AWS Config

AWS Configuration 로그를 Panther Console에 연결

개요

Panther는 Amazon Web Services(AWS) Config 수집을 지원합니다 구성 스냅샷 AWS S3를 통한 로그. Panther는 AWS Config History 로그를 지원하지 않습니다.

AWS Config 로그를 Panther에 온보딩하는 방법

AWS Config가 구성 스냅샷 로그를 생성하도록 설정된 후 AWS CLI를 통해, S3 버킷으로 전송됩니다.

AWS Config는 6시간마다 구성 기록 파일을 S3 버킷으로 전송하지만, 이 파일은 수집이 지원되지 않습니다. 대신 구성 스냅샷을 수동으로 트리거해야 합니다( 인 경우 Panther에서 지원됨)하여 S3 버킷으로 전송되도록 해야 합니다. 다음 중 하나를 사용하여 이를 수행할 수 있습니다. deliver-config-snapshot AWS CLI의 명령 또는 DeliverConfigSnapshot AWS Config API의 작업을 사용하세요. 정기적으로 스냅샷 파일을 생성하려면 EventBridge Scheduler, AWS Systems Manager Automation 또는 외부 cron 작업 사용을 고려하세요.

자세한 내용은 다음을 참조하세요: AWS Config 문서.

그런 다음 이러한 로그를 Panther로 가져오려면 Panther Console에서 S3 버킷을 설정해야 합니다.

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. “AWS Config”를 검색한 다음 해당 타일을 클릭하세요.

   • 다음 화면에서 오른쪽 상단의 Transport Mechanism 드롭다운에는 다음이 채워집니다. AWS S3 버킷 옵션.

4. 클릭합니다 설정 시작.

5. 다음을 따르세요: 데이터 전송을 위한 S3 구성에 대한 Panther 문서.

   • Panther에서 S3 버킷 소스를 구성하는 동안 다음 제외 필터를 구성하세요:

     • *_Config_*ConfigHistory*.json.gz. 이렇게 하면 Panther가 지원되지 않는 Config History 로그를 포함한 S3 객체를 무시하게 됩니다.

     • */OversizedChangeNotification/*.json.gz. 이렇게 하면 Panther가 지원되지 않는 변경 SNS 알림을 포함한 S3 객체를 무시하게 됩니다.

Panther가 관리하는 디택션

참고 Panther가 관리하는 AWS에 대한 규칙은 panther-analysis GitHub 저장소.

지원되는 AWS Config 로그

AWS.Config

AWS 리소스 구성의 스냅샷을 기록하고 평가합니다. 자세한 내용은 다음을 참조하세요: Config 작동 방식에 대한 AWS 문서.

Panther에서 관리하는 AWS.Config 스키마는 다음에서 이벤트를 추출하도록 특별히 설계되었습니다: configurationItems AWS에서 도착하는 방식인 envelope입니다. 이는 S3 키 이름을 기반으로 작동합니다. 이 스키마를 복제하거나 AWS가 이름을 지정하는 방식과 동일하지 않은 파일에 적용하려고 하면 분류 실패가 발생할 수 있습니다.

이벤트 시간(p_event_time)는 스냅샷이 생성된 시각입니다.

스키마: AWS.Config
필드:
  - 이름: relatedEvents
    설명: RelatedEvents 필드
    유형: array
    요소:
      유형: json
  - 이름: relationships
    설명: Relationships 필드
    유형: array
    요소:
      유형: object
      필드:
        - 이름: resourceId
          설명: ResourceId 필드
          유형: string
        - name: resourceType
          설명: ResourceType 필드
          유형: string
        - 이름: name
          설명: Name 필드
          유형: string
  - 이름: configuration
    필수: true
    설명: Configuration 필드
    유형: json
  - 이름: supplementaryConfiguration
    설명: SupplementaryConfiguration 필드
    유형: json
  - 이름: tags
    설명: Tags 필드
    유형: json
  - 이름: configurationItemVersion
    설명: ConfigurationItemVersion 필드
    유형: string
  - 이름: configurationItemCaptureTime
    필수: true
    설명: ConfigurationItemCaptureTime 필드
    유형: timestamp
    시간 형식: rfc3339
    이벤트 시간 여부: true
  - 이름: configurationStateId
    설명: ConfigurationStateId 필드
    유형: bigint
  - 이름: awsAccountId
    필수: true
    설명: AwsAccountId 필드
    유형: string
    지표:
      - aws_account_id
  - 이름: configurationItemStatus
    설명: ConfigurationItemStatus 필드
    유형: string
  - name: resourceType
    필수: true
    설명: ResourceType 필드
    유형: string
  - 이름: resourceId
    설명: ResourceId 필드
    유형: string
  - 이름: resourceName
    설명: ResourceName 필드
    유형: string
  - 이름: ARN
    설명: ARN 필드
    유형: string
    지표:
      - aws_arn
  - 이름: awsRegion
    설명: AwsRegion 필드
    유형: string
  - 이름: availabilityZone
    설명: AvailabilityZone 필드
    유형: string
  - 이름: configurationStateMd5Hash
    설명: ConfigurationStateMd5Hash 필드
    유형: string
    지표:
      - md5
  - 이름: resourceCreationTime
    설명: ResourceCreationTime 필드
    유형: timestamp
    시간 형식: rfc3339