MAC	IP	Hostname	제품(모델)	Vendor	Device Type	OS	Services	최초 발견	최근 활동	위험도	승인상태	담당자

서브넷	자산 수	비관리	위험 자산(중간+높음)	미승인	휴면

Sensor가 데이터를 전송할 때 쓰는 인증 토큰을 센서별로 발급·관리합니다.

이름	설명	상태	마지막 수신	등록일	토큰

설치 프로그램 파일명에 실리는 코드입니다. 발급 응답의 파일명(SphereAgent-Setup-<코드>@<호스트>~<CA 지문>.exe)으로 받은 설치 파일은 별도 설정 없이 이 서버에 연결됩니다.

단말 인증서(mTLS)로 연결된 에이전트입니다. 제거는 여기서 발급한 제거 토큰이 있어야만 가능하고, 폐기하면 즉시 인증이 거부됩니다.

단말 인증서(mTLS)를 서명하는 CA 입니다. 교체 순서는 새 CA 발급(active) → 옛 CA 는 신뢰만 유지(retiring, 겹침) → 단말 인증서가 새 CA 로 갱신되면 옛 CA 폐기(retired). 옛 CA 인증서를 쓰는 단말이 남아 있으면 폐기가 거부됩니다(강행 시 그 단말은 재등록 필요).

모든 단말이 5분(±20%)마다 받아 서명을 검증한 뒤 원자적으로 적용합니다. 배포 revision 과 단말이 실제 적용한 revision 은 따로 표시됩니다. 값을 고치고 "새 revision 배포"를 누르면 이전 revision 은 이력에 남습니다. 배포 메모 (선택)

규칙이 구현돼 있다는 것(능력)과 고정 시나리오에서 실제로 사건을 만들었다는 것(검증)을 분리합니다. 규칙별 최신 기록이 현재 상태이고, ATT&CK 매트릭스 API 도 기법마다 이 상태를 함께 냅니다. 기록이 없으면 "미검증" 그대로 보입니다.

단말 규칙(EP-PS-001 지속성 변화, EP-EX-001 의심 부모 실행)의 알려진 정상 패턴입니다. 맞는 관찰은 사건으로 올리지 않고 억제 수만 남깁니다. IOC 는 지표 자체를 중지하세요. 패턴은 대소문자 무시 glob(*, ?).

해시(SHA-256)·IP·도메인 지표를 등록하면 매시간 단말 이벤트(지속성 파일 해시, 외부 연결 IP)와 대조해 사건으로 올립니다. IOC 일치만으로 ATT&CK 기법을 매핑하지 않습니다. 도메인은 아직 대조할 수집기가 없어 저장만 됩니다.

에이전트가 보낸 배치의 처리 상태입니다. 영속 수락(durably_received) → 저장 완료(processed) → 처리 실패(processing_failed, 원본 보존·재시도 가능). 무음 폐기는 없습니다. 저장 완료 배치의 원본은 7일 뒤 비우고 영수증은 90일 보존하며, 대기·실패 배치는 시간만으로 지우지 않습니다.

시각	유형	MAC	상세

유형	이름	ID	상태	상세	리전	계정	최근 확인	위험도

등록한 계정의 Access Key 로 EC2 인스턴스/ENI/보안그룹을 주기적으로 폴링합니다. 읽기 전용 IAM 정책(ec2:Describe*, sts:GetCallerIdentity)만 있으면 충분합니다.

프로바이더	별칭	상태	AWS 계정번호	리전	폴링 주기	최근 폴링

도메인 컨트롤러에서 읽기 전용으로 수집한 계정·비밀번호 정책입니다. 연결 시험은 "붙었다"가 아니라 요청했는데 값이 오지 않은 속성을 알려줍니다 — 속성 이름이 틀리거나 권한이 없으면 오류가 아니라 조용히 빈 값이 되기 때문입니다.

네트워크 장비/보안장비/EDR/SaaS의 API 자격증명을 등록하면, 벤더 자체 API로 가져온 호스트/장비 인벤토리를 MAC 기준으로 기존 자산과 매칭해 능동적으로 검증합니다 (패시브 탐지와 달리 "실제로 있다"를 확인).

이름	유형	공급자	상태	마지막 동기화

AWS IAM/EC2/S3/RDS/CloudTrail/GuardDuty/Config/SecurityHub/VPC 설정을 주기적으로 점검해 Misconfiguration을 탐지합니다.

