Chronosphere 온보딩 가이드

Chronosphere Telemetry Pipeline을 사용하여 로그를 Panther로 직접 전달하기

개요

Chronosphere 텔레메트리 파이프라인 은(는) 다양한 소스에서 로그를 스트리밍하여 HTTP 소스 이미 스키마를 생성한 경우 이 옵션을 선택하세요. 클릭하세요

이 가이드는 Chronosphere 텔레메트리 파이프라인을 Panther HTTP 소스와 구성하는 방법만 설명하지만, 로그를 S3 소스 Panther로 스트리밍하려면 S3 소스로 스트리밍하는 경우 Amazon S3 대상 플러그인 을(를) Chronosphere 텔레메트리 파이프라인에서 사용할 수 있습니다.

Chronosphere 텔레메트리 파이프라인을 사용하여 로그를 Panther로 라우팅하는 방법

전제 조건

• 다음을 따랐는지 확인하세요 Chronosphere 텔레메트리 파이프라인 설치 문서에는 Core 인스턴스를 생성하는 내용이 포함되어 있습니다. Chronosphere 텔레메트리 파이프라인은 Linux 및 Kubernetes 환경에서 실행될 수 있습니다.

1단계(선택 사항): 로그를 필터링 및/또는 변환할 위치 결정

원시 로그를 필터링하거나 어떤 방식으로든 변환해야 하는 경우 해당 작업은 Chronosphere 또는 Panther에서 수행할 수 있습니다.

Chronosphere 텔레메트리 파이프라인 웹 인터페이스에서 다음을 사용하여 로그를 필터링하거나 변환할 수 있습니다: 다음 사용 "path": "/-/metrics", 다음 정의 처리 룰 이 도구들을 Chronosphere에서 사용하려면 3단계를(을) 아래에서 확인하십시오.	Panther에서는 다음을 사용하여 로그를 필터링하거나 변환할 수 있습니다: 사용하면 수집(ingestion) 필터 연관된 로그 스키마 사용하면 변환 연관된 로그 스키마 Panther에서 파서나 변환을 사용하려면, 맞춤 로그 스키마 생성 지금. Panther에서 수집 필터를 사용하려면, 해당 필터는 다음에서 구성됩니다 2단계를(을) 아래에서 확인하십시오.

2단계: Panther에 HTTP 소스 생성

1. 다음을 따르세요 Panther의 HTTP 소스 구성에 대한 지침.

   • 인증 방법으로 공유 시크릿.

   • 1단계에서 Panther에 스키마를 생성했다면 소스에 연결하세요. 아직 스키마를 생성하지 않았다면 데이터 수신 후 추론할 수 있습니다.

2. 다음을 사용하려면 수집(ingestion) 필터아래 지침 세트 중 하나를 따르세요:

   • 원시 이벤트 필터 생성 방법

   • 정규화된 이벤트 필터를 생성하는 방법

3단계: HTTP 엔드포인트로 전달하도록 Chronosphere 텔레메트리 파이프라인 구성

1. Chronosphere 텔레메트리 파이프라인 웹 인터페이스에서 Core 인스턴스로 이동하세요.

2. 에서 Kubernetes 네임스페이스인 경우 JSON 로그를 업로드했다면 클릭하세요 맞춤 파이프라인 생성.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. + 소스 를 추가하여 소스를 추가합니다.

   1. 일반 구성 소스 추가 또는 편집 슬라이드 아웃 패널에서 소스 타일을 선택하세요.

   2. 원하는 대로 소스를 구성한 다음 클릭하세요 "Resource": "<secret ARN>".

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. + 대상 를 추가하여 HTTP 대상 플러그인.

   1. 페이지에서 대상 추가 또는 편집 슬라이드 아웃 패널에서, 네트워크 기반인 경우 JSON 로그를 업로드했다면 클릭하세요 HTTP.

   2. 에서 일반아래에 다음 필드를 설정하세요:

      1. 호스트: Panther에서 이전 단계에서 생성한 HTTP 소스 URL 2단계에서 Panther에서 생성한 것입니다.

      2. 포트: 입력 443.

      3. URI: Panther에서 생성한 HTTP 소스 URL 의 끝 부분을 입력하되, /http/.

         • 예: /http/cb015ee4-543c-4489-9f4b-testaa16d7a

   3. 에서 고급에서 헤더.

      • 키: Panther의 2단계에서 입력한 공유 시크릿 키를 입력하세요.

      • 값: Panther의 2단계에서 생성하거나 입력한 공유 시크릿 값을 입력하세요.

   4. 에서 보안 및 TLS에서 TLS 체크박스를 선택하고 TLS 인증서 검증을 켜기.

   5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. "Resource": "<secret ARN>".

5. (선택 사항) Chronosphere 안내서를 따라 파이프라인에 처리 룰을 추가하세요 파이프라인에 처리 룰 추가 문서.

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 저장 및 배포.

7. 로그 소스를 파이프라인 소스에서 정의한 엔드포인트 또는 포트로 라우팅하도록 구성하세요.