AWS GuardDuty

AWS GuardDuty를 Panther 콘솔에 연결

개요

Panther는 Amazon Web Services(AWS) 수집을 지원합니다 GuardDuty 공통 방식의 로그 데이터 전송 옵션:

• Amazon S3: 참조 아래 S3를 사용한 GuardDuty 로그 온보딩 지침.

• Amazon SQS: 참조 아래 SQS를 사용한 GuardDuty 로그 온보딩 지침.

또한 다음을 사용하여 GuardDuty 로그를 수집할 수도 있습니다 Amazon EventBridge.

S3를 사용하여 AWS GuardDuty 로그를 Panther에 온보딩하는 방법

아래 동영상은 약간 오래된 Panther Console을 보여줍니다. 현재 지침은 동영상 아래의 단계별 안내를 따르세요.

이 방법으로 AWS GuardDuty 로그를 수집하려면 KMS 키 ARN을 입력해야 합니다. 서버 측 암호화(SSE)가 활성화되어 있지만 KMS 키를 생성할 수 없는 경우에는 이 과정을 중단하고 대신 다음을 설정하세요. 사용자 지정 S3 로그 소스 를 사용하여 GuardDuty 로그를 수집합니다. 클릭하여 AWS.GuardDuty 스키마를 연결하세요 접두사 및 스키마 구성(선택 사항). KMS 키를 입력할 필요는 없습니다.

S3를 사용한 GuardDuty 로그 온보딩 사전 요구 사항

• 다음이 필요합니다 GuardDuty를 활성화했습니다.

  

GuardDuty는 지역 서비스이므로 S3 내보내기 버킷과 KMS 키가 같은 리전에 있어야 합니다.

1단계: KMS 키 생성

1. AWS에서 올바른 리전에 있는 상태로 Key Management Service(KMS)로 이동합니다.

2. 클릭합니다 고객 관리형 키그다음 키 생성.

3. 기본 키 유형 (대칭) 및 키 사용 (암호화 및 복호화) 선택을 그대로 두고 다음.

4. 다음 페이지에서 레이블 추가 페이지에서 별칭 원하는 guardduty-log-key.

5. 클릭합니다 검토로 건너뛰기. (이 키에는 다음 단계에서 정책을 추가합니다.)

6. 클릭합니다 완료.

7. 다음 페이지에서 고객 관리형 키 목록에서 방금 만든 키를 클릭한 다음 ARN 를 향후 단계에 기록해 두세요.

2단계: S3 버킷 생성

1. AWS에서 올바른 리전에 있는 상태로 S3로 이동합니다.

2. 아래 범용 버킷, 다음을 클릭하세요. 버킷 생성.

3. 다음 필드를 입력합니다:

   • 다음 일반 구성 타일에서 고유한 버킷 이름 (예: panther-guardduty-logs-<identifier>).

   • 다음 기본 암호화 타일:

     1. 다음의 경우 암호화 유형, 선택 AWS Key Management Service 키를 사용한 서버 측 암호화(SSE-KMS).

     2. 아래 AWS KMS 키, 선택 AWS KMS 키에서 선택.

     3. 아래 사용 가능한 AWS KMS 키, 2단계에서 만든 KMS 키를 선택합니다.

        
4. 클릭합니다 버킷 생성.

5. 다음 페이지에서 범용 버킷 목록에서 방금 만든 버킷 이름을 클릭한 다음 속성, 그리고 ARN 를 향후 단계에 기록해 두세요.

3단계: GuardDuty 로그 내보내기 구성

1. AWS 콘솔에서 GuardDuty로 이동합니다.

2. 왼쪽 탐색 메뉴에서 다음을 클릭합니다 설정.

3. 내에서 발견 사항 내보내기 옵션 아래의 S3 버킷, 다음을 클릭하세요. 지금 구성.

4. 내보내기 발견 사항 구성 필드를 채우세요:

   • S3 버킷 ARN: 2단계에서 만든 S3 버킷의 ARN을 입력합니다.

   • KMS 키 ARN: 1단계에서 만든 KMS 키의 ARN을 입력합니다.

5. 내에서 정책 연결, 다음을 클릭하세요. S3 버킷의 정책 보기. 클릭합니다 복사, 그런 다음 S3 버킷 정책 모달.