–

심각

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	카테고리	항목	리소스	리전	기법	최근 확인	상태

자산이 노출한 서비스 배너에서 소프트웨어를 식별해 CVE를 찾고, CVSS(심각도)·EPSS(악용 가능성)· KEV(CISA 실제 악용 확인)를 조합해 우선순위를 매깁니다.

–

심각(KEV)

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	CVE	자산	IP	Hostname	서비스	출처	CVSS	EPSS	최근 확인	상태

EC2/탄력적 IP/EBS/ENI/보안그룹/VPC 의 연결 관계를 대조해 방치된(연결이 끊기거나 오래 미사용인) 자산을 찾아냅니다.

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	카테고리	항목	리소스	리전	최근 확인	상태

DNS/TLS SNI/HTTP Host 로 도메인을 확인해 레퍼런스 DB와 매칭된 SaaS 사용을 보여줍니다. 세션 수/사용량은 근사치(추정)이며 정밀 트래픽 계측이 아닙니다.

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

User-Agent 로 식별된 브라우저/비-브라우저 클라이언트(curl, Python 등)를 보여줍니다. 세션 수는 근사치(추정)입니다.

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

DNS/TLS SNI/HTTP Host 로 식별된 웹사이트·SNS·커뮤니티 접속을 보여줍니다. 세션 수는 근사치(추정)입니다.

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

TeamViewer/AnyDesk 등 알려진 원격제어 툴 벤더 도메인과의 통신을 보여줍니다. 세션 수는 근사치(추정)입니다. 알려진 벤더 도메인 기준이라 자체 호스팅/미등록 툴은 탐지되지 않을 수 있습니다. 최초 사용 시점에는 승인 여부와 무관하게 알림이 발송됩니다(알림 규칙에서 "원격제어 툴 사용 감지" 설정).

이름	벤더	카테고리	사용 자산 수	세션 수(근사치)	최초 사용	최근 사용	Shadow IT

이름 기준이 벤더/카테고리 기준보다 항상 우선합니다. 아무 항목도 없으면 기본값은 "미승인(Shadow IT 후보)"입니다.

기준	값	동작	메모	등록일

자산 상세 > Management 탭에 이 순서대로 나타납니다. 항목을 지워도 자산에 이미 입력된 값은 남습니다 (정의가 없어진 키는 자유 항목으로 계속 보입니다).

순서	항목명	키	유형	선택지	필수	사용

CSV 대량 등록

MAC / 자산번호 / 시리얼 번호 중 하나로 자산을 찾아 관리 속성을 채웁니다. 빈 칸은 그대로 둡니다(지우지 않습니다). 미리보기로 무엇이 바뀌는지 확인한 뒤 반영하세요.

SaaS/Application DB

현재 -건

도메인 패턴(domain_pattern) → SaaS/Application 이름 매핑 CSV를 올리면 테이블을 통째로 교체합니다. 헤더는 domain_pattern(또는 domain)/name 이 필수이고 vendor/kind/category 는 선택입니다.

도메인 패턴	이름	벤더	종류	카테고리

별도로 추가 트래픽을 보내지 않고, 이미 수행 중인 능동 확인 결과에서 SNMP community "public" 사용, SMB 서명 비활성화, 약한 TLS 버전 같은 설정 오류만 판별합니다.

–

심각

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	항목	자산	최근 확인	상태

PC/서버/비관리 자산 중 백신·EDR·DLP 트래픽이 관측된 적 있는지 확인합니다. "관측 안 됨"은 미설치를 확정하는 값이 아니라, 패시브 트래픽 관측만으로는 에이전트 통신을 못 볼 수도 있다는 한계를 반영한 결과입니다.

–

대상 자산(PC/서버/비관리)

–

보안 솔루션 관측됨

–

관측 안 됨

MAC	Hostname	장비유형	관리상태	관측된 보안 솔루션

조치 기한을 넘긴 취약점, 설정·통제 현황, 에이전트 수집 공백, 장기 미관측 자산을 한 화면에서 봅니다. 기한은 조직 정책이라 탐지 정책에서 바꿉니다. 경과일은 취약점이 공개된 뒤가 아니라 탐지 후 경과한 날입니다.

