# Pub/Sub 소스 ## 개요 Panther는 구성을 지원합니다 [Google Pub/Sub](https://cloud.google.com/pubsub?hl=en) Pub/Sub 주제에서 로그 데이터를 직접 가져오기 위한 Data Transport로 Panther는 Google Cloud를 사용하여 소스에 대해 인증할 수 있습니다 [Workload Identity Federation](https://cloud.google.com/iam/docs/workload-identity-federation) 또는 [서비스 계정](https://cloud.google.com/iam/docs/service-account-overview). Panther는 다음 사용을 지원합니다 [리전 엔드포인트](https://cloud.google.com/pubsub/docs/reference/service_apis_overview#list_regional_endpoints)는 조직에 규정 준수 요구사항이 있는 경우(예: 데이터가 Google Cloud의 특정 리전에 유지되어야 하는 경우) 유용할 수 있으며, 다음을 활성화해야 합니다 [`enforceInTransit` 플래그](https://docs.cloud.google.com/pubsub/docs/resource-location-restriction). ## Panther에서 Cloud Pub/Sub 로그 소스를 설정하는 방법 ### 1단계: Panther에서 Pub/Sub 소스 구성 1. Panther Console의 왼쪽 탐색 표시줄에서 **구성** > **로그 소스**. 2. 오른쪽 상단에서 다음을 클릭합니다 **새로 만들기**. 3. 다음을 클릭하세요. **Google Cloud Pub/Sub** 타일. 4. 에서 **기본 정보** 페이지에서 다음 필드를 입력하세요: * **Name**: 로그 소스에 대한 설명적인 이름을 입력합니다. * **로그 유형**: Panther가 로그를 파싱하는 데 사용할 로그 유형을 선택합니다. 5. 을 클릭합니다 **Setup.** 6. 에서 **로그 형식** 페이지에서 다음을 선택하세요 [스트림 유형](https://docs.panther.com/ko/custom-log-types/reference#stream-type) 수신 로그의: * **자동** * **줄** * **JSON** * **JSON 배열** * **XML** 7. 을 클릭합니다 **계속**. 8. 에서 **구성** 페이지에서 필요한 인프라 구성 요소를 생성하는 단계를 따르세요. * 아래 지침은 Terraform 템플릿 사용을 기반으로 합니다. Terraform을 사용하고 싶지 않다면, 대체 문서를 따라 [인프라 구성 요소 프로세스를 수동으로 완료할 수 있습니다](#manual-creation-in-gcp-console). ### 2단계: GCP 클라우드에 필요한 인프라 생성 GCP 인프라를 생성하기 전에 다음을 결정해야 합니다: * 인증 방법: 다음을 사용할 수 있습니다 [AWS를 사용하는 Google Cloud Workload Identity Federation](https://cloud.google.com/iam/docs/workload-identity-federation) 또는 [서비스 계정](https://cloud.google.com/iam/docs/service-account-overview)—아래의 상위 탭을 참조하세요. * 생성 방법: Terraform을 사용하여 인프라를 생성하거나 GCP 콘솔에서 수동으로 생성할 수 있습니다—아래 각 상위 탭의 하위 탭을 참조하세요. {% hint style="warning" %} 구독을 생성할 때는 다음을 활성화하지 않는 것이 좋습니다 `enable_exactly_once_delivery`를. 이렇게 하면 처리량이 훨씬 낮아지고 지연 시간이 길어질 수 있습니다. {% endhint %} {% tabs %} {% tab title="서비스 계정 인증" %} Panther가 다음을 사용하여 인증하도록 하려면 [Google Cloud 서비스 계정](https://cloud.google.com/iam/docs/service-account-overview)아래 탭 중 하나의 지침을 따르세요. {% tabs %} {% tab title="Terraform" %} Terraform을 사용하여 GCP 인프라를 생성하려면(서비스 계정으로 인증): 1. 에서 **인프라 및 자격 증명** 페이지에서 다음을 클릭하세요 **서비스 계정** 탭.\ ![Under an "Infrastructure & Credentials" header, a tab labeled "Service Account" is circled.](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-86cf52ca25fab148f209f35c7689bf9fce571efe%2FScreenshot%202025-02-24%20at%202.37.30%E2%80%AFPM.png?alt=media) 2. 을 클릭합니다 **Terraform 템플릿** 을 클릭하여 Terraform 템플릿을 다운로드합니다. * Terraform 템플릿은 다음에서도 찾을 수 있습니다 [이 GitHub 링크](https://github.com/panther-labs/panther-auxiliary/tree/main/terraform/panther_cloud_pubsub_transport_type_infra). 3. 다음의 필드를 채우세요 `panther.tfvars` 파일에 설정을 입력하세요. * 설정하세요 `authentication_method` 을 `"service_account"`. 4. Terraform 구성 파일이 포함된 작업 디렉터리를 초기화하고 다음을 실행합니다 `terraform init`. 5. 해당하는 **Terraform 명령어** 를 복사하여 CLI에서 실행합니다. 