AppOmni 로그

AppOmni 로그를 Panther Console에 연결하기

개요

Panther는 수집을 지원합니다 AppOmni 일반적인 방식을 통한 로그 데이터 전송 옵션: HTTP 웹훅 및 AWS S3.

AppOmni는 Salesforce, Box, ServiceNow, Workday, Office365, Zoom을 포함한 핵심 SaaS 애플리케이션 전반에 걸쳐 수백 가지 이벤트 유형을 지속적으로 모니터링하고 정규화합니다. 이러한 로그를 Panther로 수집하면 Panther의 알림 기능에 액세스할 수 있습니다.

AppOmni 로그를 Panther에 온보딩하는 방법

1단계: Panther에서 새 AppOmni 소스 생성

1. Panther Console의 왼쪽 탐색 모음에서 다음을 클릭하세요. 구성 > 로그 소스.

2. 다음을 클릭하세요. 새로 만들기.

3. "AppOmni"를 검색한 다음 해당 타일을 클릭합니다.

4. 다음에서 전송 메커니즘 드롭다운에서 이 통합에 사용할 데이터 전송 방법을 선택한 다음, 해당 방법을 구성하기 위한 Panther의 지침을 따르세요:

   • HTTP

   • AWS S3 버킷\

     
5. 다음을 클릭하세요. 설정 시작.

6. 선택한 데이터 전송 방법을 구성하기 위한 Panther의 지침을 따르세요:

   • HTTP Source를 구성하기 위한 Panther의 지침

     • 인증 방법으로 다음을 선택하세요 공유 비밀 또는 Bearer.

     • 이 소스로 전송된 페이로드는 다음의 적용을 받습니다. 모든 HTTP 소스에 대한 페이로드 요구 사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • S3 버킷 구성을 위한 Panther의 지침

2단계: 로그를 전달하도록 AppOmni 구성

• 데이터 전송 소스로 로그를 푸시하도록 AppOmni를 구성합니다.

  • 다음을 참조하세요 AppOmni의 문서 선택한 데이터 전송 소스로 로그를 푸시하는 방법에 대한 지침입니다.

Panther 관리형 디택션

다음을 참조하세요 Panther 관리형 다음의 AppOmni용 룰 panther-analysis GitHub 저장소에 있습니다.

