AppOmni 로그

AppOmni 로그를 Panther 콘솔에 연결하기

개요

Panther는 수집을 지원합니다 AppOmni 로그를 일반 데이터 전송 옵션: HTTP 웹훅 와 AWS S3.

AppOmni는 Salesforce, Box, ServiceNow, Workday, Office365, Zoom을 포함한 중요한 SaaS 애플리케이션 전반에서 수백 가지 이벤트 유형을 지속적으로 모니터링하고 표준화합니다. 이러한 로그를 Panther로 수집하면 Panther의 알림 기능에 액세스할 수 있습니다.

AppOmni 로그를 Panther에 온보딩하는 방법

1단계: Panther에서 새 AppOmni 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. "AppOmni"를 검색한 후 해당 타일을 클릭합니다.

4. 다음 전송 메커니즘 드롭다운에서 이 통합에 사용할 데이터 전송 방법을 선택한 다음, 해당 방법을 구성하기 위한 Panther의 지침을 따르세요:

   • HTTP

   • AWS S3 버킷\

     
5. 클릭 설정 시작.

6. 선택한 데이터 전송 방법을 구성하기 위한 Panther 지침을 따르세요:

   • Panther의 HTTP 소스 구성 지침

     • 인증 방법으로 다음을 선택하세요 공유 비밀(Shared secret) 또는 Bearer.

     • 이 소스로 전송되는 페이로드는 모든 HTTP 소스에 대한 페이로드 요구사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • S3 버킷을 구성하기 위한 Panther 지침

2단계: 로그 전달하도록 AppOmni 구성

• AppOmni를 구성하여 로그를 데이터 전송 소스로 푸시합니다.

  • 참조 AppOmni 문서 에서 선택한 데이터 전송 소스로 로그를 푸시하는 방법에 대한 지침을 확인하세요.

Panther 관리 탐지

참조 Panther 관리 AppOmni용 규칙 panther-analysis GitHub 리포지토리에 있습니다.