6. 이전에 만든 버킷의 버킷 정책을 업데이트합니다:

   1. 별도의 브라우저 탭에서 AWS 콘솔을 열고 S3 서비스로 이동합니다.

   2. 아래 범용 버킷, 2단계에서 만든 버킷의 이름을 클릭합니다.

   3. 다음 타일을 클릭하세요: 권한 탭.

   4. 버킷 정책 타일에서 편집.

   5. 정책 편집기에서 복사한 정책을 붙여넣은 다음 변경 사항 저장.

7. GuardDuty 설정이 있는 브라우저 탭으로 돌아가서, 아래의 정책 연결, 다음을 클릭하세요. KMS 키의 정책 보기. 클릭합니다 복사, 그런 다음 KMS 키 정책 모달.

8. 이전에 만든 KMS 키의 정책을 업데이트합니다:

   1. 별도의 브라우저 탭에서 AWS 콘솔을 열고 KMS 서비스로 이동합니다.

   2. 아래 고객 관리형 키, 1단계에서 만든 KMS 키의 별칭을 클릭합니다.

   3. 다음 아래에서 키 정책 탭에서 다음을 클릭합니다. 정책 보기로 전환.

   4. 클릭합니다 편집.

   5. 기존 콘솔 정책 뒤에(즉, Statement) 안의 객체 뒤에) 쉼표를 추가한 다음 복사한 정책 문을 붙여넣습니다.

   6. 클릭합니다 변경 사항 저장.

9. GuardDuty 설정이 있는 브라우저 탭으로 돌아가서 저장.

   • 다음과 같은 알림이 표시되어야 합니다 게시 대상이 성공적으로 생성되었습니다. 표시되지 않으면 ARN과 정책을 다시 확인하거나 다음을 참조하세요. AWS의 GuardDuty 내보내기 문서.

4단계: Panther에 GuardDuty 온보딩

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭합니다: 로그 소스.

2. 클릭합니다 새로 만들기.

3. "AWS GuardDuty"를 검색한 다음 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운에는 다음이 미리 채워집니다 AWS S3 버킷 옵션—이 옵션을 선택한 상태로 두고 설정 시작.

5. 다음을 따르세요: Panther에서 S3 Source를 구성하는 지침, 1.4단계부터 시작합니다.

   • 위에서 만든 KMS 키와 S3 버킷의 ARN이 필요합니다.

SQS를 사용하여 AWS GuardDuty 로그를 Panther에 온보딩하는 방법

SQS를 사용한 GuardDuty 로그 온보딩 사전 요구 사항

• Panther 인스턴스의 AWS 계정 ID가 있습니다.

  • 이 값을 찾으려면 Panther Console의 왼쪽 탐색 모음 하단에서 설정를 클릭한 다음 일반 설정 > 기본 정보 및 기본 설정. 인프라 섹션을 찾아 AWS 계정 ID.

1단계: Panther에 AWS GuardDuty 소스 생성

GuardDuty 로그를 Panther로 가져오려면 먼저 Panther Console에서 S3 버킷 또는 SQS 대기열을 설정해 AWS 계정에서 데이터를 스트리밍해야 합니다.

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭합니다: 로그 소스.

2. 클릭합니다 새로 만들기.

3. "AWS GuardDuty"를 검색한 다음 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운에는 다음이 미리 채워집니다 AWS S3 버킷 옵션. 이 옵션을 선택한 상태로 두거나 AWS SQS 대기열.

5. 클릭합니다 설정 시작.

6. Panther의 AWS SQS 대기열 데이터 전송용 SQS 구성 문서를 따르세요.

   • 다음 페이지에서 구성 페이지에서 허용된 AWS 주체 및 허용된 소스 ARN 필드를 비워 둡니다. 다음에 이 페이지로 돌아오게 됩니다 3단계.

2단계: Amazon SNS 주제 생성

1. AWS 콘솔에서 Panther 인스턴스가 위치한 AWS 리전을 선택한 다음 Simple Notification Service 콘솔.

2. 탐색 모음에서 다음을 클릭합니다. 주제.

3. 클릭합니다 주제 생성.

4. 다음 세부 정보 섹션에서 다음 필드에 값을 입력합니다:

   • 유형: 선택 표준.

   • 이름: 설명적인 이름을 입력하세요.

