AppOmni 로그

AppOmni 로그를 Panther Console에 연결

개요

Panther는 수집을 지원합니다 AppOmni 공통 방식의 로그 데이터 전송 옵션: HTTP 웹훅 및 AWS S3.

AppOmni는 Salesforce, Box, ServiceNow, Workday, Office365, Zoom을 포함한 주요 SaaS 애플리케이션 전반의 수백 가지 이벤트 유형을 지속적으로 모니터링하고 정규화합니다. 이러한 로그를 Panther로 수집하면 Panther의 알림 기능에 액세스할 수 있습니다.

AppOmni 로그를 Panther에 온보딩하는 방법

1단계: Panther에서 새 AppOmni 소스 생성

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. "AppOmni"를 검색한 다음 해당 타일을 클릭합니다.

4. 다음 전송 메커니즘 드롭다운에서 이 통합에 사용할 데이터 전송 방법을 선택한 다음, 해당 방법을 구성하기 위한 Panther의 지침을 따르세요:

   • HTTP

   • AWS S3 버킷\

     
5. 클릭합니다 설정 시작.

6. 선택한 데이터 전송 방법을 구성하려면 Panther의 안내를 따르세요:

   • HTTP 소스를 구성하기 위한 Panther 안내

     • 인증 방법으로 다음을 선택합니다 공유 비밀 또는 Bearer.

     • 이 소스로 전송되는 페이로드는 모든 HTTP 소스의 페이로드 요구사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • S3 버킷을 구성하기 위한 Panther 안내

2단계: 로그를 전달하도록 AppOmni 구성

• 데이터 전송 소스로 로그를 푸시하도록 AppOmni를 구성합니다.

  • 참고 AppOmni 문서 에서 선택한 Data Transport 소스로 로그를 푸시하는 방법을 확인하세요.

Panther가 관리하는 디택션

참고 Panther가 관리하는 다음의 AppOmni용 룰 panther-analysis GitHub 저장소.

지원되는 로그 유형

AppOmni.Alerts

스키마: AppOmni.Alerts
설명: AppOmni의 알림 로그
참조 URL: https://labs.appomni.com/aces/event.html
필드:
    - 이름: timestamp
      필수: true
      설명: 이벤트가 발생한 날짜/시간입니다.
      이름 바꾸기:
        원본: '@timestamp'
      유형: timestamp
      시간 형식:
        - rfc3339
    - 이름: appomni
      필수: true
      유형: object
      필드:
        - 이름: 알러트
          유형: object
          필드:
            - 이름: channel
              설명: 룰의 채널은 룰 수명 주기 단계에 따라 결정됩니다.
              유형: string
        - 이름: event
          유형: object
          필드:
            - 이름: dataset
              설명: 이벤트의 데이터 세트입니다. 데이터 세트는 일반적으로 유사한 이벤트의 모음입니다.
              유형: string
            - 이름: id
              설명: 이벤트에 AppOmni가 할당한 고유 ID입니다.
              유형: string
            - 이름: sortable_event_id
              설명: 이벤트가 수집될 때 할당되는 고유한 정렬 가능 ID입니다.
              유형: string
            - 이름: sortable_ingest_id
              설명: 이벤트가 AppOmni의 데이터 저장소에 도착할 때 할당되는 고유한 정렬 가능 ID입니다.
              유형: string
        - 이름: organization
          유형: object
          필드:
            - 이름: id
              설명: 이 이벤트가 발생한 AppOmni 테넌트의 ID입니다.
              유형: bigint
    - 이름: event
      필수: true
      유형: object
      필드:
        - 이름: created
          설명: 모니터링되는 서비스에서 이벤트가 생성된 것으로 보고된 날짜/시간입니다.
          유형: timestamp
          시간 형식:
            - rfc3339