6. 다음 파일을 복사하여 JSON 키 파일을 생성합니다 **gcloud 명령어** 를 제공된 대로 복사하고, 서비스 계정 이메일 주소 값을 바꾼 다음 CLI에서 실행합니다. * 서비스 계정 이메일은 다음의 출력에서 찾을 수 있습니다 **Terraform 명령어**. {% endtab %} {% tab title="GCP 콘솔에서 수동 생성" %} GCP 콘솔에서 GCP 인프라 구성 요소를 수동으로 생성하려면(서비스 계정으로 인증): 1. [주제를 생성합니다](https://cloud.google.com/pubsub/docs/admin#creating_a_topic) 데이터용으로. * 다음을 사용하여 주제를 생성할 수 있습니다. `gcloud` CLI 도구를 사용하며, 명령 형식은 다음과 같습니다: `gcloud pubsub topics create $TOPIC_ID` 2. [구독을 생성합니다](https://cloud.google.com/pubsub/docs/admin#pubsub_create_pull_subscription-gcloud) 만들어 둔 주제와 함께 사용할 구독입니다. * 다음을 사용하여 구독을 생성할 수 있습니다 `gcloud` CLI 도구를 사용하며, 명령 형식은 다음과 같습니다: `gcloud pubsub subscriptions create $SUBSCRIPTION_ID --topic $TOPIC_ID --topic-project $PROJECT_ID` {% hint style="warning" %} 이 구독은 다른 서비스나 소스에서 사용해서는 안 됩니다. {% endhint %} 3. [IAM API 사용 설정](https://console.cloud.google.com/apis/library/iam.googleapis.com). 4. [새 Google Cloud 서비스 계정 생성](https://cloud.google.com/iam/docs/creating-managing-service-accounts). 계정을 생성하려면 `gcloud` CLI 도구를 사용하여 다음 명령 형식을 사용하세요: ``` gcloud iam service-accounts create SA-NAME \     --description="DESCRIPTION" \     --display-name="DISPLAY_NAME" ``` * 계정 이메일 주소를 반드시 기록해 두세요. Panther가 이 이메일을 사용하여 이 GCS 통합을 위해 생성된 인프라에 접근합니다. 5. 계정에 필요한 IAM 역할을 할당합니다. * 다음 권한은 Pub/Sub 구독과 주제가 있는 프로젝트에 필요합니다:
필요한 권한역할조건
필요한 권한역할범위
pubsub.subscriptions.consumeroles/pubsub.subscribersubscription-name
pubsub.subscriptions.getroles/pubsub.viewersubscription-name
monitoring.timeSeries.listroles/monitoring.viewerproject
* the `monitoring.timeSeries.list` 권한은 선택 사항이지만, 향상된 자동 확장을 위해 권장됩니다. * **참고:** 특정 리소스에 대해 권한 조건 또는 IAM 정책을 설정할 수 있습니다. 이는 서비스 계정의 IAM 페이지(아래 예시 스크린샷에서 보이는 것처럼) 또는 특정 리소스의 페이지에서 수행할 수 있습니다.\ ![On the IAM page of the service account, under the header "Grant this service account access to project," there are fields for Rule and Condition.](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-a76ce6b753aefd1a1a5b99869bb6773442a905cf%2Fgcp-grant-access.png?alt=media) * **참고:** 다음을 사용하여 권한을 생성할 수 있습니다. `gcloud` CLI 도구: * `gcloud projects add-iam-policy-binding $PROJECT_ID --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" --role="roles/pubsub.subscriber"` * `gcloud projects add-iam-policy-binding $PROJECT_ID --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" --role="roles/pubsub.viewer"` * `gcloud projects add-iam-policy-binding $PROJECT_ID --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" --role="roles/monitoring.viewer"` 6. [서비스 계정용 JSON 키 파일을 생성하세요](https://cloud.google.com/iam/docs/creating-managing-service-account-keys) Panther에서 GCP 인프라에 인증하는 데 사용됩니다. * gcloud CLI 도구를 사용하여 JSON 키 파일을 만들려면 다음 명령 형식을 실행하세요:\ `gcloud iam service-accounts keys create $KEYFILE_PATH --iam-account=$SERVICE_ACCOUNT_EMAIL` * 또는 위 명령을 로컬 대신 GCP의 터미널에서 실행할 수 있습니다. 1. 오른쪽 상단의 점 3개 아이콘 메뉴를 클릭한 다음 **다운로드**. * ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-6940cc677e233faedec16959c99926def5e052be%2Fimage.png?alt=media) 2. 