사용자 지정 웹후크 대상

Panther 콘솔에서 사용자 지정 웹후크를 경고 대상으로 구성하기

개요

대상(Destinations)은 규칙, 정책, 시스템 상태 알림 및 규칙 오류로부터 알림을 받는 통합입니다. Panther는 알림을 수신할 수 있는 대상로 사용자 지정 웹후크(Custom Webhook)를 구성하는 것을 지원합니다.

사용자 지정 웹후크 대상은 다음만 필요합니다: URL HTTP를 수신할 수 있는 서비스로 한 후 Panther에서 볼 수 있기까지 몇 분 기다려야 할 수 있습니다. 페이로드를 포함한 JSON 요청을 수락할 수 있습니다. 이 대상 유형은 Panther가 다른 타사 통합과 통신할 수 있도록 설계되었습니다.

Panther에서 사용자 지정 웹후크 알림 대상을 설정하는 방법

Panther의 웹후크 호출 인증

Panther의 웹후크 호출로 전달 위치에 인증 자격 증명을 전달하려면 사용자 지정 HTTP 헤더를 추가할 수 있습니다. 설정 중에 웹후크 설정중에 하나 이상의 헤더 이름 / 헤더 값 쌍을 만드세요.

전송 및 확인

웹후크는 Panther의 한 후 Panther에서 볼 수 있기까지 몇 분 기다려야 할 수 있습니다. 요청을 HTTP 상태 코드 2XX 범위로 수락하고 확인해야 합니다. 네트워크 오류나 비 2XX 코드가 발생한 경우 Panther는 영구 실패 이전에 최대 열(10)번까지 요청을 재시도합니다.

웹후크 응답 본문은 전송 상태에 저장되며 알림 세부정보 페이지에서 확인할 수 있습니다.

영구 전송 실패가 발생한 경우 Panther는 알림 세부정보 페이지의 전송 상태 섹션에서 알림을 수동으로 재전송할 수 있도록 로그를 기록하고 워크플로 연속성을 제공합니다.

Panther에서 사용자 지정 웹후크 설정하기

1. Panther 콘솔에 로그인하세요.

2. 왼쪽 사이드바에서 클릭하세요 구성 > 알림 대상.

3. 클릭 +첫 번째 대상을 추가하세요.

   • 이미 대상을 생성한 경우, 새 대상을 추가하려면 새로 만들기 페이지 오른쪽 상단을 클릭하세요.

4. 클릭 사용자 지정 웹후크.

5. 양식을 작성하십시오:

   • 표시 이름: 대상을 식별할 수 있는 친숙한 이름을 추가하세요.

   • 사용자 지정 웹후크 URL: 사용자 지정 웹후크 전달 URL을 입력하세요.

     • 나중에 이 문서의 ngrok 예제 를 따르면 다음의 http 또는 https 포워딩 URL을 ngrok 출력에서 입력합니다.

   • 심각도 수준: 이 대상으로 보낼 알림의 심각도 수준을 선택하세요.

   • 기본 알림 유형: 이 대상으로 보낼 알림 유형을 선택하세요.

   • 로그 유형: 기본적으로 모든 로그 유형의 알림을 전송합니다. 특정 로그 유형에서만 알림을 전송하려면 여기에서 로그 유형을 지정하세요.

   • 사용자 지정 HTTP 헤더: 선택적으로 알림을 전송하는 POST 요청에 포함될 하나 이상의 사용자 지정 HTTP 헤더를 제공하세요.

6. 클릭 대상 추가.

7. 마지막 페이지에서 선택적으로 클릭하세요 테스트 알림 전송 테스트 페이로드를 사용하여 통합을 테스트합니다. 완료되면 클릭하세요 설정 완료.