          이벤트 시간 여부: true
        - 이름: kind
          설명: 이벤트 내용에 구체적이지 않으면서 이벤트에 포함된 정보 유형에 대한 상위 수준 정보입니다.
          유형: string
        - 이름: severity
          설명: 소스에 따른 이벤트의 숫자 심각도입니다.
          유형: bigint
    - 이름: message
      필수: true
      설명: 사람이 읽을 수 있는 이벤트 요약입니다.
      유형: string
    - 이름: related
      필수: true
      유형: object
      필드:
        - 이름: ip
          설명: 이벤트와 관련된 IP 주소(IPv4 또는 IPv6)입니다.
          유형: array
          요소:
            유형: string
            지표:
                - ip
        - 이름: user
          설명: 이벤트와 관련된 사용자 ID입니다.
          유형: array
          요소:
            유형: string
            지표:
                - email
        - 이름: event
          설명: 이벤트와 관련된 이벤트 ID입니다. `appomni.event.id`의 AppOmni 이벤트 ID를 반영합니다.
          유형: array
          요소:
            유형: string
        - 이름: services
          설명: 이벤트와 관련된 AppOmni 서비스 ID입니다.
          유형: object
          필드:
            - 이름: id
              유형: array
              요소:
                유형: bigint
            - 이름: type
              유형: array
              요소:
                유형: string
    - 이름: 룰
      필수: true
      유형: object
      필드:
        - 이름: name
          설명: 룰의 이름입니다.
          유형: string
        - 이름: ruleset
          설명: 룰이 할당된 룰 세트의 이름입니다.
          유형: string
        - name: threat
          유형: object
          필드:
            - 이름: framework
              설명: 위협의 전술과 기법을 분류하는 데 사용되는 위협 프레임워크의 이름입니다.
              유형: string
            - 이름: tactic
              유형: object
              필드:
                - 이름: id
                  설명: 전술의 ID입니다.
                  유형: array
                  요소:
                    유형: string
                - 이름: name
                  설명: 전술의 이름입니다.
                  유형: array
                  요소:
                    유형: string
            - 이름: technique
              유형: object
              필드:
                - 이름: id
                  설명: 기법의 ID입니다.
                  유형: array
                  요소:
                    유형: string
                - 이름: name
                  설명: 기법의 이름입니다.
                  유형: array
                  요소:
                    유형: string
        - name: uuid
          설명: 룰의 고유 UUID입니다.
          유형: string
        - 이름: version
          설명: 룰의 버전입니다.
          유형: bigint
    - 이름: version
      필수: true
      설명: ACES의 버전입니다.
      유형: string