찾아보기를 위해 폴더 아이콘을 클릭합니다. 3. 키 파일로 이동하여 선택한 다음 **다운로드**. {% endtab %} {% endtabs %} {% endtab %} {% tab title="Workload Identity Federation 인증" %} Panther가 다음을 사용하여 인증하도록 하려면 [Google Cloud Workload Identity Federation](https://cloud.google.com/iam/docs/workload-identity-federation)아래 탭 중 하나의 지침을 따르세요. {% tabs %} {% tab title="Terraform" %} Terraform을 사용하여 GCP 인프라 구성 요소를 생성하려면(Workload Identity Federation으로 인증): 1. 에서 **인프라 및 자격 증명 페이지**에서 다음을 클릭하세요 **Workload Identity Federation** 탭.\ ![Under an "Infrastructure & Credentials" header, a tab labeled "Workload Identity Federation" is circled.](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-7e7ca651c6e60e46eebec337cf723e11dc602ae7%2FScreenshot%202025-02-24%20at%202.39.43%E2%80%AFPM.png?alt=media) 2. 을 클릭합니다 **Terraform 템플릿** 을 클릭하여 Terraform 템플릿을 다운로드합니다. * Terraform 템플릿은 다음에서도 찾을 수 있습니다 [이 GitHub 링크](https://github.com/panther-labs/panther-auxiliary/tree/main/terraform/panther_cloud_pubsub_transport_type_infra). 3. 다음의 필드를 채우세요 `panther.tfvars` 파일에 설정을 입력하세요. * 설정하세요 `authentication_method` 을 `"workload_identity_federation"`. * 다음 값들을 제공하세요 `panther_workload_identity_pool_id`, `panther_workload_identity_pool_provider_id`**,** Run Panther AI `panther_aws_account_id`. 4. Terraform 구성 파일이 포함된 작업 디렉터리를 초기화하고 다음을 실행합니다 `terraform init`. 5. 해당하는 **Terraform 명령어** 를 복사하여 CLI에서 실행합니다. 6. 다음 파일을 복사하여 풀에 대한 자격 증명 구성 파일을 생성합니다 **gcloud 명령어** 를 제공된 대로 복사하고 프로젝트 번호, 풀 ID, 제공자 ID의 값을 바꾼 다음 CLI에서 실행합니다. * 프로젝트 번호, 풀 ID, 제공자 ID는 다음의 출력에서 찾을 수 있습니다 **Terraform 명령어**. {% endtab %} {% tab title="GCP 콘솔에서 수동 생성" %} GCP 콘솔에서 GCP 인프라 구성 요소를 수동으로 생성하려면(Workload Identity Federation으로 인증): 1. [주제를 생성합니다](https://cloud.google.com/pubsub/docs/admin#creating_a_topic) 데이터용으로. * 다음을 사용하여 주제를 생성할 수 있습니다. `gcloud` CLI 도구를 사용하며, 명령 형식은 다음과 같습니다: `gcloud pubsub topics create $TOPIC_ID` 2. [구독을 생성합니다](https://cloud.google.com/pubsub/docs/admin#pubsub_create_pull_subscription-gcloud) 만들어 둔 주제와 함께 사용할 구독입니다. * 다음을 사용하여 구독을 생성할 수 있습니다 `gcloud` CLI 도구를 사용하며, 명령 형식은 다음과 같습니다: `gcloud pubsub subscriptions create $SUBSCRIPTION_ID --topic $TOPIC_ID --topic-project $PROJECT_ID` {% hint style="warning" %} 이 구독은 다른 서비스나 소스에서 사용해서는 안 됩니다. {% endhint %} 3. [IAM API 사용 설정](https://console.cloud.google.com/apis/library/iam.googleapis.com). 4. 다음 절차에 따라 AWS를 사용한 Workload Identity Federation을 구성하세요 [AWS 또는 Azure를 사용한 Workload Identity Federation 구성](https://cloud.google.com/iam/docs/workload-identity-federation-with-other-clouds) 문서. 1. 다음과 같이 [속성 매핑과 조건을 정의하는 동안](https://cloud.google.com/iam/docs/workload-identity-federation-with-other-clouds#mappings-and-conditions)다음 예시를 참고하세요: * 예제 [속성 매핑](https://cloud.google.com/iam/docs/workload-identity-federation#mapping):
GoogleAWS
google.subjectassertion.arn.extract('arn:aws:sts::{account_id}:')+":"+assertion.arn.extract('assumed-role/{role_and_session}').extract('/{session}')