지원되는 로그 유형

AppOmni.Alerts

스키마: AppOmni.Alerts
설명: AppOmni의 경고 로그
참조URL: https://labs.appomni.com/aces/event.html
필드:
    - 이름: timestamp
      required: true
      설명: 이벤트가 발생한 날짜/시간.
      이름 변경:
        출처: '@timestamp'
      type: timestamp
      timeFormats:
        - rfc3339
    - 이름: appomni
      required: true
      type: object
      필드:
        - name: alert
          type: object
          필드:
            설명: 영향을 받은 사용자에 대한 정보
              설명: 규칙의 채널은 규칙 수명 주기의 단계에 의해 결정됩니다.
              type: string
        - name: event
          type: object
          필드:
            - 이름: dataset
              설명: 이벤트의 데이터셋. 데이터셋은 일반적으로 유사한 이벤트들의 모음입니다.
              type: string
            - 이름: id
              설명: 이벤트에 할당된 고유한 AppOmni ID.
              type: string
            - 이름: sortable_event_id
              설명: 수집될 때 할당된 이벤트의 고유 정렬 가능 ID.
              type: string
            - 이름: sortable_ingest_id
              설명: AppOmni의 데이터 저장소에 도착했을 때 할당된 이벤트의 고유 정렬 가능 ID.
              type: string
        - 이름: organization
          type: object
          필드:
            - 이름: id
              설명: 이 이벤트가 발생한 AppOmni 테넌트의 ID.
              type: bigint
    - name: event
      required: true
      type: object
      필드:
        - 이름: created
          설명: 모니터링되는 서비스에서 이벤트가 생성된 것으로 보고된 날짜/시간.
          type: timestamp
          timeFormats:
            - rfc3339
          isEventTime: true
        - name: kind
          설명: 이벤트가 포함하는 정보의 유형에 대한 높은 수준의 정보로, 이벤트의 내용에 대해 구체적이지 않음.
          type: string
        - 이름: severity
          설명: 소스에 따라 이벤트의 수치적 심각도.
          type: bigint
    - name: message
      required: true
      설명: 이벤트에 대한 사람이 읽을 수 있는 요약.
      type: string
    - 이름: related
      required: true
      type: object
      필드:
        - 이름: ip
          설명: 이벤트와 관련된 IP 주소(IPv4 또는 IPv6).
          type: array
          element:
            type: string
            지표:
                - ip
        - name: user
          설명: 이벤트와 관련된 사용자 ID.
          type: array
          element:
            type: string
            지표:
                - 이메일
        - name: event
          설명: 이벤트와 관련된 이벤트 ID. `appomni.event.id`의 AppOmni 이벤트 ID를 반영합니다.
          type: array
          element:
            type: string
        - 이름: services
          설명: 이벤트와 관련된 AppOmni 서비스 ID.
          type: object
          필드:
            - 이름: id
              type: array
              element:
                type: bigint
            - 이름: type
              type: array
              element:
                type: string
    - name: rule
      required: true
      type: object
      필드:
        - 이름: name
          설명: 규칙의 이름.
          type: string
        - 이름: ruleset
          설명: 규칙이 할당된 규칙집(ruleset)의 이름.
          type: string
        - 이름: threat
          type: object
          필드:
            - 이름: framework
              설명: 위협의 전술과 기법을 분류하는 데 사용되는 위협 프레임워크의 이름.
              type: string
            - 이름: tactic
              type: object
              필드:
                - 이름: id
                  설명: 전술의 ID.
                  type: array
                  element:
                    type: string
                - 이름: name
                  설명: 전술의 이름.
                  type: array
                  element:
                    type: string
            - 이름: technique
              type: object
              필드:
                - 이름: id
                  설명: 기법의 ID.
                  type: array
                  element:
                    type: string
                - 이름: name
                  설명: 기법의 이름.
                  type: array
                  element:
                    type: string
        - 이름: uuid
          설명: 규칙의 고유 UUID.
          type: string
        - name: version
          설명: 규칙의 버전.
          type: bigint
    - name: version
      required: true
      설명: ACES의 버전.
      type: string

