AWS EKS

AWS EKS 로그를 Panther 콘솔에 연결

개요

Panther는 AWS CloudWatch Logs를 통해 Amazon Web Services(AWS) Elastic Kubernetes Service(EKS) 로그를 수집할 수 있습니다.

EKS는 로그를 S3로 직접 전송할 수 없습니다. 대신 EKS 로그를 CloudWatch Logs, 그런 다음 Kinesis Data Firehose 를 구성해 S3 버킷으로 전송하도록 하며, Panther가 그곳에서 로그를 읽습니다.

AWS 온보딩 방법 EKS 로그를 Panther로

1단계: EKS 제어 플레인 로깅 활성화

EKS 제어 플레인 로그를 활성화하면 AWS가 해당 로그를 CloudWatch Logs로 라우팅하기 시작합니다.

• 다음을 따르세요: EKS 제어 플레인 로깅을 활성화하는 방법에 대한 AWS 문서.

  • EKS 콘솔에서 로깅을 구성할 때에는 감사 및 Authenticator 로그 유형만 활성화하세요. Panther는 현재 다른 로그 유형은 지원하지 않습니다.

2단계: Panther 콘솔에서 CloudWatch Logs 소스 구성

EKS 제어 플레인 로깅을 활성화하면 EKS 감사 로그와 인증자 로그를 CloudWatch Logs에서 사용할 수 있습니다. 이제 Panther에서 CloudWatch Logs 소스를 설정할 차례입니다.

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭합니다: 로그 소스.

2. 오른쪽 상단 모서리에서 다음을 클릭합니다 새로 만들기.

3. 다음 타일을 클릭하세요: 사용자 지정 로그 형식 타일.

4. 다음 페이지에서 AWS CloudWatch Logs 타일을 클릭하세요: 시작.

5. "소스 구성" 페이지에서 다음 필드를 입력하세요:

   • 이름: CloudWatch Logs 소스의 설명적인 이름을 입력하세요.

   • 로그 그룹 이름: CloudWatch Logs 그룹의 고유 이름을 입력하세요. AWS CloudWatch Logs LogGroup의 이름 형식은 /aws/eks/{your_cluster_name}/cluster

   • AWS 계정 ID: EKS 클러스터가 있는 AWS 계정의 ID 번호를 입력하세요.

   • (선택 사항) 패턴 필터: 로그 이벤트를 필터링할 패턴을 입력하세요. 다음을 참조하세요: AWS의 CloudWatch Logs 패턴 필터 문서 에서 자세히 알아보세요.

   • 로그 유형: 선택 Amazon.EKS.Audit 및 Amazon.EKS.Authenticator.

6. 클릭합니다 설정.

3단계: S3 버킷, Kinesis Data Firehose 및 IAM 역할 설정

Panther가 CloudWatch Logs 소스에서 객체를 읽으려면 다양한 AWS 리소스가 필요합니다. 이를 구성하기 위해 Panther는 S3 버킷, Kinesis Data Firehose, IAM 역할 및 기타 필요한 리소스를 설정하는 CloudFormation 템플릿을 제공합니다.

1. Panther Console에서 다음을 클릭합니다: AWS Console UI 사용. 템플릿이 미리 채워진 상태로 AWS CloudFormation 콘솔 UI로 리디렉션됩니다.

   • 참고로 템플릿을 다운로드하여 자체 파이프라인을 통해 적용하거나 리소스를 수동으로 구성할 수도 있습니다. 자세한 내용은 다음을 참조하세요. CloudWatch Logs 소스 문서.

2. EKS 클러스터가 있는 AWS 계정 ID와 리전에 CloudFormation 스택 템플릿을 설치하세요.

   • CloudFormation 스택 생성이 완료될 때까지 기다리세요.

3. CloudFormation 스택이 준비되면 버킷 이름 및 역할 ARN Panther 콘솔에서.

   • CloudFormation 스택 생성이 완료되면 AWS의 스택 "Outputs" 섹션에서 리소스 ARN을 찾을 수 있습니다.

4단계: Panther에서 소스 설정 완료

성공 화면으로 이동합니다:

• 선택적으로 하나 이상의 디택션 팩.

• 다음 이벤트가 처리되지 않으면 알러트를 발생시키기 설정의 기본값은 예. 일정 시간이 지난 후 로그 소스에서 데이터 흐름이 멈추면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

  

Panther가 만든 탐지

Panther의 미리 작성된 AWS 규칙은 다음에서 확인하세요 panther-analysis GitHub 저장소.

지원되는 AWS EKS 로그 유형

Panther는 Amazon.EKS.Audit 및 Amazon.EKS.Authenticator 로그.

Amazon.EKS.Audit

EKS 감사 로그는 클러스터에 영향을 미친 개별 사용자, 관리자 또는 시스템 구성 요소의 기록을 제공합니다. 자세한 내용은 EKS 제어 플레인 로그에 대한 AWS 문서.

