AWS CloudFront

AWS CloudFront 표준 로그를 Panther에 연결하기

개요

Panther는 Amazon Web Services(AWS)의 CloudFront 표준 로그(접속 로그라고도 함)를 AWS S3를 통해 수집하는 것을 지원합니다.

AWS CloudFront 표준 로그를 Panther에 온보드하는 방법

1단계: CloudFront 배포에서 표준 로깅 활성화

CloudFront 로그를 Panther로 가져오려면 먼저 모니터링하려는 CloudFront 배포에서 표준 로깅을 활성화해야 합니다. 아래 지침은 기존 배포를 편집하는 방법을 설명하지만 새 배포를 생성할 때 표준 로깅을 활성화하는 것도 가능합니다.

1. AWS 콘솔에서 다음으로 이동하십시오. CloudFront.

2. 왼쪽 내비게이션 바에서 클릭하세요 배포(Distributions).

   • 관심 있는 배포를 찾아 클릭합니다.

3. 오른쪽 상단의 설정 타일, 클릭 편집(Edit).

4. 아래로 스크롤하여 표준 로깅(Standard logging) 필드를 찾아 사용(On)으로 설정하십시오. 나타나는 필드를 구성합니다:

   • S3 버킷: 로그를 전송하려는 버킷의 이름을 입력합니다.

   • 로그 접두사(Log prefix) - 선택 사항(optional): 원하면 로그 파일 이름 앞에 붙일 접두사 값을 입력합니다.

   • 쿠키 로깅(Cookie logging): 선택적으로 이 필드를 사용(On).

     • 다중 시리즈: 각기 다른 색의 여러 선으로 표현되는 쿠키 로깅(Cookie logging) 가 사용(On)를 선택하면, AWS.CloudFrontAccess 스키마는 표준 로그에 전송된 쿠키를 캡처합니다.

2단계: Panther에서 CloudFront 로그 소스 생성

CloudFront 표준 로그를 라우팅하는 S3 버킷이 이미 Panther에 온보드되어 있다면 해당 소스에 AWS.CloudFrontAccess 스키마를 연결하고 이 단계를 건너뛸 수 있습니다.

1. Panther 콘솔의 왼쪽 탐색 바에서 다음을 클릭합니다 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. "AWS CloudFront"를 검색한 다음 해당 타일을 클릭하십시오.

4. 슬라이드아웃 패널에서 설정 시작.\

   
5. 다음을 따르세요 S3 구성을 위한 Panther 문서.

   • 1단계에서 사용한 S3 버킷 이름을 제공해야 합니다.

