클라우드 보안 스캐닝

Panther 클라우드 보안 스캐닝은 정책을 사용하여 AWS 리소스의 잘못된 구성(misconfiguration)을 감지합니다

개요

Panther의 클라우드 보안 스캐닝은 Amazon Web Services(AWS) 리소스의 구성 상태를 캡처하고 관련된 정책 을 호출하여 잘못된 구성을 탐지하는 방식으로 작동합니다. 클라우드 계정을 Panther 인스턴스에 온보딩하면 클라우드 보안 스캐닝이 자동으로 활성화됩니다.

이 기능은 클라우드 보안 태세를 개선하고 규정 준수를 지원할 수 있습니다. Panther로 탐지할 수 있는 일반적인 보안 구성 오류에는 다음이 포함됩니다:

• 암호화되지 않은 S3 버킷

• 인바운드 SSH 트래픽을 허용하는 보안 그룹 (출처: 0.0.0.0/0

• 90일보다 오래된 액세스 키

• 권한이 과도하게 부여된 IAM 정책

새 AWS 계정을 추가하면 Panther는 기준 스캔을 실행하고 계정의 모든 리소스를 모델링합니다. 계정 스캔은 이후 매일 수행됩니다. 이는 ReadOnly 권한이 부여된 가정 가능한 IAM 역할을 사용하여 작동합니다.

클라우드 보안 스캐닝 사용 방법

클라우드 계정이 온보딩되면 Panther에서 클라우드 보안 스캐닝이 자동으로 활성화됩니다. 클라우드 보안 스캐닝을 통해 Panther는 클라우드 리소스의 상태를 캡처하고 관련된 정책 을(를) 매일 호출하여 잘못된 구성을 탐지합니다.

클라우드 계정을 온보딩할 수 있습니다 Panther 콘솔에서또는 Panther API를 사용하여.

추가로, 우리는 다음을 권장합니다 CloudTrail 또는 CloudWatch 로그를 로그 소스 통합으로 온보딩하는 것 그래서 활성 인시던트 및 침해에 대한 디텍션을 구성하고 알러트를 받을 수 있습니다.

Panther의 클라우드 보안 스캐닝은 매일 스캔을 수행합니다.

다음도 활성화할 수 있습니다 실시간 모니터링 클라우드 인프라 구성의

Panther 콘솔에서 클라우드 계정 온보딩하기

1. Panther 콘솔에 로그인합니다.

2. 왼쪽 사이드바에서 클릭하세요 구성 > 클라우드 계정 그런 다음 클릭하세요 계정 연결.

3. 계정 이름(Name)과 AWS 계정 ID를 입력하세요.

   • 다음 항목을 확장할 수도 있습니다 고급 옵션 어떤 AWS 리전, 리소스 유형 및 리전별 리소스를 클라우드 스캐닝에서 제외할지 지정할 수 있습니다. 이는 구성 오류가 있는 것으로 알려진 리전 및 리소스로 인해 너무 많은 알러트가 생성되는 것을 방지하는 데 도움이 될 수 있습니다.

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 계속.

IAM 역할 설정

Panther는 AWS 계정의 리소스를 스캔할 수 있는 IAM 역할이 필요합니다. 이를 설정하기 위해 다음 옵션 중 하나를 선택할 수 있습니다:

• AWS 콘솔 UI 사용AWS 콘솔을 사용하여 CloudFormation 스택을 시작합니다.

• CloudFormation 또는 Terraform 템플릿 파일Panther에서 제공하는 CloudFormation 템플릿 또는 Terraform 템플릿을 사용하여 템플릿을 다운로드하고 직접 배포하여 IAM 역할을 생성합니다.

• 모든 것을 직접 설정하고 싶습니다IAM 역할을 수동으로 또는 다른 자동화 도구로 생성합니다.

AWS 콘솔 UI를 사용하여 IAM 역할 생성하기

1. "IAM 역할 설정" 페이지에서, 다음 옆에 있는 선택하세요 을(를) 클릭하세요 AWS 콘솔 UI 사용.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 콘솔 UI 실행.

   • 템플릿 URL이 미리 채워진 새 브라우저 탭의 AWS 콘솔로 리디렉션됩니다.

   • "권한(Capabilities)" 상자에서 확인란을 확인하고, 스택 생성(Create Stack)을 클릭하세요.

3. Panther 콘솔로 돌아가세요.

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 계속 클라우드 계정 설정을 완료하려면.

CloudFormation 또는 Terraform 템플릿 파일을 사용하여 IAM 역할 생성하기

1. "IAM 역할 설정" 페이지에서, 선택하세요 을(를) 클릭하세요 CloudFormation 또는 Terraform 템플릿 파일.

2. 사용하려는 템플릿 옵션을 클릭하면 템플릿이 다운로드되어 자체 파이프라인을 통해 적용할 수 있습니다.

   • Terraform 템플릿은 또한 이 GitHub 링크.

3. AWS에 템플릿 파일을 업로드하세요.

4. 배포가 완료되면 Panther 콘솔로 돌아가서, 설정 계속을 클릭하세요.