–

조치 기한 초과

–

–

설정 오류(열림)

–

–

에이전트 수집 공백

–

–

장기 미관측 자산

–

–

비밀번호·계정 수칙

–

–

AD 계정 수칙 위반

–

조치 기한을 넘긴 취약점

조치 후 재발

해결됐다 다시 열린 항목입니다 — 패치가 롤백됐거나 옛 이미지가 재배포된 신호라 단순 미조치보다 우선합니다. 현재 미조치는 마지막 재발 이후, 최초 탐지 이후는 처음 발견된 때부터입니다.

장기 미갱신 소프트웨어

열린 취약점이 있는 것만 표시합니다 — LTS처럼 버전이 안 바뀌는 게 정상인 제품이 많아 "오래됐다"만으로는 조치 사유가 아닙니다. 근거가 설치일이면 출처가 준 실제 설치 시점이고, 관측이면 우리가 그 버전을 처음 본 날이라 실제 설치는 더 이전일 수 있습니다.

레거시 인증 관측

위반 판정이 아니라 관측입니다. 업무 의존성(구형 장비·NAS)과 조직 정책을 함께 봐야 합니다.

설정·통제

에이전트 수집 공백

비밀번호·계정 수칙

AD 도메인 계정·비밀번호 수칙

장기 미관측 자산

이미 수집된 SaaS/Application 사용 이력과 Shadow IT 정책을 대조해 미승인 사용을 탐지합니다. 새 벤더 API 연동 없이 기존 관측 데이터만 사용합니다.

–

심각

–

높음

–

보통

–

낮음

–

전체 미해결

심각도	카테고리	항목	자산 / 앱	최근 확인	상태

요약

자산 현황

자산 수 추세

외부 노출 현황

노출 신호 (선택한 기간)

신호	건수	미처리	자산	ATT&CK

외부에서 접근이 기록된 자산

Hostname	IP	장비	외부 IP (국가)	포트/프로토콜	마지막 접근	횟수

애플리케이션·SaaS 탐지 현황

사용 자산 상위

서비스	종류	범주	자산	세션

취약점 및 위험

제품별 열린 취약점 (서비스 배너 기준)

제품	자산	CVE	최고 CVSS	대표 CVE	대상

우선 조치 필요

유형	제목	MAC	IP	애플리케이션	심각도	발생

관측 범위와 한계

A는 "표가 모두 채워진다"는 뜻이지 "제출 가능"이 아닙니다. 생성한 증적은 '검토 필요' 상태에서 시작하고, 사람이 채울 칸은 파일 안에 [입력: …] 노란 칸으로 남습니다.

기준 항목	증적 문서	산출물	자동 작성	생성·충족	이 사이트	최근 생성	제출 상태	동작

증적 ID	생성	대상 기간	실제 덮은 구간	데이터 기준시각	행	입력 칸	상태	동작

산출물마다 최신 생성본을 그대로 묶습니다(새로 만들지 않습니다). 묶음에는 목차·미생성 체크리스트(외부 준비 상태 포함)·수집 가동 이력·manifest(SHA-256)가 같이 들어갑니다.

패키지 ID	생성	대상 기간	증적	미생성	외부 준비	입력 칸	동작

정해진 주기에 산출물을 자동 생성하고(선택) 패키지로 묶습니다. 생성자는 'schedule:이름'으로 기록됩니다.

이름	기준	주기	대상 기간	산출물	다음 실행	마지막 실행	동작

담당자의 부서(설정 → 조직 관리)를 기준으로 집계합니다 — 담당자 미지정이거나 부서가 현재 조직도와 일치하지 않는 자산은 "미배정"으로 표시됩니다. 카드 값은 하위 조직 자산까지 합산된 값입니다. 위쪽 최상위 조직을 클릭하면 아래에 그 하위 조직들만 표시됩니다.

담당자(설정 → 사용자)로 지정된 자산을 기준으로 집계합니다.

이름	부서	서브넷	자산 수	NIC	Exposure	SaaS/App	세션

자산은 가장 최근에 수신한 센서 기준으로 집계됩니다. 로컬(standalone) 수집 등 센서가 특정되지 않은 자산은 "알 수 없음"으로 표시됩니다.

센서	자산 수	비관리	위험 자산(중간+높음)	미승인	휴면

Manager 서버의 자원 사용량입니다 - 호스트 전체가 아니라 이 서버가 실제로 쓰는 만큼만 보여줍니다.