지원되는 로그

AWS.CloudFrontAccess

스키마: AWS.CloudFrontAccess
파서:
    csv:
        구분자: "\t"
        열(columns):
            - date
            - time
            - x-edge-location
            - sc-bytes
            - c-ip
            - cs-method
            - cs-Host
            - cs-uri-stem
            - sc-status
            - cs-Referer
            - cs-UserAgent
            - cs-uri-query
            - cs-Cookie
            - x-edge-result-type
            - x-edge-request-id
            - x-host-header
            - cs-protocol
            - cs-bytes
            - time-taken
            - x-forwarded-for
            - ssl-protocol
            - ssl-cipher
            - x-edge-response-result-type
            - cs-protocol-version
            - fle-status
            - fle-encrypted-fields
            - c-port
            - time-to-first-byte
            - x-edge-detailed-result-type
            - sc-content-type
            - sc-content-len
            - sc-range-start
            - sc-range-end
        skipPrefix: '#'
        emptyValues:
            - '-'
        expandFields:
            타임스탬프(timestamp): '%{date} %{time}'
필드:
    - 이름: timestamp
      설명(description): 이벤트가 발생한 날짜 및 시간(날짜 및 시간).
      유형: 타임스탬프
      시간 형식(timeFormat): '%Y-%m-%d %H:%M:%S'
      isEventTime: true
    - name: x-edge-location
      설명: 요청을 처리한 AWS 엣지 위치입니다.
      유형: 문자열
    - name: sc-bytes
      설명: 클라이언트로 전송된 바이트 수입니다.
      유형: bigint
    - name: c-ip
      설명: 요청을 한 뷰어의 IP 주소입니다.
      유형: 문자열
      지표:
        - ip
    - name: cs-method
      설명: 요청에 사용된 HTTP 메서드입니다.
      유형: 문자열
    - name: cs-Host
      설명: 요청의 호스트 헤더입니다.
      유형: 문자열
      지표:
        설명: 호스트의 FQDN(정규화된 도메인 이름)(예: machine.company.com)
    - name: cs-uri-stem
      설명: 요청의 URI 스템입니다.
      유형: 문자열
    - name: sc-status
      설명: 응답의 HTTP 상태 코드입니다.
      유형: bigint
    - name: cs-Referer
      설명: HTTP 리퍼러입니다.
      유형: 문자열
      지표:
        - url
    - name: cs-UserAgent
      설명: 요청의 User-Agent 헤더입니다.
      유형: 문자열
    - name: cs-uri-query
      설명: URI의 쿼리 문자열 부분입니다.
      유형: 문자열
    - name: cs-Cookie
      설명: 요청의 Cookie 헤더(있는 경우)입니다.
      유형: 문자열
    - name: x-edge-result-type
      설명: 요청의 결과 유형입니다.
      유형: 문자열
    - name: x-edge-request-id
      설명: CloudFront에서 생성한 고유 요청 ID입니다.
      유형: 문자열
    - name: x-host-header
      설명: 요청의 호스트 헤더입니다.
      유형: 문자열
    - name: cs-protocol
      설명: 요청에 사용된 프로토콜입니다.
      유형: 문자열
    - name: cs-bytes
      설명: 응답 바이트입니다.
      유형: bigint
    - name: time-taken
      설명: 서버가 뷰어의 요청을 수신한 시점부터 서버가 응답의 마지막 바이트를 출력 큐에 기록할 때까지의 시간(초)입니다.
      유형: 부동(실수)
    - name: x-forwarded-for
      설명: 요청을 시작한 뷰어의 IP 주소입니다.
      유형: 문자열
      지표:
        - ip
    - name: ssl-protocol
      설명: 요청과 응답을 전송하는 데 협상된 SSL/TLS 프로토콜입니다.
      유형: 문자열
    - name: ssl-cipher
      설명: 요청과 응답을 암호화하는 데 협상된 SSL/TLS 암호화 방식입니다.
      유형: 문자열
    - name: x-edge-response-result-type
      설명: '서버가 뷰어에게 반환하기 직전에 응답을 분류한 방식입니다. 값은 Hit, RefreshHit, Miss, LimitExceeded, CapacityExceeded, Error, Redirect 중 하나일 수 있습니다.'
      유형: 문자열
    - name: cs-protocol-version
      설명: 요청에서 뷰어가 지정한 HTTP 버전입니다.
      유형: 문자열
    - name: fle-status
      설명: 요청 본문이 성공적으로 처리되었는지 여부를 나타내는 필드 수준 암호화 상태입니다.
      유형: 문자열
    - name: fle-encrypted-fields
      설명: 암호화되어 오리진으로 전달된 필드 수준 암호화 필드의 수입니다.
      유형: 문자열
    - name: c-port
      설명: 뷰어의 요청 포트 번호입니다.
      유형: bigint
    - name: time-to-first-byte
      설명: 요청을 수신한 시점과 응답의 첫 번째 바이트를 기록한 시점 사이의 시간(초)입니다.
      유형: 부동(실수)
    - name: x-edge-detailed-result-type
      설명: 특정 오류에 대해 추가 정보를 제공하는 상세 결과 유형입니다.
      유형: 문자열
    - name: sc-content-type
      설명: 응답의 HTTP Content-Type 헤더 값입니다.
      유형: 문자열
    - name: sc-content-len
      설명: 응답의 HTTP Content-Length 헤더 값입니다.
      유형: bigint
    - name: sc-range-start
      설명: 응답에 HTTP Content-Range 헤더가 포함된 경우의 범위 시작 값입니다.
      유형: bigint
    - name: sc-range-end
      설명: 응답에 HTTP Content-Range 헤더가 포함된 경우의 범위 끝 값입니다.
      유형: bigint