IAM 역할을 수동으로 또는 다른 자동화로 생성하기

다른 방식으로 IAM 역할을 생성하려는 경우, Panther의 제공 템플릿에 문서화된 명명 규칙과 권한을 갖추었는지 확인하세요 Panther가 제공한 템플릿.

1. "IAM 역할 설정" 페이지에서, 다음과 같은 링크를 클릭하세요 모든 것을 직접 설정하고 싶습니다.

2. 필수 IAM 역할을 생성하세요. 필수 IAM 역할은 수동으로 또는 자체 자동화를 통해 생성할 수 있습니다.

클라우드 계정 설정 프로세스 완료하기

설정 확인 페이지는 IAM 역할이 성공적으로 생성되었는지 검증합니다.

1. 선택적으로, 클릭할 수 있습니다 CloudTrail 설정 실시간 스캐닝을 활성화하려면.

   • 이미 CloudTrail 로그가 포함된 로그 소스를 구성했거나 나중에 구성하려는 경우 이 단계를 건너뛸 수 있습니다.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 완료.

Panther API를 사용하여 클라우드 계정 온보딩하기

Panther API로 클라우드 계정을 온보딩하려면, CreateCloudAccount 연산(오퍼레이션)을 사용하세요이 작업을 사용한 후에도 AWS 계정에서 IAM 역할을 설정해야 한다는 점에 유의하세요—위의 IAM 역할을 수동으로 또는 다른 자동화로 생성하기 지침을 따르세요.

실시간 모니터링

클라우드 보안 스캐닝 서비스가 수행하는 일일 스캔에 추가하여 클라우드 리소스에 대한 실시간 모니터링을 선택적으로 활성화할 수 있습니다.

실시간 모니터링은 클라우드 리소스에 변경(구성 수정, 생성 및 삭제 포함)이 발생할 때마다 Panther가 해당 리소스와 관련된 모든 정책 을(를) 호출함을 의미합니다. 즉, 변경으로 인해 리소스가 정책을 위반하면 다음 일일 스캔 시점이 아니라 거의 실시간으로 알러트를 받게 됩니다.

실시간 모니터링을 설정하려면 AWS CloudTrail을 로그 소스로 온보딩하거나 아래의 CloudWatch 이벤트 절차를 따르세요.

CloudTrail 로그

CloudTrail 로그를 통해 실시간 모니터링을 설정하려면, 다음 지침을 따르세요 CloudTrail 로그 온보딩.

CloudWatch 이벤트

리소스 스캐닝 및 모니터링을 위해 CloudWatch 이벤트를 활용하려면 AWS에서 CloudFormation 스택을 구성한 다음 클라우드 계정을 온보딩해야 합니다.

CloudWatch 이벤트를 활용하도록 CloudFormation 구성하기

시작하기 전에 다음을 검토하세요, panther-cloudwatch-events.yml CloudFormation 템플릿이 포함된 panther-auxiliary이 YAML 파일에는 Panther의 실시간 CloudWatch 이벤트 수집을 구성하는 데 필요한 CloudFormation 스택 정보가 들어 있습니다.

이 기능은 각 리전의 로컬 SNS 주제에 프록시된 Panther의 SQS 큐로 전달되는 CloudWatch 이벤트 규칙을 생성하여 작동합니다. AWS에서 이벤트가 발생하고 CloudWatch 이벤트 규칙이 해당 이벤트를 감지할 때까지의 지연 시간은 일반적으로 1분 이내입니다.

1. 다운로드 템플릿을 panther-cloudwatch-events.yml panther-auxiliary에서.

2. AWS 콘솔을 실행하고 CloudFormation 서비스로 이동하세요.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 스택 생성 을 선택하고 "새 리소스와 함께(With new resources)" 옵션을 선택하세요.

4. 일반 구성 템플릿 섹션에서, 다음 옵션을 선택하세요 템플릿 파일 업로드을 선택하세요. 파일을 panther-cloudwatch-events.yml 선택하세요.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 다음.

6. 일반 구성 세부 정보 지정 섹션에서 다음을 포함하여 필요한 필드를 기입하세요:

   • : 원하는 이름, 예:: panther-real-time-events

   • QueueArn: arn:aws:sqs:<PantherRegion>:<PantherAccountID>:panther-aws-events-queue

7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 다음.

8. 페이지에서 스택 옵션 구성 페이지에서 다음.

9. 페이지에서 검토 페이지에서 설정을 올바르게 구성했는지 확인하세요. 클릭하세요 다음.

10. 템플릿을 구성한 후, 클라우드 계정을 온보딩하기 위한 지침을 따르세요..

클라우드 리소스 속성

클라우드 보안 정책에서 참조할 수 있는 속성에 대해 자세히 알아보려면, 클라우드 리소스 속성.

클라우드 보안 스캐닝 문제 해결

Panther 지식 기반을 방문하여 클라우드 보안 스캐닝 정책에 관한 문서를 보려면 와 클라우드 계정에 관한 문서 자주 묻는 질문에 답하고 일반적인 오류와 문제를 해결하는 데 도움이 됩니다.