Tarsal 온보딩 가이드

Tarsal을 사용하여 로그를 Panther로 전달하기

개요

Tarsal 사전 구축된 커넥터를 제공하여 설정이나 유지관리가 최소화되도록 보안 데이터 수집을 단순화합니다. Tarsal을 사용하면 다양한 소스에서 Panther로 데이터를 빠르게 수집할 수 있으며, 다음 중 하나의 방법을 사용합니다. HTTP 소스 이전에 생성한 Snowflake 사용자 이름, 예를 들면 S3 소스이 가이드는 두 가지 통합 방법을 설정하는 방법을 설명합니다.

Tarsal에서 제공하는 SaaS 및 클라우드 로그 소스 외에도 kflow를 소스로 설정하여 Linux 엔드포인트 데이터를 캡처할 수 있습니다—아래에서 kflow에 대해 자세히 알아보세요.

Tarsal을 사용하여 로그를 Panther로 전달하는 방법

사전 요구 사항

• 활성화된 Tarsal 계정이 있어야 합니다.

• 하나 이상의 소스 데이터 계정에 접근할 수 있어야 합니다.

1단계: Tarsal에서 소스 커넥터 생성

• 전달하려는 데이터에 대해 Tarsal에서 소스 커넥터를 생성하려면 해당 소스의 설정 지침을 따라주세요. 해당 지침은 Tarsal 문서.

2단계: Panther에서 HTTP 또는 S3 소스 생성

HTTP 소스

• Panther의 HTTP 소스 구성에 대한 지침을 따르세요.

  • 의 경우 인증 방법SNS 주제 Bearer.

  • 이 소스로 전송된 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

  • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

S3 소스

Tarsal에서 전달된 모든 이벤트에는 t_event_time 필드가 포함됩니다. 이는 사용자 정의 로그 스키마 에서 isEventTime: true.

예:

- name: t_event_time
  type: timestamp
  isEventTime: true

3단계: Tarsal에서 대상 커넥터 생성

2단계에서 Panther에 HTTP 소스를 생성한 경우 아래의 지침을 따르세요: HTTP 대상 커넥터 또는 2단계에서 Panther에 S3 소스를 생성한 경우 다음 지침을 따르세요: S3 대상 커넥터 탭을 클릭하세요.

HTTP 대상 커넥터

Tarsal에서 HTTP 대상 커넥터를 생성하려면:

1. Tarsal에서 클릭하세요 대상(Destinations) > 대상 추가(Add Destination).

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Panther (HTTP Source).

3. 폼 필드를 작성하세요:

   • 이름: 설명적인 이름을 입력하세요. 예: Panther HTTP 대상.

   • 설명 (선택 사항): 원할 경우 대상에 대한 추가 정보를 입력하세요.

   • Bearer Token: 2단계에서 Panther에서 생성한 베어러 토큰을 붙여넣으세요.

   • HTTP Ingest URL: 2단계에서 Panther에서 생성한 HTTP 엔드포인트를 붙여넣으세요.

     • 이 값은 Panther에서 HTTP 소스를 생성한 후 해당 소스의 세부 정보 페이지에서 확인할 수 있습니다.

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 테스트.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. "Resource": "<secret ARN>".

S3 대상 커넥터

이 대상 커넥터는 여러 플로우에서 재사용할 수 있습니다.

4단계: Tarsal에서 플로우 구성

Tarsal에서 플로우를 구성하려면:

1. Tarsal에서 클릭하세요 플로우을(를). (비-JSON 로그를 업로드했고 Add Flow.

2. 폼 필드를 작성하세요:

   • 이름: 플로우에 설명적인 이름을 지정하세요.

   • 설명 (선택 사항): 원할 경우 플로우에 대한 추가 정보를 입력하세요.

   • Source: 1단계에서 생성한 소스 커넥터를 선택하세요.

   • 대상: 3단계에서 생성한 대상 커넥터를 선택하세요.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. "Resource": "<secret ARN>".

Linux 엔드포인트 데이터를 수집하기 위해 Tarsal kflow 사용

Tarsal kflow 는 오픈 소스 도구로 eBPF 를 사용하여 Linux 엔드포인트에서 다양한 시스템 및 네트워크 이벤트를 캡처합니다. kflow는 악성코드 탐지부터 데이터 이동 추적에 이르기까지 다양한 응용에 사용할 수 있으며—그런 다음 kflow 소스 커넥터 를 사용하여 kflow 데이터 스트림을 Tarsal로 수집할 수 있습니다.

kflow에 대해 자세히 알아보려면 Tarsal 문서를 참조하세요.