선택한 Sensor의 자원 사용량입니다 - 호스트 전체가 아니라 이 센서가 실제로 쓰는 만큼만 보여줍니다.

규칙과 매핑 기법, 이 사이트에서 활성인지(필요한 텔레메트리 보유 여부), 최근 30일 발생 건수입니다. 계획 단계 규칙은 상태에 기여하지 않고 단계만 표시합니다.

점수	종류	내용	외부 IP	세부	시각	상태·담당

서비스(포트)가 한 번도 관측되지 않은 자산은 미러(SPAN/TAP) 범위 밖이라 행동 분석 대상이 될 수 없습니다 - 그 비율이 분석 결과의 상한입니다.

인터페이스	최근 1시간 캡처 손실(최댓값)

센서	컴포넌트	인터페이스	마지막 수신	패킷 손실률	수집 현황	상태

센서 호스트에서 sphere-sensor-status 가 1분마다 남긴 진단 결과입니다(docs/SENSOR_STATUS_CLI.md). 종합이 주의/문제인 행은 해당 항목이 바로 펼쳐지고, "전체"를 누르면 정상 항목까지 봅니다.

센서	호스트	모드	종합	생성	주의·문제 항목

센서	지금확인 대기	추적중인 대상	백오프중	일시정지	큐 대기(즉시/정기)	큐 진행중	DLQ	마지막 시도

보존기간 정리, 클라우드 수집, 취약점 스캔, 알림 발송 등 주기 작업이 실제로 돌고 있는지 보여줍니다. 문제가 있는 항목이 위로 옵니다.

작업	상태	마지막 성공	주기	실행	실패	마지막 오류

센서가 로그 배치를 보낼 때마다 한 줄씩 쌓입니다 - 어느 구성요소가 언제, 얼마나(레코드 수) 보냈는지, 평소 대비 급증/급감·0건 수신 같은 특이사항을 함께 표시합니다.

수신 시각	센서	컴포넌트	NIC	로그 타입	레코드 수	특이사항

OT(Modbus 등) 능동 프로빙은 전역 스위치(기본 꺼짐, 서버 관리자만 변경 가능), 이 허용목록, 실제 프로토콜 확인을 모두 통과해야 실행됩니다. MAC 기준이 벤더/장비유형 기준보다 항상 우선합니다(예: 벤더 전체 허용 + 특정 MAC만 차단 가능). 아무 항목도 없으면 기본은 차단입니다.

기준	값	동작	메모	등록일

여기 등록한 IT 자산은 주기적으로 nmap 정밀 스캔(포트 + 서비스·버전)을 받습니다. 그 결과로 확인된 제품·버전이 취약점 매칭에 그대로 쓰여 더 상세한 취약점이 나옵니다. 등록하지 않아도 평소 TCP 스윕(Tier1~3 20포트)은 계속 돕니다 - 이 목록은 "더 깊게 볼 대상"을 정하는 것입니다. OT/IoT 로 판정된 자산은 등록해도 기존 가드가 계속 막습니다.

기준	값	범위	주기	사용	메모	마지막 실행

IoT(MQTT/CoAP) 능동 프로빙은 전역 스위치(기본 꺼짐, 서버 관리자만 변경 가능), 이 허용목록, 사전 확인(이 포트가 이미 다른 프로토콜로 확정 판별되지 않았는지)을 모두 통과해야 실행됩니다. MAC 기준이 벤더/장비유형 기준보다 항상 우선합니다 (예: 벤더 전체 허용 + 특정 MAC만 차단 가능). 아무 항목도 없으면 기본은 차단입니다. OT 허용목록과는 별개의 목록입니다.

기준	값	동작	메모	등록일

패시브 트래픽 관측, 능동 프로빙, 클라우드 계정 폴링을 통해 실제로 탐지 가능한 노출 유형만 카드로 모았습니다. 숫자를 클릭하면 해당 화면으로 이동합니다.

Findings - 지금 열려 있는 문제(Open)

Signals - 최근 7일 관측된 신호

Hygiene - 자산의 현재 상태

Coverage - 관측 기반 커버리지(설치 여부 확정 아님)

외부(비-사내) IP가 접속한 이력이 있는 자산 목록입니다. SPAN 관측 기반이라 포트포워딩(DNAT)으로 열린 서비스 접속은 잡히지만, 게이트웨이 자신에게 오는 접속(방화벽 관리 UI/VPN 종단)은 포함되지 않습니다. 상태는 마지막 외부 접속 시각 기준입니다 - 활성 24시간 내 / 최근 7일 내 / 오래됨 그 이상. 전체 이력은 증거로 남지만 위험 점수에는 최근 30일 관측만 반영됩니다.