지원되는 로그 유형

AppOmni.Alerts

스키마: AppOmni.Alerts
설명: AppOmni의 알림 로그
referenceURL: https://labs.appomni.com/aces/event.html
fields:
    - 이름: timestamp
      required: true
      설명: 이벤트가 발생한 날짜/시간입니다.
      rename:
        from: '@timestamp'
      type: timestamp
      timeFormats:
        - rfc3339
    - name: appomni
      required: true
      type: object
      fields:
        - 이름: 알러트
          type: object
          fields:
            - 이름: channel
              설명: 룰의 채널은 룰 수명 주기의 단계에 따라 결정됩니다.
              type: string
        - 이름: event
          type: object
          fields:
            - name: dataset
              설명: 이벤트의 데이터셋입니다. 데이터셋은 일반적으로 유사한 이벤트의 모음입니다.
              type: string
            - name: id
              설명: 이벤트의 AppOmni 고유 할당 ID입니다.
              type: string
            - name: sortable_event_id
              설명: 수집 시 이벤트에 할당되는 고유한 정렬 가능 ID입니다.
              type: string
            - name: sortable_ingest_id
              설명: AppOmni의 데이터 저장소에 도착할 때 이벤트에 할당되는 고유한 정렬 가능 ID입니다.
              type: string
        - name: organization
          type: object
          fields:
            - name: id
              설명: 이 이벤트가 발생한 AppOmni 테넌트의 ID입니다.
              유형: bigint
    - 이름: event
      required: true
      type: object
      fields:
        - 이름: created
          설명: 모니터링되는 서비스에서 이벤트가 생성된 것으로 보고된 날짜/시간입니다.
          type: timestamp
          timeFormats:
            - rfc3339
          isEventTime: true
        - name: kind
          설명: 이벤트 내용에 특정되지 않고, 이벤트에 어떤 유형의 정보가 포함되어 있는지에 대한 상위 수준 정보입니다.
          type: string
        - 이름: severity
          설명: 소스에 따른 이벤트의 숫자 심각도입니다.
          유형: bigint
    - name: message
      required: true
      설명: 사람이 읽을 수 있는 이벤트 요약입니다.
      type: string
    - name: related
      required: true
      type: object
      fields:
        - name: ip
          설명: 이벤트와 관련된 IP 주소(IPv4 또는 IPv6)입니다.
          type: array
          element:
            type: string
            indicators:
                - ip
        - name: user
          설명: 이벤트와 관련된 사용자 ID입니다.
          type: array
          element:
            type: string
            indicators:
                - email
        - 이름: event
          설명: 이벤트와 관련된 이벤트 ID입니다. `appomni.event.id`의 AppOmni 이벤트 ID를 반영합니다.
          type: array
          element:
            type: string
        - name: services
          설명: 이벤트와 관련된 AppOmni 서비스 ID입니다.
          type: object
          fields:
            - name: id
              type: array
              element:
                유형: bigint
            - 이름: type
              type: array
              element:
                type: string
    - name: 룰
      required: true
      type: object
      fields:
        - name: name
          설명: 룰의 이름입니다.
          type: string
        - name: 룰셋
          설명: 룰이 할당된 룰셋의 이름입니다.
          type: string
        - name: threat
          type: object
          fields:
            - name: framework
              설명: 위협의 전술 및 기법을 분류하는 데 사용되는 위협 프레임워크의 이름입니다.
              type: string
            - name: tactic
              type: object
              fields:
                - name: id
                  설명: 전술의 ID입니다.
                  type: array
                  element:
                    type: string
                - name: name
                  설명: 전술의 이름입니다.
                  type: array
                  element:
                    type: string
            - name: technique
              type: object
              fields:
                - name: id
                  설명: 기법의 ID입니다.
                  type: array
                  element:
                    type: string
                - name: name
                  설명: 기법의 이름입니다.
                  type: array
                  element:
                    type: string
        - name: uuid
          설명: 룰의 고유 UUID입니다.
          type: string
        - name: version
          설명: 룰의 버전입니다.
          유형: bigint
    - name: version
      required: true
      설명: ACES의 버전입니다.
      type: string