필드:
  - 이름: responseObject
    유형: object
    필드:
      - 이름: secrets
        유형: array
        요소:
          유형: object
          필드:
            - 이름: name
              필수: true
              유형: string
      - 이름: rules
        유형: array
        요소:
          유형: object
          필드:
            - 이름: apiGroups
              유형: array
              요소:
                유형: string
            - 이름: resources
              유형: array
              요소:
                유형: string
            - 이름: verbs
              유형: array
              요소:
                유형: string
      - 이름: spec
        유형: json
      - 이름: apiVersion
        유형: string
      - 이름: kind
        유형: string
      - 이름: metadata
        유형: object
        필드:
          - 이름: namespace
            유형: string
          - 이름: annotations
            유형: json
          - 이름: creationTimestamp
            유형: timestamp
            시간 형식:
              - rfc3339
          - 이름: labels
            유형: json
          - 이름: managedFields
            유형: array
            요소:
              유형: object
              필드:
                - 이름: apiVersion
                  유형: string
                - 이름: fieldsType
                  유형: string
                - 이름: manager
                  유형: string
                - 이름: operation
                  유형: string
                - name: time
                  유형: timestamp
                  시간 형식:
                    - rfc3339
          - 이름: name
            유형: string
          - 이름: resourceVersion
            유형: string
          - 이름: uid
            유형: string
          - 이름: ownerReferences
            유형: json
  - 이름: requestObject
    유형: object
    필드:
      - 이름: rules
        유형: array
        요소:
          유형: object
          필드:
            - 이름: apiGroups
              유형: array
              요소:
                유형: string
            - 이름: resources
              유형: array
              요소:
                유형: string
            - 이름: verbs
              유형: array
              요소:
                유형: string
      - 이름: spec
        유형: json
      - 이름: apiVersion
        유형: string
      - 이름: kind
        유형: string
      - 이름: metadata
        유형: object
        필드:
          - 이름: annotations
            유형: json
          - 이름: namespace
            유형: string
          - 이름: labels
            유형: json
          - 이름: name
            유형: string
          - 이름: ownerReferences
            유형: json
          - 이름: resourceVersion
            유형: string
      - 이름: status
        유형: object
        필드:
          - 이름: $setElementOrder/conditions
            유형: array
            요소:
              유형: object
              필드:
                - 이름: type
                  유형: string
          - 이름: conditions
            유형: array
            요소:
              유형: object
              필드:
                - 이름: lastHeartbeatTime
                  유형: timestamp
                  시간 형식:
                    - rfc3339
                - 이름: type
                  유형: string
  - 이름: objectRef
    유형: object
    필드:
      - 이름: subresource
        유형: string
      - 이름: resourceVersion
        유형: string
      - 이름: uid
        유형: string
      - 이름: namespace
        유형: string
      - 이름: name
        유형: string
      - 이름: apiGroup
        유형: string
      - 이름: apiVersion
        필수: true
        유형: string
      - 이름: resource
        필수: true
        유형: string
  - 이름: annotations
    유형: json
  - 이름: apiVersion
    필수: true
    유형: string
  - 이름: auditID
    필수: true
    유형: string
  - 이름: kind
    필수: true
    유형: string
  - 이름: 수준
    필수: true
    유형: string
  - 이름: requestReceivedTimestamp
    필수: true
    유형: timestamp
    시간 형식:
      - rfc3339
    이벤트 시간 여부: true
  - 이름: requestURI
    유형: string
  - 이름: responseStatus
    유형: object
    필드:
      - 이름: reason
        유형: string
      - 이름: message
        유형: string
      - 이름: status
        유형: string
      - 이름: code
        필수: true
        유형: bigint
  - 이름: sourceIPs
    필수: true
    유형: array
    요소:
      유형: string
      지표:
        - ip
  - 이름: stage
    필수: true
    유형: string
  - 이름: stageTimestamp
    필수: true
    유형: timestamp
    시간 형식:
      - rfc3339
  - 이름: user
    필수: true
    유형: object
    필드:
      - 이름: extra
        유형: object
        필드:
          - 이름: authentication.kubernetes.io/pod-name
            유형: array
            요소:
              유형: string
          - 이름: authentication.kubernetes.io/pod-uid
            유형: array
            요소:
              유형: string
          - 이름: accessKeyId
            유형: array
            요소:
              유형: string
          - 이름: arn
            유형: array
            요소:
              유형: string
              지표:
                - aws_arn
          - 이름: canonicalArn
            유형: array
            요소:
              유형: string
              지표:
                - aws_arn
          - 이름: sessionName
            유형: array
            요소:
              유형: string
      - 이름: uid
        유형: string
      - 이름: groups
        유형: array
        요소:
          유형: string
      - 이름: username
        유형: string
        지표:
          - username
  - name: userAgent
    유형: string
  - 이름: verb
    필수: true
    유형: string

Amazon.EKS.Authenticator

이러한 로그는 EKS가 IAM 자격 증명을 사용하여 Kubernetes 역할 기반 액세스 제어(RBAC) 인증에 사용하는 제어 플레인 구성 요소를 나타냅니다. 자세한 내용은 EKS 제어 플레인 로그에 대한 AWS 문서.

필드:
    - 이름: timestamp
      필수: true
      설명: timestamp
      유형: timestamp
      시간 형식: rfc3339
      이벤트 시간 여부: true
    - 이름: 수준
      필수: true
      설명: level
      유형: string
    - 이름: access_key_id
      설명: access_key_id
      유형: string
    - 이름: message
      필수: true
      설명: message
      유형: string
    - 이름: account_id
      설명: account_id
      유형: string
      지표:
        - aws_account_id
    - 이름: arn
      설명: arn
      유형: string
      지표:
        - aws_arn
    - name: client
      설명: client
      유형: string
    - 이름: method
      설명: method
      유형: string
    - 이름: path
      설명: path
      유형: string
    - 이름: session
      설명: session
      유형: string
    - 이름: user_id
      설명: user_id
      유형: string
    - 이름: groups
      설명: groups
      유형: string
    - 이름: uid
      설명: uid
      유형: string
      지표:
        - trace_id
    - 이름: username
      설명: username
      유형: string
      지표:
        - username