AppOmni.Events

스키마: AppOmni.Events
설명: AppOmni의 이벤트 로그
참조URL: https://labs.appomni.com/aces/event.html
필드:
    - 이름: timestamp
      required: true
      이름 변경:
        출처: '@timestamp'
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    - 이름: application
      type: object
      필드:
        - 이름: name
          type: string
        설명: 앱이 승인된 앱 디렉터리에 있는지 여부
          type: array
          element:
            type: string
            지표:
                - URL
    - 이름: appomni
      required: true
      type: object
      필드:
        - name: event
          type: object
          필드:
            - 이름: collected_time
              type: timestamp
              timeFormats:
                - rfc3339
            - 이름: dataset
              type: string
            - 이름: id
              type: string
            - 이름: ingestion_time
              type: timestamp
              timeFormats:
                - rfc3339
        - 이름: organization
          type: object
          필드:
            - 이름: id
              type: bigint
        - 이름: service
          type: object
          필드:
            - name: account_id
              type: string
            - 이름: id
              type: bigint
            - 이름: name
              type: string
            - 이름: type
              type: string
    - name: event
      required: true
      type: object
      필드:
        - name: url
          type: string
        - 이름: provider
          type: string
        - 이름: reason
          type: string
        - name: category
          type: array
          element:
            type: string
        - 이름: id
          type: string
        - 이름: outcome
          type: string
        - 이름: type
          type: array
          element:
            type: string
        - 이름: code
          type: string
        - 이름: action
          type: string
        - 이름: created
          type: timestamp
          timeFormats:
            - rfc3339
        - 이름: dataset
          type: string
        - 이름: ingested
          type: timestamp
          timeFormats:
            - rfc3339
        - name: kind
          type: string
        - 이름: module
          type: string
        - 이름: original
          type: string
    - 이름: labels
      type: object
      필드:
        - 이름: device_hash
          type: string
          지표:
            - sha256
        - 이름: threat_suspected
          유형: boolean
        - 이름: transaction_id
          type: string
        - 이름: transaction_type
          type: string
        - 이름: login_key
          type: string
        - 이름: application
          type: string
        - 이름: entities
          type: string
        - name: query
          type: string
        - 이름: row_count
          type: bigint
        - 이름: type
          type: string
        - 이름: repo_visibility
          type: string
        - 이름: is_hosted_runner
          유형: boolean
        - 이름: source_repository_default_branch
          type: string
        - 이름: public_repo
          유형: boolean
        - 이름: source_repository_created_date
          type: timestamp
          timeFormats:
            - rfc3339
        - 이름: source_repository_name
          type: string
        - 이름: organization_name
          type: string
    - name: message
      type: string
    - 이름: related
      type: object
      필드:
        - name: identity
          type: array
          element:
            type: string
        - 이름: resource
          type: array
          element:
            type: string
        - 이름: ip
          type: array
          element:
            type: string
            지표:
                - ip
        - name: user
          type: array
          element:
            type: string
            지표:
                - 이메일
    - 이름: resource
      type: object
      필드:
        - 이름: id
          type: string
        - 이름: name
          type: string
        - 이름: type
          type: string
    - 이름: service
      type: object
      필드:
        - 이름: name
          type: string
        - 이름: id
          type: bigint
    - 이름: session
      type: object
      필드:
        - name: kind
          type: string
        - 이름: id
          type: string
    - 이름: source
      type: object
      필드:
        - 이름: host
          type: object
          필드:
            - 이름: hostname
              type: string
            - 이름: os
              type: object
              필드:
                - 이름: name
                  type: string
        - 이름: as
          type: object
          필드:
            - 이름: country
              type: string
            - 이름: domain
              type: string
            - 이름: number
              type: bigint
            - 이름: organization
              type: object
              필드:
                - 이름: name
                  type: string
            - 이름: type
              type: string
        - 이름: geo
          type: object
          필드:
            - 이름: country_name
              type: string
            - 이름: city_name
              type: string
            - 이름: country_iso_code
              type: string
            - 이름: location
              type: object
              필드:
                - 이름: lat
                  type: float
                - 이름: lon
                  type: float
            - 이름: postal_code
              type: string
            - 이름: region_name
              type: string
            - 이름: timezone
              type: string
        ip: "ipv4"
          type: string
          지표:
            - ip
        - 이름: ip
          type: string
          지표:
            - ip
    allowContains: ["critical", "warning"]
      type: array
      element:
        type: string
    - name: user
      type: object
      필드:
        - 이름: full_name
          type: string
        - 이름: email
          type: string
          지표:
            - 이메일
        - name: target
          type: object
          필드:
            - 이름: email
              type: string
              지표:
                - 이메일
            - 이름: full_name
              type: string
            - 이름: id
              type: string
            - name: identity
              type: object
              필드:
                - 이름: id
                  type: string
                - 이름: admin
                  유형: boolean
                - 이름: email
                  type: string
                  지표:
                    - 이메일
                - 이름: elevated
                  유형: boolean
                - 이름: full_name
                  type: string
            - name: roles
              type: array
              element:
                type: string
            - 이름: name
              type: string
              지표:
                - 이메일
        - 이름: effective
          type: object
          필드:
            - name: hash
              type: string
        - 이름: id
          type: string
        - name: identity
          type: object
          필드:
            - 이름: id
              type: string
            - 이름: admin
              유형: boolean
            - 이름: email
              type: string
              지표:
                - 이메일
            - 이름: elevated
              유형: boolean
            - 이름: full_name
              type: string
        - name: roles
          type: array
          element:
            type: string
        - 이름: name
          type: string
          지표:
            - 이메일
    - name: user_agent
      type: object
      필드:
        - 이름: name
          type: string
        - 이름: os
          type: object
          필드:
            - 이름: name
              type: string
        - 이름: original
          type: string
    - name: version
      required: true
      type: string