AppOmni.Events

스키마: AppOmni.Events
설명: AppOmni의 이벤트 로그
referenceURL: https://labs.appomni.com/aces/event.html
fields:
    - 이름: timestamp
      required: true
      rename:
        from: '@timestamp'
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    - name: application
      type: object
      fields:
        - name: name
          type: string
        - 이름: scopes
          type: array
          element:
            type: string
            indicators:
                - url
    - name: appomni
      required: true
      type: object
      fields:
        - 이름: event
          type: object
          fields:
            - name: collected_time
              type: timestamp
              timeFormats:
                - rfc3339
            - name: dataset
              type: string
            - name: id
              type: string
            - name: ingestion_time
              type: timestamp
              timeFormats:
                - rfc3339
        - name: organization
          type: object
          fields:
            - name: id
              유형: bigint
        - name: service
          type: object
          fields:
            - name: account_id
              type: string
            - name: id
              유형: bigint
            - name: name
              type: string
            - 이름: type
              type: string
    - 이름: event
      required: true
      type: object
      fields:
        - 이름: url
          type: string
        - name: provider
          type: string
        - name: reason
          type: string
        - 이름: category
          type: array
          element:
            type: string
        - name: id
          type: string
        - name: outcome
          type: string
        - 이름: type
          type: array
          element:
            type: string
        - name: code
          type: string
        - 이름: action
          type: string
        - 이름: created
          type: timestamp
          timeFormats:
            - rfc3339
        - name: dataset
          type: string
        - name: ingested
          type: timestamp
          timeFormats:
            - rfc3339
        - name: kind
          type: string
        - name: module
          type: string
        - name: original
          type: string
    - name: labels
      type: object
      fields:
        - name: device_hash
          type: string
          indicators:
            - sha256
        - name: threat_suspected
          type: boolean
        - 이름: transaction_id
          type: string
        - name: transaction_type
          type: string
        - name: login_key
          type: string
        - name: application
          type: string
        - name: entities
          type: string
        - name: query
          type: string
        - name: row_count
          유형: bigint
        - 이름: type
          type: string
        - name: repo_visibility
          type: string
        - name: is_hosted_runner
          type: boolean
        - name: source_repository_default_branch
          type: string
        - name: public_repo
          type: boolean
        - name: source_repository_created_date
          type: timestamp
          timeFormats:
            - rfc3339
        - name: source_repository_name
          type: string
        - name: organization_name
          type: string
    - name: message
      type: string
    - name: related
      type: object
      fields:
        - name: identity
          type: array
          element:
            type: string
        - name: resource
          type: array
          element:
            type: string
        - name: ip
          type: array
          element:
            type: string
            indicators:
                - ip
        - name: user
          type: array
          element:
            type: string
            indicators:
                - email
    - name: resource
      type: object
      fields:
        - name: id
          type: string
        - name: name
          type: string
        - 이름: type
          type: string
    - name: service
      type: object
      fields:
        - name: name
          type: string
        - name: id
          유형: bigint
    - name: session
      type: object
      fields:
        - name: kind
          type: string
        - name: id
          type: string
    - name: source
      type: object
      fields:
        - name: host
          type: object
          fields:
            - 이름: hostname
              type: string
            - 이름: os
              type: object
              fields:
                - name: name
                  type: string
        - name: as
          type: object
          fields:
            - name: country
              type: string
            - name: domain
              type: string
            - name: number
              유형: bigint
            - name: organization
              type: object
              fields:
                - name: name
                  type: string
            - 이름: type
              type: string
        - name: geo
          type: object
          fields:
            - name: country_name
              type: string
            - name: city_name
              type: string
            - name: country_iso_code
              type: string
            - 이름: location
              type: object
              fields:
                - name: lat
                  유형: float
                - name: lon
                  유형: float
            - name: postal_code
              type: string
            - 이름: region_name
              type: string
            - name: timezone
              type: string
        - name: address
          type: string
          indicators:
            - ip
        - name: ip
          type: string
          indicators:
            - ip
    - name: tags
      type: array
      element:
        type: string
    - name: user
      type: object
      fields:
        - name: full_name
          type: string
        - name: email
          type: string
          indicators:
            - email
        - name: target
          type: object
          fields:
            - name: email
              type: string
              indicators:
                - email
            - name: full_name
              type: string
            - name: id
              type: string
            - name: identity
              type: object
              fields:
                - name: id
                  type: string
                - name: admin
                  type: boolean
                - name: email
                  type: string
                  indicators:
                    - email
                - name: elevated
                  type: boolean
                - name: full_name
                  type: string
            - name: roles
              type: array
              element:
                type: string
            - name: name
              type: string
              indicators:
                - email
        - name: effective
          type: object
          fields:
            - name: hash
              type: string
        - name: id
          type: string
        - name: identity
          type: object
          fields:
            - name: id
              type: string
            - name: admin
              type: boolean
            - name: email
              type: string
              indicators:
                - email
            - name: elevated
              type: boolean
            - name: full_name
              type: string
        - name: roles
          type: array
          element:
            type: string
        - name: name
          type: string
          indicators:
            - email
    - name: user_agent
      type: object
      fields:
        - name: name
          type: string
        - 이름: os
          type: object
          fields:
            - name: name
              type: string
        - name: original
          type: string
    - name: version
      required: true
      type: string

