget 배치 순서 선택 — Horizontal·Vertical·Grid·Tabs.

container를 View에 추가한 뒤 더 구성할 수 있습니다.

container에서 widget 제거.
새 widget 추가.
container 설정 편집, 또는 목록의 widget 중 하나 편집.

이 창에서는 View 텍스트 상자에 설명 문구(textual explanation) 를 추가합니다.

이어서:

OK 를 누릅니다.
Report·View 계층에서 상속받은 필터에 더해 widget용 필터를 선택합니다.
widget의 설정을 구성합니다.

이미 있는 widget을 커스터마이즈하는 절차입니다.

widget이 있는 View에서 Options > Edit 를 누릅니다.

해당 widget으로 가서 톱니바퀴 아이콘 을 눌러 이미지 속성을 편집합니다.

원하는 속성을 편집합니다.
Done 을 누릅니다.

widget을 다른 위치로 복사하기

한 View·Report에서 쓰던 widget을 다른 View·Report에 붙여 넣을 수 있습니다.

원하는 widget을 마우스 오른쪽 클릭합니다.
widget 이름이 붙은 복사 옵션이 나타납니다.

Copy: [widget name] 을 선택합니다.
붙여 넣을 View·Report로 이동합니다.
Options > Edit 로 갑니다.

View·Report의 빈 공간을 마우스 오른쪽 클릭하고, Paste 드롭다운에서 붙여 넣을 widget을 고릅니다.

Done 을 누릅니다.

필터

검색줄(search bar)은 즉석(on-demand) 필터 를 적용하는 곳이지만, 필터를 View·Report 정의에 함께 저장할 수도 있습니다.

필터에는 세 층 이 있습니다.

전체 Report에 적용하는 필터.
한 View(Report 안의 특정 페이지)와 그 페이지의 모든 widget에 적용하는 필터.
선택한 widget에만 적용하는 필터.

View 필터를 편집하는 방법입니다.

+(plus) 버튼을 눌러 필터를 추가합니다. 필터를 지우려면 X 버튼을 누릅니다.
필드를 선택합니다. 자유 텍스트 검색 을 켜려면 Custom Filter 를 고릅니다.
비교 방식(comparison method)을 선택합니다.
값을 선택하거나 입력합니다(값을 여러 개 정의 가능).

Active Directory 사용자 그룹으로 필터링하기

로그·Report·View를 하나 이상의 Active Directory 그룹 으로 걸러낼 수 있습니다.

Access Control Policy에서, 쿼리에 넣고 싶은 모든 Active Directory 그룹을 포함하는 Access Role 을 만듭니다.
Security Gateway에 Access Control Policy를 설치합니다.
Identity Awareness 로그인 로그 를 보고, 관련 그룹 이름을 복사합니다. 보통 ad_ 접두사 가 붙어 있습니다.
User Group 필드 필터를 추가하고, 거르고 싶은 그룹 이름을 입력하거나 붙여 넣습니다. 여러 그룹은 쉼표로 구분한 목록 으로 넣습니다.

이렇게 만든 View·Report로 분석을 마쳤다면, 이벤트 단위로 더 깊이 파고드는 방법은 SmartEvent로 이벤트 분석에서 이어집니다.