AppOmni.Events

스키마: AppOmni.Events
설명: AppOmni의 이벤트 로그
참조 URL: https://labs.appomni.com/aces/event.html
필드:
    - 이름: timestamp
      필수: true
      이름 바꾸기:
        원본: '@timestamp'
      유형: timestamp
      시간 형식:
        - rfc3339
      이벤트 시간 여부: true
    - 이름: application
      유형: object
      필드:
        - 이름: name
          유형: string
        - 이름: scopes
          유형: array
          요소:
            유형: string
            지표:
                - url
    - 이름: appomni
      필수: true
      유형: object
      필드:
        - 이름: event
          유형: object
          필드:
            - 이름: collected_time
              유형: timestamp
              시간 형식:
                - rfc3339
            - 이름: dataset
              유형: string
            - 이름: id
              유형: string
            - 이름: ingestion_time
              유형: timestamp
              시간 형식:
                - rfc3339
        - 이름: organization
          유형: object
          필드:
            - 이름: id
              유형: bigint
        - 이름: service
          유형: object
          필드:
            - 이름: account_id
              유형: string
            - 이름: id
              유형: bigint
            - 이름: name
              유형: string
            - 이름: type
              유형: string
    - 이름: event
      필수: true
      유형: object
      필드:
        - 이름: url
          유형: string
        - 이름: provider
          유형: string
        - 이름: reason
          유형: string
        - 이름: category
          유형: array
          요소:
            유형: string
        - 이름: id
          유형: string
        - name: outcome
          유형: string
        - 이름: type
          유형: array
          요소:
            유형: string
        - 이름: code
          유형: string
        - 이름: action
          유형: string
        - 이름: created
          유형: timestamp
          시간 형식:
            - rfc3339
        - 이름: dataset
          유형: string
        - 이름: ingested
          유형: timestamp
          시간 형식:
            - rfc3339
        - 이름: kind
          유형: string
        - 이름: module
          유형: string
        - 이름: original
          유형: string
    - 이름: labels
      유형: object
      필드:
        - 이름: device_hash
          유형: string
          지표:
            - sha256
        - 이름: threat_suspected
          유형: boolean
        - 이름: transaction_id
          유형: string
        - 이름: transaction_type
          유형: string
        - 이름: login_key
          유형: string
        - 이름: application
          유형: string
        - 이름: entities
          유형: string
        - 이름: query
          유형: string
        - 이름: row_count
          유형: bigint
        - 이름: type
          유형: string
        - 이름: repo_visibility
          유형: string
        - 이름: is_hosted_runner
          유형: boolean
        - 이름: source_repository_default_branch
          유형: string
        - 이름: public_repo
          유형: boolean
        - 이름: source_repository_created_date
          유형: timestamp
          시간 형식:
            - rfc3339
        - 이름: source_repository_name
          유형: string
        - 이름: organization_name
          유형: string
    - 이름: message
      유형: string
    - 이름: related
      유형: object
      필드:
        - 이름: identity
          유형: array
          요소:
            유형: string
        - 이름: resource
          유형: array
          요소:
            유형: string
        - 이름: ip
          유형: array
          요소:
            유형: string
            지표:
                - ip
        - 이름: user
          유형: array
          요소:
            유형: string
            지표:
                - email
    - 이름: resource
      유형: object
      필드:
        - 이름: id
          유형: string
        - 이름: name
          유형: string
        - 이름: type
          유형: string
    - 이름: service
      유형: object
      필드:
        - 이름: name
          유형: string
        - 이름: id
          유형: bigint
    - 이름: session
      유형: object
      필드:
        - 이름: kind
          유형: string
        - 이름: id
          유형: string
    - name: source
      유형: object
      필드:
        - name: host
          유형: object
          필드:
            - 이름: hostname
              유형: string
            - 이름: os
              유형: object
              필드:
                - 이름: name
                  유형: string
        - 이름: as
          유형: object
          필드:
            - 이름: country
              유형: string
            - name: domain
              유형: string
            - 이름: number
              유형: bigint
            - 이름: organization
              유형: object
              필드:
                - 이름: name
                  유형: string
            - 이름: type
              유형: string
        - 이름: geo
          유형: object
          필드:
            - 이름: country_name
              유형: string
            - 이름: city_name
              유형: string
            - 이름: country_iso_code
              유형: string
            - 이름: location
              유형: object
              필드:
                - name: lat
                  유형: float
                - name: lon
                  유형: float
            - 이름: postal_code
              유형: string
            - 이름: region_name
              유형: string
            - 이름: timezone
              유형: string
        - 이름: address
          유형: string
          지표:
            - ip
        - 이름: ip
          유형: string
          지표:
            - ip
    - 이름: tags
      유형: array
      요소:
        유형: string
    - 이름: user
      유형: object
      필드:
        - 이름: full_name
          유형: string
        - 이름: email
          유형: string
          지표:
            - email
        - 이름: 대상
          유형: object
          필드:
            - 이름: email
              유형: string
              지표:
                - email
            - 이름: full_name
              유형: string
            - 이름: id
              유형: string
            - 이름: identity
              유형: object
              필드:
                - 이름: id
                  유형: string
                - 이름: admin
                  유형: boolean
                - 이름: email
                  유형: string
                  지표:
                    - email
                - 이름: elevated
                  유형: boolean
                - 이름: full_name
                  유형: string
            - 이름: roles
              유형: array
              요소:
                유형: string
            - 이름: name
              유형: string
              지표:
                - email
        - 이름: effective
          유형: object
          필드:
            - 이름: 해시
              유형: string
        - 이름: id
          유형: string
        - 이름: identity
          유형: object
          필드:
            - 이름: id
              유형: string
            - 이름: admin
              유형: boolean
            - 이름: email
              유형: string
              지표:
                - email
            - 이름: elevated
              유형: boolean
            - 이름: full_name
              유형: string
        - 이름: roles
          유형: array
          요소:
            유형: string
        - 이름: name
          유형: string
          지표:
            - email
    - 이름: user_agent
      유형: object
      필드:
        - 이름: name
          유형: string
        - 이름: os
          유형: object
          필드:
            - 이름: name
              유형: string
        - 이름: original
          유형: string
    - 이름: version
      필수: true
      유형: string

