Event Hub 소스

Azure Event Hub를 Panther 콘솔의 데이터 전송 로그 소스로 온보딩하기

개요

Panther는 다음을 구성하는 것을 지원합니다 Azure 이벤트 허브 데이터 전송 수단으로 사용하여 이벤트 허브 네임스페이스에서 로그 데이터를 직접 가져와 이 처리된 데이터에 대해 디텍션을 작성하고 조사할 수 있습니다.

Panther로 전송되는 데이터는 JSON 또는 일반 텍스트를 포함한 다양한 형식일 수 있습니다.

Panther에서 Azure 이벤트 허브 로그 소스를 설정하는 방법

사전 요구 사항

• 다음이 있습니다 이벤트 허브 네임스페이스 및 그 안에 이벤트 허브가 있습니다.

• 구독에 필요한 Azure 리소스 공급자가 등록되어 있는지 확인하세요:

  1. Azure 포털에 로그인하고 다음으로 이동합니다 구독.

  2. 이벤트 허브 리소스가 있는 구독을 선택하세요.

  3. 구독 설정에서 다음을 선택하세요 리소스 공급자.

  4. 다음에서 이름으로 필터 필드에 대해 다음을 검색하세요 Microsoft.EventHub.

  5. 다음의 상태 열이 Microsoft.EventHub 다음을 표시하는지 확인하세요 등록됨. 상태가 대신 등록되지 않음인 경우 Azure 리소스 공급자 등록 문서를 따라 등록하세요.

1단계: Panther에서 Azure 이벤트 허브 구성

1. Panther 콘솔의 왼쪽 탐색 표시줄에서 다음을 클릭하세요 구성 > 로그 소스.

2. 오른쪽 상단 모서리에서 클릭하세요 새로 만들기.

3. 다음을 클릭하세요 Azure 이벤트 허브 타일.

4. 다음의 기본 정보 페이지에서 다음을 입력하세요:

   • 이름: 로그 소스에 대한 설명적인 이름을 입력하세요.

   • 로그 유형: 이 로그 소스와 연결할 하나 이상의 로그 유형을 선택하세요.

5. 다음을 클릭하세요 설정.

6. 다음의 로그 형식 페이지에서 다음을 선택하세요 스트림 유형 들어오는 로그의:

   • 자동

   • 라인

   • JSON

   • JSON 배열

이 Event Hub로 Azure 로그(예: 활동 로그 또는 리소스 로그)를 수집할 계획이라면:

1. 선택 JSON 배열.

2. 다음을 설정 JSON 배열이 필드에 둘러싸여 있습니까? 토글하여 예.

3. 다음에서 둘러싼 필드 이름 필드에, 입력 레코드.

1. 다음을 클릭하세요 계속.

   • 다음 구성 페이지가 로드됩니다.

2단계: Event Hub에 공유 액세스 정책 추가

Panther가 Event Hub에 액세스하도록 허용하려면 공유 액세스 정책 와 함께 수신(또는 Listen) 권한:

1. 별도의 브라우저 탭에서 Azure 포털에 로그인한 다음 Event Hubs.

2. 로그가 호스팅되는 Event Hub 네임스페이스를 선택합니다.

3. 다음의 개요 페이지에서, Event Hubs 섹션에서 온보딩하려는 Event Hub의 이름을 선택합니다.

   
4. 아래 설정, 클릭 공유 액세스 정책.

5. 다음을 클릭하세요 + 추가 를 클릭하여 새 정책을 만듭니다.

6. 다음에서 SAS 정책 추가 슬라이드 아웃 패널:

   1. 다음에서 정책 이름 필드에 설명적인 이름을 입력하세요(예: PantherListener).

   2. 다음을 클릭하세요 수신(또는 Listen) 체크박스.

   3. 다음을 클릭하세요 생성.

7. 방금 생성한 정책 이름을 클릭하세요.

8. 다음을 복사 기본 연결 문자열 값을 안전한 위치에 저장하세요. 다음 단계에서 필요합니다.

3단계: Panther에서 Azure Event Hub 소스 설정 완료

1. Panther 콘솔에서 Event Hub 소스 설정으로 돌아가세요.

2. 다음의 구성 페이지에서 다음 구성 값을 제공합니다:

   • 연결 문자열: 다음을 입력하세요 기본 연결 문자열 이전 단계에서 복사한 값을 입력하세요.

   • (선택 사항) 컨슈머 그룹: 만약 다음을 구성했다면 컨슈머 그룹 Event Hub에, 여기에 지정할 수 있습니다. 그렇지 않으면 기본 컨슈머 그룹인 $Default이(가) 사용됩니다.

     
3. 다음을 클릭하세요 설정. 성공 화면으로 이동합니다:

• 원하면 하나 이상의 디택션 팩.

• 아직 수행하지 않았다면 클릭하세요 스키마 연결 또는 추론 소스에 하나 이상의 스키마를 연결하려면.

• 다음 이벤트가 처리되지 않을 때 알러트를 트리거 설정 기본값은 예입니다. 데이터가 일정 기간 후에 로그 소스에서 흐름이 멈추면 알림을 받으므로 이 옵션을 활성화 상태로 두는 것을 권장합니다. 기간은 구성 가능하며 기본값은 24시간입니다.

  

수집된 로그 보기

로그 소스가 구성된 후에는 다음을 사용하여 수집된 데이터를 검색할 수 있습니다 검색 또는 데이터 탐색기.