attribute.accountassertion.account
* 예제 [속성 조건](https://cloud.google.com/iam/docs/workload-identity-federation#conditions):\ `attribute.account==""` {% hint style="warning" %} 다음의 값은 `google.subject` 속성 [127자를 초과할 수 없습니다](https://cloud.google.com/iam/docs/workload-identity-federation#mapping). 다음을 사용할 수 있습니다. [Common Expression Language(CEL) 표현식](https://cloud.google.com/iam/docs/workload-identity-federation#mapping) AWS에서 발급한 토큰의 속성을 변환하거나 결합하기 위해. 위 표에서 제안된 표현식은 이 제한을 고려한 것이며, ARN을 Panther 엔터티를 고유하게 식별하는 값으로 변환하려는 시도입니다. AWS 속성에 대한 자세한 내용은 "예 2 - AssumeRole로 생성된 사용자가 호출함"을 참조하세요 [이 AWS 문서 페이지](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetCallerIdentity.html). {% endhint %} 5. 다음 단계에서 [ID 풀에 공급자를 추가할 때](https://cloud.google.com/iam/docs/workload-identity-federation-with-other-clouds#aws), 선택하세요 **AWS**. 6. 계정에 필요한 IAM 역할을 할당합니다. * 다음 권한은 Pub/Sub 구독과 주제가 있는 프로젝트에 필요합니다:
필요한 권한역할조건
필요한 권한역할범위
pubsub.subscriptions.consumeroles/pubsub.subscribersubscription-name
pubsub.subscriptions.getroles/pubsub.viewersubscription-name
monitoring.timeSeries.listroles/monitoring.viewerproject
* the `monitoring.timeSeries.list` 권한은 선택 사항이지만, 향상된 자동 확장을 위해 권장됩니다. * **참고:** 특정 리소스에 대해 권한 조건 또는 IAM 정책을 설정할 수 있습니다. 이는 GCP의 IAM 섹션(아래 예시 스크린샷에서 보이는 것처럼) 또는 특정 리소스의 페이지에서 수행할 수 있습니다.\ ![In the Google Cloud console, the "IAM" navigation bar item is circled. In a slide-out panel, sections titled "Add principals" and "Assign roles" are circled.](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-fde2bbdd808d22e67b3f2409a908d7a63596593b%2FScreenshot%202025-03-05%20at%2015.20.04.png?alt=media) * **참고:** 다음을 사용하여 권한을 생성할 수 있습니다. `gcloud` CLI 도구, 여기서 `$PRINCIPAL_ID` 는 다음과 같을 수 있습니다:\ `principalSet://iam.googleapis.com/projects//locations/global/workloadIdentityPools//attribute.account/` * `gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/pubsub.subscriber"` * `gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/pubsub.viewer"` * `gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/monitoring.viewer"` 7. [자격 증명 구성 파일을 다운로드하세요](https://cloud.google.com/iam/docs/workload-download-cred-and-grant-access)Panther에서 GCP 인프라에 인증하는 데 사용됩니다. * gcloud CLI 도구를 사용하여 자격 증명 구성 파일을 생성하려면 다음 명령 형식을 사용하세요:\ `gcloud iam workload-identity-pools create-cred-config projects/$PROJECT_NUMBER/locations/global/workloadIdentityPools/$POOL_ID/providers/$PROVIDER_ID --aws --output-file=config.json` {% endtab %} {% endtabs %} {% endtab %} {% endtabs %} ### 3단계: Panther에서 소스 설정 완료 {% tabs %} {% tab title="서비스 계정 인증" %} 다음을 사용 중인 경우 [Google Cloud 서비스 계정](https://cloud.google.com/iam/docs/service-account-overview) 인증하려면: 1. 아래에서 **pulling 구성 및 JSON 키 파일 제공**, JSON 키 파일을 업로드합니다. 2. 다음을 입력하세요 **Pub/Sub 구독 ID,** 다음의 **구독** 섹션에서 찾을 수 있습니다. Google Cloud 계정의\ ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-ae31c88e5acfad0e4374bac8d748aa5c49526010%2FScreenshot%202025-03-12%20at%2012.10.49.png?alt=media) 3. 아래에서 **리전 엔드포인트(선택 사항)**, 선택적으로 다음을 입력합니다 [리전 엔드포인트](https://cloud.google.com/pubsub/docs/reference/service_apis_overview#list_regional_endpoints). 4. 을 클릭합니다 **Setup**. 그러면 성공 화면으로 이동합니다:
