알림 런북(Alert Runbooks)
알림을 조사하고 조정하기 위한 권장 단계
개요
알림 런북은 알림을 트리거한 문제를 조사하고 수정하기 위한 지침 모음입니다. 설명적인 런북을 제공하는 것이 권장되며, Panther AI 경고 분류 이를 고려합니다. 효과적인 런북 작성 방법을 아래에서.
런북은 탐지에서 정의됩니다:
Python 탐지에서는 동적
runbook()function 또는 정적런북필드.Simple Detections에서는 정적
런북필드.상관 규칙에서는 정적
런북필드.
Panther는 여러 Panther 관리 탐지에 대한 알림 런북을 제공합니다 — panther-analysis 저장소에서 확인하세요.
런북 예시
def runbook(event):
user_arn = event.deep_get("userIdentity", "arn", default="이 사용자")
source_ip = event.deep_get("sourceIPAddress", default="이 IP 주소")
return f"""
1. 알림 발생 24시간 전까지 {user_arn}이 수행한 모든 API 호출 찾기
2. 소스 IP {source_ip}가 알려진 클라우드 제공업체 IP 범위 또는 VPN 엔드포인트와 연관되어 있는지 확인
3. 지난 7일 동안 {user_arn} 또는 {source_ip}로부터의 다른 알림 확인
"""효과적인 런북 작성 팁
Panther AI 또는 인간 분석가가 따를 수 있는 효과적인 런북을 작성하려면:
서로 연계되는 2–3개의 집중된 조사 단계를 제공하세요.
단계는 구체적이고 명확하며 실행 가능해야 합니다. 예를 들어:
좋음(구체적, 실행 가능): "이 알림 전후 6시간 동안 {user_arn}이 수행한 모든 API 호출을 식별하기 위해 AWS CloudTrail을 쿼리하세요."
나쁨(모호하며 명확한 결과 없음): "관련 사용자 활동을 검색하세요."
상황을 수집하고 서사를 구성하는 데 도움이 되도록 다음 질문에 답할 수 있는 단계를 사용하는 것을 고려하세요:
무슨 일이 발생했는가? (즉각적 상황)
이것이 정상인가? (기준선 비교)
무엇이 더 의심스러운가? (상관관계)
모호성을 피하려면 특정 경고 필드를 이름으로 참조하세요.
예를 들어,
sourceIPAddress대신 "그 IP" 대신 사용하고userIdentity:arn대신 "그 사용자" 대신 사용하세요.
데이터 검색을 위한 시간 창(예: "24시간 전" 또는 "주변 30분")을 명시하세요. 검색할 시간 범위를 결정할 때 다음 지침을 사용하세요:
최근 의심스러운 활동 찾기: 알림 전/후 1-6시간
행동 기준선 설정: 30-90일의 기록
상관 검색 실행: 24시간에서 7일
장기 패턴 검색: 90일
Panther AI가 알림 런북을 사용하는 방법
When Panther AI는 알림을 분류(트리아지)할 때런북을 읽고 이를 자율적으로 실행합니다. 위의 팁에 따라 런북을 작성하면 Panther AI가 가능한 강력한 알림 분류를 수행하는 데 도움이 될 수 있습니다.
Last updated
Was this helpful?