Cloud Storage(GCS) 소스

Panther 콘솔에서 GCS를 데이터 전송 로그 소스로 온보딩하기

개요

Panther는 Google Cloud Storage(GCS)를 데이터 전송 수단으로 구성하여 GCS 버킷에서 로그 데이터를 직접 가져오고, 규칙을 작성하고, 처리된 데이터에 대해 쿼리를 실행할 수 있도록 지원합니다. Panther는 Pub/Sub 버킷에 소비할 준비가 된 새 데이터가 있는지 알림을 받기 위해 사용합니다.

Panther는 Google Cloud을 사용하여 소스에 대해 인증할 수 있습니다 Workload Identity Federation 또는 서비스 계정.

데이터는 압축된 상태(또는 압축되지 않음)로 전송될 수 있습니다. 압축 사양에 대한 자세한 내용은 Panther에서 압축된 데이터 수집.

Panther에서 GCS 로그 소스를 설정하는 방법

1단계: Panther에서 GCS 소스 생성 시작

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 오른쪽 상단에서 클릭하십시오 새로 만들기.

3. 다음 항목을 클릭하십시오 Google Cloud Storage 타일.

4. 페이지에서 기본 정보 페이지에서 필드를 채우십시오:

   • 이름: GCS 로그 소스에 대한 설명 이름을 입력하십시오.

   • 접두사 및 스키마: GCS에서 데이터 저장 구조에 따라 접두사, 스키마 및 제외 필터의 조합을 정의하십시오.

     • 버킷의 모든 데이터에 하나 이상의 스키마를 연결하려면 GCS 접두사 필드를 비워 두십시오. 이렇게 하면 와일드카드(*) 접두사가 생성됩니다.

5. 클릭 설정.

6. 페이지에서 로그 형식 페이지에서 들어오는 로그의 스트림 유형 을(를) 선택하세요:

   • 자동

   • 라인

   • JSON

   • JSON 배열

7. 클릭 계속.

2단계: 생성 필요한 Google Cloud Platform(GCP) 인프라

GCP 인프라를 생성하기 전에 다음을 결정해야 합니다:

• 인증 방법: 다음을 사용할 수 있습니다 AWS와 함께하는 Google Cloud Workload Identity Federation 또는 서비스 계정—아래의 최상위 탭을 참조하십시오.

• 생성 방법: Terraform을 사용하여 인프라를 생성하거나 GCP 콘솔에서 수동으로 생성할 수 있습니다—아래 각 최상위 탭 내의 하위 탭을 참조하십시오.

서비스 계정 인증

Panther가 Google Cloud 서비스 계정을(를) 사용하여 인증하도록 하려면, 아래 탭 중 하나의 지침을 따르십시오.

Terraform

Terraform을 사용하여 GCP 인프라를 생성하려면(서비스 계정으로 인증):

1. 페이지에서 인프라 및 자격 증명 페이지에서 서비스 계정 탭을 클릭하십시오.

2. 클릭 Terraform 템플릿 을(를) 클릭하여 Terraform 템플릿을 다운로드하십시오.

   • 또한 Terraform 템플릿은 다음에서 찾을 수 있습니다 이 GitHub 링크.

3. 다음 파일의 필드를 작성하십시오. panther.tfvars 파일에 구성값을 입력하십시오.

   • 다음 값을 설정하십시오 authentication_method 에서 "service_account".

4. Terraform 구성 파일을 포함하는 작업 디렉터리를 초기화하고 다음을 실행하십시오 terraform init.

5. 해당하는 Terraform 명령 을(를) 복사하여 CLI에서 실행하십시오.

6. 다음에 제공된 gcloud 명령 을(를) 복사하여 서비스 계정 이메일 주소 값을 바꾸고 CLI에서 실행하여 JSON 키 파일을 생성하십시오.

   • 서비스 계정 이메일은 Terraform 명령.

GCP 콘솔에서 수동 생성

Workload Identity Federation 인증

을(를) 사용 중이라면, JSON 키 파일을 업로드하십시오.

서비스 계정 인증

다음 값을 입력하십시오 Google Cloud 서비스 계정 GCS 버킷 이름

1. 아래 및Pub/Sub 구독 ID,

2. 은(는) Google Cloud 계정의 섹션에서 찾을 수 있습니다.다음을 사용 중이라면 아직 수행하지 않았다면, 클릭하십시오 가져오기 구성 및 자격 구성 파일 제공 구독 을(를) 업로드하여 자격 구성 파일을 업로드하십시오.

3. 클릭 설정. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 아직 수행하지 않았다면 클릭하십시오 스키마 연결 또는 추론(Attach or Infer Schemas) 소스에 하나 이상의 스키마를 연결하려면.

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

Workload Identity Federation 인증

수집된 로그 보기

로그 소스가 구성된 후에는 다음을 사용하여 수집된 데이터를 검색할 수 있습니다 검색 또는 데이터 탐색기.