사용자 지정 웹후크 알림 스키마

사용자 지정 웹후크는 다음 필드를 포함하는 페이로드를 전달합니다:

필드	타입	설명
id	string	탐지(alert)의 식별자
createdAt	string	AWSDateTime(ISO-8601) 형식의 알림 생성 시간
severity	string	알림의 심각도
유형	string	알림의 유형
link	string	Panther 콘솔의 알림 링크
title	string	알림의 제목
이름	string	알림의 탐지 이름
alertId	string	Panther 백엔드에서의 알림 식별자
설명	string	알림과 관련된 설명
runbook	string	알림과 관련된 런북
tags	string[]	알림과 연결된 태그 목록
version	string	알림 탐지의 버전 식별자
alertContext	object	알림 컨텍스트 알림에 첨부된 데이터

설정은 AWSDateTime 스칼라 유형은 유효한 확장 ISO 8601 DateTime 문자열을 나타냅니다. 즉, 이 스칼라 유형은 다음 형식의 datetime 문자열을 허용합니다. YYYY-MM-DDThh:mm:ss.sssZ. 초 필드 다음의 필드는 나노초 필드입니다. 1자리에서 9자리까지 허용할 수 있습니다. 초 및 나노초 필드는 선택 사항입니다(나노초 필드를 사용하려면 초 필드는 지정되어야 합니다). 이 스칼라에는 시간대 오프셋이 필수입니다. 시간대 오프셋은 Z(UTC 시간대)이거나 다음 형식이어야 합니다 ±hh:mm:ss. 시간대 오프셋의 초 필드는 ISO 8601 표준의 일부는 아니지만 유효한 것으로 간주됩니다.

예제 JSON 페이로드:

{
  "id": "AllLogs.IPMonitoring",
  "createdAt": "2020-10-13T03:35:24Z",
  "severity": "INFO",
  "type": "RULE",
  "link": "https://runpanther.io/alerts/b90c19e66e160e194a5b3b94ec27fb7c",
  "title": "New Alert: Suspicious traffic detected from [123.123.123.123]",
  "name": "Monitor Suspicious IPs",
  "alertId": "b90c19e66e160e194a5b3b94ec27fb7c",
  "alertContext": {
    "key": "value" // alertContext 내용은 탐지 구성에 따라 결정됩니다
  },
  "description": "이 규칙은 허용된 IP 주소 화이트리스트 외부의 모든 활동에 대해 알림을 생성합니다",
  "runbook": "",
  "tags": [
    "Network Monitoring",
    "Threat Intel"
  ],
  "version": "CJm9PiaXV0q8U0JhoFmE6L21ou7e5Ek0"
}

사용자 지정 웹후크 예제

다음 예제는 Panther 알림을 사용자 지정 웹후크로 전송하고 해당 웹후크가 페이로드를 간단한 Node.js 서버로 전달하는 과정을 보여줍니다(프록시 사용). Ngrok.

1. 명령줄을 엽니다.

2. 다음을 생성하세요 ngrok 계정 와 설치하세요 ngrok

   1. 다음 구성 명령을 실행하세요: ngrok config add-authtoken <token>

   2. 포트 8081에서 서비스를 시작하려면 다음 명령을 실행하세요: ngrok http 8081

3. Node.js를 설치하세요.

4. 파일을 하나 만들고, webhook.js에 다음 스니펫을 붙여넣으세요:

   const http = require('http')
   const util = require('util')
   const port = 8081
   
   const requestHandler = (req, res) => {
   
     if (req.method === 'POST') {
       let body = '';
       req.on('data', chunk => {
         body += chunk.toString();
       });
       req.on('end', () => {
         console.log(util.inspect(JSON.parse(body), false, null, true));
         res.statusCode = 200; // 요청을 반드시 확인해야 합니다
         res.end("success"); // (선택 사항) 응답 본문
       });
     }
   }
   
   const server = http.createServer(requestHandler)
   
   server.listen(port, (err) => {
     if (err) {
       return console.log('문제가 발생했습니다', err)
     }
   
     console.log(`서버가 포트 ${port}에서 수신 중입니다`)
   })

5. 다른 터미널을 열어 Node.js 서버를 시작하세요:

   > node webhook.js
   server is listening on 8081

6. 다음 Panther 콘솔, 새로 생성하고 사용자 지정 웹후크 그리고 포워딩 에서 URL을 붙여넣으세요 ngrok 예를 들어 포워딩 URL은 다음과 같을 수 있습니다: 사용자 지정 웹후크 URL 필드에 붙여넣으세요.

   • https://2d9c-174-27-211-147.ngrok-free.app 테스트 알림 전송

7. 클릭 테스트 이벤트가 node.js 서버 로그에 기록되는지 확인하세요. 대상에 대한 추가 정보

알림 라우팅 순서, 대상 수정 또는 삭제, 워크플로 자동화에 대한 자세한 내용은 Panther 문서를 참조하세요:

대상 대상.