외부 접속이 관측된 자산(진입점)에서 실제로 관측된 내부 통신을 따라 몇 홉 안에 닿는 자산을 모아, 그중 가장 위험한 목표를 기준으로 정렬합니다. 관측된 통신 여부일 뿐 공격 방향이 아닙니다 - 통신 기록은 방향 없이 저장되므로 "A가 뚫리면 B도 위험권" 정도로 읽어야 하고, "A에서 B로 침투 가능"을 뜻하지 않습니다. SPAN이 못 본 통신은 그래프에 없으므로 경로가 안 보이는 것이 실제로 못 간다는 뜻은 아닙니다. 익스플로잇 가능성을 검증한 결과도 아닙니다(도달 가능 + 취약점 존재를 겹쳐 본 우선순위 힌트). 행을 클릭하면 그 진입점의 경로 상세가 열립니다.

내부 자산 → 외부 목적지 통신의 접속 간격 규칙성/희귀 목적지/고위험 국가/데이터 비대칭/응답없는 접속 반복을 종합한 점수가 임계치 이상인 (자산, 목적지) 페어입니다. SPAN 관측 기반이며, 정상적으로 주기 통신하는 것으로 알려진 목적지(Windows Update/주요 CDN 등)와 이름이 없어도 연결 유지가 본질인 통신(NTP·STUN·Apple 푸시·ICMP)은 자동으로 제외됩니다. 기본 소스는 1시간마다 계산한 스냅샷입니다(특성 계층이 켜진 사이트는 최근 24시간 rolling, 아니면 누적 프로필). 스냅샷은 하루(UTC) 단위로 쌓이므로 7일 전체는 "누적 프로필(지금 재계산)"로 보세요. 예전에 주기적이었지만 지금은 끊긴 통신은 "오래된 통신 포함"으로 볼 수 있습니다.

최근 30일에 계산된 Exposure 신호(외부 접근 최초·관리 인터페이스 접근·외부 스캔·새 국가·외부 통신 이상·UPnP·원격제어) 중 아직 처리되지 않은(신규/확인) 항목입니다. 같은 (종류, 자산, 대상)은 가장 최근 것 하나만 보입니다. 확인 = 조사 중, 해결 = 조치 완료(같은 신호가 다시 잡히면 자동으로 재발 표시), 무시 = 정상으로 판단. Insights의 "오늘의 변화"와 같은 항목·같은 상태를 공유합니다.

외부 출발지 하나가 짧은 시간창 안에 내부 자산 여러 개에 접근한 사건입니다(원시 이벤트 특성 계층). 포트 다양성이 크거나 실패(응답 없음/거부) 비율이 높으면 스캔, 같은 포트로 성공 세션이 이어지면 다중 서비스 접근 (NAT/프록시/모니터링 사업자일 수 있음)으로 구분합니다. 시간창 하나에 사건 하나이며 자산마다 복제하지 않습니다. ICMP와, 방향을 믿을 수 없는 기록(연결 시작을 못 보고 중간부터 잡힌 TCP, 서버 포트에서 임시 포트로 향한 응답)은 세지 않습니다. 특성 계층이 꺼진 사이트에서는 비어 있습니다.

신규 외부 접근 조합(자산×외부IP×포트가 처음 관측됨) / 국가 변경 / 스캔·횡적 탐색 의심 / 관리 인터페이스 외부 접근 / UPnP 포트 매핑 요청 이벤트의 최근 발생 순 목록입니다.

발생 시각	MAC	Hostname	이벤트	상세

아직 담당자가 승인하지 않은 자산 목록입니다. 자산을 클릭하면 상세 화면에서 바로 승인 처리할 수 있습니다.

–

전체 미승인

Hostname	MAC	IP	장비유형	제조사	최초 발견	최근 활동	위험도

NAT 공유기/AP 뒤에 여러 실기기가 숨어있을 가능성이 있는 자산입니다 — 서비스 포트 다양성, 서로 다른 TLS 지문(JA3/JA4) 개수, 관측된 OS 계열 등을 근거로 판정합니다. 하위 실기기를 개별 식별할 수 없어 위험도 점수가 실제보다 낮게 보일 수 있습니다.