AppOmni.Policy

스키마: AppOmni.Policy
설명: AppOmni의 정책 로그
referenceURL: https://labs.appomni.com/aces/policy.html
fields:
    - name: message_type
      required: true
      type: string
    - name: version
      required: true
      type: string
    - name: stats
      copy:
        from: data.universal.stats
      type: object
      fields:
        - name: created_event_count
          required: true
          유형: bigint
        - name: existing_event_count
          required: true
          유형: bigint
        - name: existing_instances_count
          required: true
          유형: bigint
        - name: instances_resolved_count
          required: true
          유형: bigint
        - name: new_instances_count
          required: true
          유형: bigint
        - name: reopened_event_count
          required: true
          유형: bigint
        - name: resolved_event_count
          required: true
          유형: bigint
        - name: total_instances_count
          required: true
          유형: bigint
    - name: events
      copy:
        from: data.universal.events
      type: array
      element:
        type: object
        fields:
            - name: audit_date
              required: true
              type: timestamp
              timeFormats:
                - rfc3339
            - name: audit_id
              required: true
              유형: bigint
            - name: automated
              required: true
              type: boolean
            - name: control_id
              유형: bigint
            - 이름: created
              required: true
              type: timestamp
              timeFormats:
                - rfc3339
            - name: existing_instances_count
              required: true
              유형: bigint
            - name: external_id
              required: true
              type: string
            - name: finding_detail
              required: true
              type: string
            - name: id
              required: true
              type: string
            - name: implementation_id
              required: true
              type: string
            - name: last_activated
              required: true
              type: timestamp
              timeFormats:
                - rfc3339
            - name: new_instances_count
              required: true
              유형: bigint
            - name: perspective_id
              required: true
              유형: bigint
            - name: perspective_type
              required: true
              type: string
            - name: perspective_username
              required: true
              type: string
            - name: risk_score
              required: true
              유형: bigint
            - name: 룰_external_id
              유형: bigint
            - name: 룰_id
              required: true
              유형: bigint
            - name: status
              required: true
              type: string
            - name: target_entity
              required: true
              type: object
              fields:
                - name: primary_target_api_name
                  type: string
                - name: primary_target_api_id
                  type: string
                - name: secondary_target_label
                  type: string
                - name: md_kind
                  type: string
                - name: md_version
                  type: string
                - name: primary_target_label
                  type: string
            - name: total_instances_count
              required: true
              유형: bigint
    - name: policy_assessment
      copy:
        from: data.universal.policy_assessment
      type: object
      fields:
        - name: completion_date
          required: true
          type: timestamp
          timeFormats:
            - rfc3339
          isEventTime: true
        - 이름: created
          required: true
          type: timestamp
          timeFormats:
            - rfc3339
        - name: evaluation_stats
          required: true
          type: json
        - name: failed_assessments
          required: true
          유형: bigint
        - name: id
          required: true
          type: string
        - name: monitored_services
          required: true
          type: array
          element:
            type: object
            fields:
                - name: id
                  type: string
                - name: name
                  type: string
                - name: service_id
                  type: string
                - name: service_type
                  type: string
                - name: tags
                  type: array
                  element:
                    type: object
                    fields:
                        - name: id
                          type: string
                        - name: name
                          type: string
                        - name: tag_type
                          type: string
        - name: target_assessment_count
          required: true
          유형: bigint
    - 이름: policy
      copy:
        from: data.universal.policy
      type: object
      fields:
        - name: external_id
          required: true
          type: string
        - name: id
          required: true
          type: string
        - name: mode
          required: true
          type: string
        - name: name
          required: true
          type: string
        - name: policy_type
          required: true
          type: string
        - name: results_url
          required: true
          type: string
          indicators:
            - url
        - name: role
          required: true
          type: string
        - 이름: url
          required: true
          type: string
          indicators:
            - url