5. 다음 암호화 섹션에서 암호화 토글을 끈 상태로 둡니다.

   
6. 다음 액세스 정책 섹션:

   1. 내에서 게시자, 선택 지정된 AWS 계정만. AWS 계정 ID 입력 텍스트 상자에 Panther AWS 계정 ID를 입력합니다.

   2. 내에서 구독자, 선택 지정된 AWS 계정만. AWS 계정 ID 입력 텍스트 상자에 Panther AWS 계정 ID를 입력합니다.

   
7. 클릭합니다 주제 생성.

8. 다음을 복사하고 ARN 다음 단계에서 필요하므로 안전한 위치에 저장하세요.

   

3단계: SNS 주제로 GuardDuty 로그 소스 구성

1. Panther Console에서, 1단계에서 만든 GuardDuty 로그 소스로 이동합니다. 1단계.

   • 1단계 끝에서 도달한 성공 화면에 아직 있다면 로그 소스 보기.

2. 클릭합니다 구성그다음 편집

3. 다음 페이지에서 구성 페이지에서 허용된 소스 ARN 필드에 이전 단계에서 복사한 SNS 주제 ARN을 입력합니다.

4. 클릭합니다 저장.

4단계: SNS 구독 생성

Panther GuardDuty SQS 대기열에 대한 구독을 생성합니다.

1. AWS의 SNS 콘솔로 돌아갑니다.

2. 탐색 모음에서 구독.

3. 클릭합니다 구독 생성.

4. 다음 필드의 값을 입력합니다:

   • 프로토콜: 선택 Amazon SQS.

   • 엔드포인트: 다음 형식을 사용하여 엔드포인트를 구성합니다: arn:aws:sqs:<Panther-region>:<account-id>:<Panther-notifications-queue-name>

     • Panther-region: Panther 인스턴스가 배포된 AWS 리전

     • account-id: Panther 인스턴스의 AWS 계정 ID

     • Panther-notifications-queue-name: 이 값을 찾으려면:

       1. Panther Console에서, 1단계에서 만든 GuardDuty 로그 소스로 이동합니다. 1단계. (여전히 이 페이지에 있을 수도 있습니다 3단계).

       2. 페이지 상단에서 SQS Queue URL. Panther-notifications-queue-name 값은 URL에서 다음으로 시작하는 부분입니다 panther-source-:

          
5. 다음 타일을 클릭하세요: 원시 메시지 전달 활성화 확인란.

6. 클릭합니다 구독 생성.

5단계: GuardDuty가 SNS 주제에 공지를 게시하도록 구성

계정에서 GuardDuty를 활성화한 후, 알림을 Panther로 보내기 위한 EventBridge 룰을 작성하기 시작합니다.

1. AWS 계정에서 아직 GuardDuty를 활성화하지 않았다면 활성화하기 위한 이 지침을 따르세요.

2. AWS에서 Amazon EventBridge 콘솔.

3. 탐색 모음에서 다음을 클릭합니다. 룰의 아래 버스 섹션.

4. 클릭합니다 룰 생성.

5. 다음 필드의 값을 제공하세요:

   • 이름: 설명적인 이름을 입력하세요.

   • 이벤트 버스: 선택 기본.

   • 선택한 이벤트 버스에서 룰을 활성화합니다: 전환 켜기.

   • 룰 유형: 선택 이벤트 패턴이 있는 룰.

6. 클릭합니다 다음.

7. 다음 페이지에서 이벤트 패턴 빌드 페이지:

   1. 다음 이벤트 소스 섹션에서 이벤트 소스, 선택 AWS 이벤트 또는 EventBridge 파트너 이벤트.

   2. 다음 샘플 이벤트 섹션:

      • 다음의 경우 샘플 이벤트 유형, 선택 AWS 이벤트.

      • 다음의 경우 샘플 이벤트, 선택 GuardDuty 탐지 결과.

   3. 다음 이벤트 패턴 섹션에서 다음 선택을 합니다:

      • 이벤트 소스: 선택 AWS 서비스.

      • AWS 서비스: 선택 GuardDuty.

      • 이벤트 유형: 선택 GuardDuty 탐지 결과.

8. 클릭합니다 다음.

9. 다음 페이지에서 대상 선택 페이지에서 대상 1 섹션에서 다음 필드에 값을 입력합니다:

   1. 대상 유형: 선택 AWS 서비스.