–

전체 의심 자산

Hostname	MAC	IP	장비유형	관측된 OS 계열	판정 근거	위험도

평문 인증(Telnet/FTP) 또는 원격 관리·SNMP 포트(RDP/VNC/SNMP)가 열린 자산 목록입니다. 프로빙/관측으로 확인된 "포트 개방" 이며, 실제 자격증명 유출이나 인터넷에서의 접근 관측을 뜻하지 않습니다 - 외부 접근 관측은 "인터넷 노출 자산" 화면에서 확인하세요.

–

전체 노출 자산

Hostname	MAC	IP	장비유형	제조사	노출된 포트/서비스	위험도

등록한 국가에서 자산으로 외부 접속이 관측되면 위험도 점수에 반영됩니다(심각/높음만 가산). 등록하지 않은 국가는 위험 평가 없이 중립으로 취급됩니다.

국가 코드	위험도	메모	등록일

등록한 도메인(접미사 일치 - 그 도메인과 하위 도메인 전체)으로의 주기적 외부 통신은 외부 통신 이상 위험도 점수에서 제외됩니다. 하위 도메인 전체를 뜻하는 것을 표에서 알아보기 쉽게 *.example.com 형태로도 등록할 수 있습니다. google/apple/microsoft 등 널리 알려진 서비스는 이미 기본 포함돼 있고, 여기서는 그 목록에 없는 사내 SaaS·벤더 관리 콘솔 등 조직별 예외만 추가하면 됩니다.

도메인	메모	등록일

Zeek 의 Site::local_nets 는 "미러링된 세그먼트에 L2 로 붙어 있는 서브넷" 이어야 합니다. 넓히면(라우팅되는 다른 사내 VLAN 포함) 게이트웨이 MAC 이 수많은 원격 IP 로 보여 자산 IP 이력이 오염되므로, 후보는 라우팅 가능 여부가 아니라 L2 관측 (DHCP 응답의 서브넷 마스크, MAC 으로 직접 본 자산의 /24) 으로만 만듭니다. 승인한 후보는 컬렉터의 local_nets.dat 에 합쳐지고 Zeek 가 재시작 없이 반영합니다. 기동값(시드)은 축소하지 않습니다 - 줄이려면 컨테이너 환경변수를 바꾸세요. 참고: 노출·외부 통신 분석의 "인터넷" 판정은 이와 별개로 사설 대역 전체를 내부로 봅니다(INTERNAL_CIDRS 로 추가 가능).

인터페이스 CIDR 수동 추가(승인)

관리자가 자산 판정(벤더/장비유형/OS/제품명)을 수동으로 재정의할 때마다 그 교정 내역을 기록합니다. 이 데이터는 향후 자동 판정 정확도를 높이는 데 활용됩니다.

–

제조사 교정

–

장비유형 교정

–

OS 교정

–

제품명 교정

–

전체 교정 건수

최근 교정 이력

MAC	필드	예측값 → 교정값	처리자	교정 시각

관리자는 전체 기능을 사용할 수 있고, 조회자는 조회만 가능합니다(등록/수정/삭제 등은 차단). 엑셀 업로드 시 부서 칸의 "본사 > 보안팀" 같은 경로는 조직 관리에 자동 등록됩니다.

아이디	이름	이메일	부서	직급	역할	로그인	상태	MFA	마지막 로그인	등록일

"관리자"는 항상 전체 권한(편집 불가), "조회자"는 이름은 고정이지만 권한은 추가로 부여할 수 있습니다. 그 외 역할은 자유롭게 추가/수정/삭제할 수 있습니다(단, 사용자가 배정돼 있으면 삭제 불가).

이름(값)	표시 이름	구분	권한

드래그해서 다른 조직 위에 놓으면 그 조직의 하위로 이동합니다. 맨 위 "최상위로 이동" 영역에 놓으면 최상위 조직이 됩니다. 같은 계층 안에서는 ▲▼ 버튼으로 순서를 바꿉니다.

탐지가 울리면 해당 단말을 네트워크에서 격리합니다. 새 규칙은 관찰(dry_run) 로 시작하며, 이력 탭에서 오탐이 없는지 확인한 뒤 실행(auto) 으로 올리세요.