The success screen reads, "Everything looks good! Panther will now automatically pull & process logs from your account"
* 선택적으로 하나 이상의 [디택션 팩](https://docs.panther.com/detections/panther-managed/packs). * 아직 하지 않았다면, 다음을 클릭하세요 **스키마 연결 또는 추론** 하여 하나 이상의 스키마를 소스에 연결합니다. * the **이벤트가 처리되지 않을 때 알러트 트리거** 설정의 기본값은 **YES**. 이 기능은 로그 소스에서 일정 기간 동안 데이터 흐름이 중단되면 알림을 받게 되므로, 활성화된 상태로 두는 것을 권장합니다. 이 기간은 구성 가능하며 기본값은 24시간입니다.
The "Trigger an alert when no events are processed" toggle is set to YES. The "How long should Panther wait before it sends you an alert that no events have been processed" setting is set to 1 Day
{% endtab %} {% tab title="Workload Identity Federation 인증" %} 사용 중이라면 [Google Cloud Workload Identity Federation](https://cloud.google.com/iam/docs/workload-identity-federation) 인증하려면: 1. 에서 **인프라 및 자격 증명 페이지**, 아직 하지 않았다면, 다음을 클릭하세요 **Workload Identity Federation** 탭.\ ![Under an "Infrastructure & Credentials" header, a tab labeled "Workload Identity Federation" is circled.](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-7e7ca651c6e60e46eebec337cf723e11dc602ae7%2FScreenshot%202025-02-24%20at%202.39.43%E2%80%AFPM.png?alt=media) 2. 아래에서 **pulling 구성 및 자격 증명 구성 파일 제공**, 자격 증명 구성 파일을 업로드합니다. 3. 다음을 입력하세요 **Pub/Sub 구독 ID** Run Panther AI **프로젝트 ID**, 다음의 **구독** 섹션에서 찾을 수 있습니다. Google Cloud 계정의\ ![In a tab titled "Workload Identity Federation," there are various buttons and form fields, including "GCS Bucket Name," "Pub/Sub Subscription ID," and "Project ID."](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-a308262722541528d234ad2e7bc70e45a7143742%2FScreenshot%202025-03-12%20at%2012.10.55.png?alt=media) 4. 아래에서 **리전 엔드포인트(선택 사항)**, 선택적으로 다음을 입력합니다 [리전 엔드포인트](https://cloud.google.com/pubsub/docs/reference/service_apis_overview#list_regional_endpoints). 5. 을 클릭합니다 **Setup**. 그러면 성공 화면으로 이동합니다:
The success screen reads, "Everything looks good! Panther will now automatically pull & process logs from your account"
* 선택적으로 하나 이상의 [디택션 팩](https://docs.panther.com/detections/panther-managed/packs). * 아직 하지 않았다면, 다음을 클릭하세요 **스키마 연결 또는 추론** 하여 하나 이상의 스키마를 소스에 연결합니다. * the **이벤트가 처리되지 않을 때 알러트 트리거** 설정의 기본값은 **YES**. 이 기능은 로그 소스에서 일정 기간 동안 데이터 흐름이 중단되면 알림을 받게 되므로, 활성화된 상태로 두는 것을 권장합니다. 이 기간은 구성 가능하며 기본값은 24시간입니다.
The "Trigger an alert when no events are processed" toggle is set to YES. The "How long should Panther wait before it sends you an alert that no events have been processed" setting is set to 1 Day
{% endtab %} {% endtabs %} ## 수집된 로그 보기 로그 소스가 구성되면 다음을 사용하여 수집된 데이터를 검색할 수 있습니다 [검색](https://docs.panther.com/ko/search/search-tool) 또는 [Data Explorer](https://docs.panther.com/ko/search/data-explorer).