   2. 대상 선택: 선택 SNS 주제.

   3. 토픽: 2단계에서 만든 주제 이름을 선택합니다. 2단계.

   4. 내에서 추가 설정, 필요한 경우 조정합니다.

10. 클릭합니다 다음.

11. 다음 페이지에서 태그 구성 페이지에서 다음 다음.

12. 다음 페이지에서 검토 및 생성 페이지에서 다음 룰 생성.

Panther가 만든 탐지

Panther의 미리 작성된 AWS 규칙은 다음에서 확인하세요 panther-analysis 깃허브 저장소.

Data Explorer에서 로그 쿼리하기

Panther의 데이터 탐색기에서 사용할 예제 SQL 쿼리를 참조하세요. GuardDuty 로그 쿼리.

지원되는 AWS GuardDuty 로그

AWS.GuardDuty

GuardDuty는 AWS 계정 내의 악성 활동과 무단 행위를 지속적으로 모니터링하는 위협 디택션 서비스입니다. 자세한 내용은 다음을 참조하세요. AWS의 GuardDuty 발견 사항 형식 문서.

스키마: AWS.GuardDuty
파서:
  네이티브:
    이름: AWS.GuardDuty
설명: Amazon GuardDuty는 AWS 계정 내의 악성 활동과 무단 행위를 지속적으로 모니터링하는 위협 디택션 서비스입니다.
referenceURL: https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-format.html
필드:
  - 이름: schemaVersion
    필수: true
    설명: 이 레코드의 스키마 형식 버전입니다.
    유형: string
  - name: accountId
    필수: true
    설명: GuardDuty가 이 발견 사항을 생성하도록 유발한 활동이 발생한 AWS 계정의 ID입니다.
    유형: string
  - 이름: region
    필수: true
    설명: 발견 사항이 생성된 AWS 리전입니다.
    유형: string
  - 이름: partition
    필수: true
    설명: 발견 사항이 생성된 AWS partition입니다.
    유형: string
  - 이름: id
    필수: true
    설명: 발견 사항의 고유 식별자입니다.
    유형: string
  - 이름: arn
    필수: true
    설명: 발견 사항의 ARN 형식으로 지정된 고유 식별자입니다.
    유형: string
  - 이름: type
    필수: true
    설명: 잠재적인 보안 문제에 대한 간결하면서도 읽기 쉬운 설명입니다.
    유형: string
  - 이름: resource
    필수: true
    설명: GuardDuty가 이 발견 사항을 생성하도록 유발한 활동이 발생한 AWS 리소스입니다.
    유형: json
  - 이름: severity
    필수: true
    설명: 심각도 값은 0.1에서 8.9 범위의 어느 값이나 될 수 있습니다.
    유형: float
  - 이름: createdAt
    필수: true
    설명: 발견 사항의 최초 생성 시간(UTC)입니다.
    유형: timestamp
    시간 형식: rfc3339
  - 이름: updatedAt
    필수: true
    설명: 발견 사항의 마지막 업데이트 시간(UTC)입니다.
    유형: timestamp
    시간 형식: rfc3339
  - 이름: title
    필수: true
    설명: 발견 사항에 대한 짧은 설명입니다.
    유형: string
  - 이름: description
    필수: true
    설명: 발견 사항에 대한 긴 설명입니다.
    유형: string
  - 이름: service
    필수: true
    설명: 영향을 받은 서비스에 대한 추가 정보입니다.
    유형: object
    필드:
      - 이름: additionalInfo
        설명: AdditionalInfo 필드
        유형: json
      - 이름: action
        설명: Action 필드
        유형: json
      - 이름: serviceName
        필수: true
        설명: ServiceName 필드
        유형: string
      - 이름: detectorId
        필수: true
        설명: DetectorID 필드
        유형: string
      - 이름: resourceRole
        설명: ResourceRole 필드
        유형: string
      - 이름: eventFirstSeen
        설명: EventFirstSeen 필드
        유형: timestamp
        시간 형식: rfc3339
      - 이름: eventLastSeen
        설명: EventLastSeen 필드
        유형: timestamp
        시간 형식: rfc3339
      - 이름: archived
        설명: Archived 필드
        유형: boolean
      - 이름: count
        설명: Count 필드
        유형: bigint