AppOmni.Policy

스키마: AppOmni.Policy
설명: AppOmni의 정책 로그
참조 URL: https://labs.appomni.com/aces/policy.html
필드:
    - 이름: message_type
      필수: true
      유형: string
    - 이름: version
      필수: true
      유형: string
    - 이름: stats
      복사:
        원본: data.universal.stats
      유형: object
      필드:
        - 이름: created_event_count
          필수: true
          유형: bigint
        - 이름: existing_event_count
          필수: true
          유형: bigint
        - 이름: existing_instances_count
          필수: true
          유형: bigint
        - 이름: instances_resolved_count
          필수: true
          유형: bigint
        - 이름: new_instances_count
          필수: true
          유형: bigint
        - 이름: reopened_event_count
          필수: true
          유형: bigint
        - 이름: resolved_event_count
          필수: true
          유형: bigint
        - 이름: total_instances_count
          필수: true
          유형: bigint
    - 이름: events
      복사:
        원본: data.universal.events
      유형: array
      요소:
        유형: object
        필드:
            - 이름: audit_date
              필수: true
              유형: timestamp
              시간 형식:
                - rfc3339
            - 이름: audit_id
              필수: true
              유형: bigint
            - 이름: automated
              필수: true
              유형: boolean
            - 이름: control_id
              유형: bigint
            - 이름: created
              필수: true
              유형: timestamp
              시간 형식:
                - rfc3339
            - 이름: existing_instances_count
              필수: true
              유형: bigint
            - 이름: external_id
              필수: true
              유형: string
            - 이름: finding_detail
              필수: true
              유형: string
            - 이름: id
              필수: true
              유형: string
            - 이름: implementation_id
              필수: true
              유형: string
            - 이름: last_activated
              필수: true
              유형: timestamp
              시간 형식:
                - rfc3339
            - 이름: new_instances_count
              필수: true
              유형: bigint
            - 이름: perspective_id
              필수: true
              유형: bigint
            - 이름: perspective_type
              필수: true
              유형: string
            - 이름: perspective_username
              필수: true
              유형: string
            - name: risk_score
              필수: true
              유형: bigint
            - 이름: 룰_external_id
              유형: bigint
            - 이름: 룰_id
              필수: true
              유형: bigint
            - 이름: status
              필수: true
              유형: string
            - 이름: target_entity
              필수: true
              유형: object
              필드:
                - 이름: primary_target_api_name
                  유형: string
                - 이름: primary_target_api_id
                  유형: string
                - 이름: secondary_target_label
                  유형: string
                - 이름: md_kind
                  유형: string
                - 이름: md_version
                  유형: string
                - 이름: primary_target_label
                  유형: string
            - 이름: total_instances_count
              필수: true
              유형: bigint
    - 이름: policy_assessment
      복사:
        원본: data.universal.policy_assessment
      유형: object
      필드:
        - 이름: completion_date
          필수: true
          유형: timestamp
          시간 형식:
            - rfc3339
          이벤트 시간 여부: true
        - 이름: created
          필수: true
          유형: timestamp
          시간 형식:
            - rfc3339
        - 이름: evaluation_stats
          필수: true
          유형: json
        - 이름: failed_assessments
          필수: true
          유형: bigint
        - 이름: id
          필수: true
          유형: string
        - 이름: monitored_services
          필수: true
          유형: array
          요소:
            유형: object
            필드:
                - 이름: id
                  유형: string
                - 이름: name
                  유형: string
                - 이름: service_id
                  유형: string
                - 이름: service_type
                  유형: string
                - 이름: tags
                  유형: array
                  요소:
                    유형: object
                    필드:
                        - 이름: id
                          유형: string
                        - 이름: name
                          유형: string
                        - 이름: tag_type
                          유형: string
        - 이름: target_assessment_count
          필수: true
          유형: bigint
    - 이름: 정책
      복사:
        원본: data.universal.policy
      유형: object
      필드:
        - 이름: external_id
          필수: true
          유형: string
        - 이름: id
          필수: true
          유형: string
        - 이름: mode
          필수: true
          유형: string
        - 이름: name
          필수: true
          유형: string
        - name: policy_type
          필수: true
          유형: string
        - 이름: results_url
          필수: true
          유형: string
          지표:
            - url
        - 이름: role
          필수: true
          유형: string
        - 이름: url
          필수: true
          유형: string
          지표:
            - url