Expel 대상(베타)

Panther 콘솔에서 Expel을 알러트 대상으로 구성하기

개요

Expel 알러트 대상은 Panther 버전 1.117부터 오픈 베타로 제공되며 모든 고객이 이용할 수 있습니다. 버그 리포트나 기능 요청이 있으면 Panther 지원팀에 알려주세요.

대상(Destination)은 룰, 정책, 시스템 상태 알림 및 룰 오류로부터 알러트를 받는 통합 지점입니다. Panther는 구성된 Expel 를 알러트를 수신할 대상지로 지원합니다.

Panther에서 Expel 알러트 대상을 설정하는 방법

전제 조건

• Expel Workbench에서는 사용자가 조직 관리자 권한을 가져야 합니다.

단계 1: Panther에서 서비스 사용자 계정 생성

Panther에서 서비스 계정을 생성하고 해당 자격 증명을 이후 단계에서 Expel에 제공합니다. 필요할 경우 Expel 분석가는 이 서비스 계정을 사용하여 알러트를 조사하기 위해 Panther 콘솔에 로그인합니다.

• 다음을 따르세요 Panther에 사용자 초대하기 다음 값을 사용하여 지침:

  • 이메일 주소: 입력 soc+<your_company_name>@expel.io

  • 이름: 입력 Expel

  • 성: 입력 SOC 분석가

  • 역할: 선택 분석가읽기전용

단계 2: Panther에서 API 토큰 생성

Panther에서 API 토큰을 생성하고 이후 단계에서 이를 Expel에 제공합니다. API 토큰은 Expel이 알러트를 받은 후 추가 컨텍스트를 조회할 수 있게 합니다.

1. 다음을 따르세요 Panther API 토큰을 생성하는 방법 다음 권한을 반드시 선택하여 지침:

   • Read Alerts

   • 룰 보기

   • 정책 보기

   • 데이터 레이크 조회

   • 클라우드 보안 소스 보기

   • 로그 소스 보기

   • 사용자 정보 읽기

2. API 토큰을 복사하여 안전한 장소에 보관하세요. 다음 단계에서 필요합니다.

단계 3: Expel Workbench에서 보안 장치 생성

Expel Workbench에서 Panther용 보안 장치를 생성합니다. 이는 위에서 생성한 Panther 서비스 사용자 자격증명과 API 토큰을 Expel에 제공하고, 또한 Panther에 제공할 웹훅 URL과 자격증명을 생성합니다.

1. https://workbench.expel.io에 로그인하세요.

2. 다음으로 이동합니다 설정을 클릭한 다음 보안 장치.

3. 페이지 상단에서 클릭 보안 장치 추가.

4. "Panther"를 검색한 다음 선택하세요.

5. 양식을 작성하세요:

   • 이름: 설명적인 이름을 입력하세요(예:) Panther 알러트.

   • 위치: 설명적인 위치를 입력하세요(예:) Expel 실험실.

   • 서버: Panther GraphQL API URL을 입력하세요.

     • 이 값은 Panther 콘솔의 API 토큰 페이지 상단에서 찾을 수 있습니다—참조 Panther GraphQL API URL 식별 를 참조하십시오.

   • API 키: 2단계에서 생성한 API 토큰을 입력하세요.

   • 콘솔 로그인: 1단계에서 사용한 사용자 자격증명을 입력하세요.

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. "Resource": "<secret ARN>".

7. 새로 생성된 Panther 보안 장치를 찾은 다음 클릭하세요 편집을 클릭.

8. 다음 값을 복사하여 안전한 장소에 보관하세요. 다음 단계에서 필요합니다:

   • 웹후크 URL(Webhook URL)

   • 웹훅 사용자 이름

   • 웹훅 비밀번호

단계 4: Panther에서 Expel 알러트 대상 구성

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 알러트 대상.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. +첫 번째 대상 추가.

   • 이미 대상(Destinations)을 생성한 경우, 새로 만들기 오른쪽 상단

     페이지의 새 대상 추가.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Expel.

4. 대상을 구성하기 위해 양식을 작성하세요:

   • 표시 이름: Expel 알러트 대상의 이름을 입력하세요.

   • 웹후크 URL(Webhook URL): 다음 값을 입력하세요 웹후크 URL(Webhook URL) 3단계에서 Expel Workbench에서 복사한 값입니다.

   • 웹훅 사용자 이름: 다음 값을 입력하세요 웹훅 사용자 이름 3단계에서 Expel Workbench에서 복사한 값입니다.

   • 웹훅 비밀번호: 다음 값을 입력하세요 웹훅 비밀번호 3단계에서 Expel Workbench에서 복사한 값입니다.

   • 심각도: Expel로 보낼 알러트의 심각도 수준을 선택하세요.

   • 알러트 유형: Expel로 보낼 알러트 유형을 선택하세요.

   • 로그 유형: 기본적으로 모든 로그 유형의 알러트를 전송합니다. 특정 로그 유형의 알러트만 전송하려면 여기에서 로그 유형을 지정하세요.

   • 수동 발송 허용: 이 토글을 ON으로 설정하면 이 대상에 대해 알러트를 수동으로 전송 할 수 있습니다.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 대상 추가(Add Destination).

6. 마지막 페이지에서 선택적으로 클릭하세요 테스트 알러트 전송(Send Test Alert) 통합을 테스트하려면. 완료되면 클릭하세요 설정 완료.

대상(Destinations)에 대한 추가 정보

알러트 라우팅 순서, 대상 수정 또는 삭제, 워크플로 자동화에 대한 자세한 내용은 Panther 문서를 참조하세요: 대상(Destinations).