AppOmni.Policy

스키마: AppOmni.Policy
설명: AppOmni의 정책 로그
참조URL: https://labs.appomni.com/aces/policy.html
필드:
    - 이름: message_type
      required: true
      type: string
    - name: version
      required: true
      type: string
    - 이름: stats
      copy:
        출처: data.universal.stats
      type: object
      필드:
        - 이름: created_event_count
          required: true
          type: bigint
        - 이름: existing_event_count
          required: true
          type: bigint
        - 이름: existing_instances_count
          required: true
          type: bigint
        - 이름: instances_resolved_count
          required: true
          type: bigint
        - 이름: new_instances_count
          required: true
          type: bigint
        - 이름: reopened_event_count
          required: true
          type: bigint
        - 이름: resolved_event_count
          required: true
          type: bigint
        - 이름: total_instances_count
          required: true
          type: bigint
    - 이름: events
      copy:
        출처: data.universal.events
      type: array
      element:
        type: object
        필드:
            - 이름: audit_date
              required: true
              type: timestamp
              timeFormats:
                - rfc3339
            - 이름: audit_id
              required: true
              type: bigint
            - 이름: automated
              required: true
              유형: boolean
            - 이름: control_id
              type: bigint
            - 이름: created
              required: true
              type: timestamp
              timeFormats:
                - rfc3339
            - 이름: existing_instances_count
              required: true
              type: bigint
            - 이름: external_id
              required: true
              type: string
            - 이름: finding_detail
              required: true
              type: string
            - 이름: id
              required: true
              type: string
            - 이름: implementation_id
              required: true
              type: string
            - 이름: last_activated
              required: true
              type: timestamp
              timeFormats:
                - rfc3339
            - 이름: new_instances_count
              required: true
              type: bigint
            - 이름: perspective_id
              required: true
              type: bigint
            - 이름: perspective_type
              required: true
              type: string
            - 이름: perspective_username
              required: true
              type: string
            - 이름: risk_score
              required: true
              type: bigint
            - 이름: rule_external_id
              type: bigint
            - 이름: rule_id
              required: true
              type: bigint
            - 이름: status
              required: true
              type: string
            - 이름: target_entity
              required: true
              type: object
              필드:
                - 이름: primary_target_api_name
                  type: string
                - 이름: primary_target_api_id
                  type: string
                - 이름: secondary_target_label
                  type: string
                - 이름: md_kind
                  type: string
                - 이름: md_version
                  type: string
                - 이름: primary_target_label
                  type: string
            - 이름: total_instances_count
              required: true
              type: bigint
    - 이름: policy_assessment
      copy:
        출처: data.universal.policy_assessment
      type: object
      필드:
        - 이름: completion_date
          required: true
          type: timestamp
          timeFormats:
            - rfc3339
          isEventTime: true
        - 이름: created
          required: true
          type: timestamp
          timeFormats:
            - rfc3339
        - 이름: evaluation_stats
          required: true
          유형: json
        - 이름: failed_assessments
          required: true
          type: bigint
        - 이름: id
          required: true
          type: string
        - 이름: monitored_services
          required: true
          type: array
          element:
            type: object
            필드:
                - 이름: id
                  type: string
                - 이름: name
                  type: string
                설명: 작업을 수행한 사용자의 사용자 이름.
                  type: string
                설명: 이 로그가 관련된 서비스 id.
                  type: string
                allowContains: ["critical", "warning"]
                  type: array
                  element:
                    type: object
                    필드:
                        - 이름: id
                          type: string
                        - 이름: name
                          type: string
                        - 이름: tag_type
                          type: string
        - 이름: target_assessment_count
          required: true
          type: bigint
    - 이름: policy
      copy:
        출처: data.universal.policy
      type: object
      필드:
        - 이름: external_id
          required: true
          type: string
        - 이름: id
          required: true
          type: string
        - name: mode
          required: true
          type: string
        - 이름: name
          required: true
          type: string
        - 이름: policy_type
          required: true
          type: string
        - 이름: results_url
          required: true
          type: string
          지표:
            - URL
        - name: role
          required: true
          type: string
        - name: url
          required: true
          type: string
          지표:
            - URL