# AWS GuardDuty

## 개요

Panther는 Amazon Web Services (AWS)를 수집하는 것을 지원합니다 [GuardDuty](https://docs.aws.amazon.com/guardduty/latest/ug/what-is-guardduty.html) 로그를 공통 [데이터 전송](https://docs.panther.com/ko/data-onboarding/data-transports) 옵션:

* **Amazon S3**: 참조 [아래의 S3로 GuardDuty 로그 온보딩 지침](#how-to-onboard-aws-guardduty-logs-to-panther-using-s3).
* **Amazon SQS**: 참조 [아래의 SQS로 GuardDuty 로그 온보딩 지침](#how-to-onboard-aws-guardduty-logs-to-panther-using-sqs).

또한 다음을 사용하여 GuardDuty 로그를 수집할 수 있습니다 [Amazon EventBridge](https://docs.panther.com/ko/data-onboarding/data-transports/aws/eventbridge).

## S3를 사용하여 Panther에 AWS GuardDuty 로그를 온보딩하는 방법

{% hint style="info" %}
아래 비디오는 약간 오래된 Panther 콘솔을 보여줍니다. 최신 지침은 비디오 아래의 단계별 지침을 따르십시오.
{% endhint %}

{% embed url="<https://youtu.be/q7qs6WwG5Ss>" %}

{% hint style="warning" %}
이 방식으로 AWS GuardDuty 로그를 수집하려면 KMS 키 ARN을 입력해야 합니다. 서버 측 암호화(SSE)가 활성화되어 있지만 KMS 키를 생성할 수 없는 경우 이 프로세스를 중단하고 대신 [사용자 지정 S3 로그 소스](https://docs.panther.com/ko/data-onboarding/data-transports/aws/s3) 를 설정하여 GuardDuty 로그를 수집하십시오. 클릭하여 AWS.GuardDuty 스키마를 연결합니다 **접두사 및 스키마 구성(선택 사항)**&#xC744; 입력할 필요가 없습니다. KMS 키를 입력할 필요가 없습니다.

<img src="https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-925d99a7ff4397fceb776d3a8800b7006ab8434c%2Fimage%20(235).png?alt=media" alt="" data-size="original"><img src="https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-f4ecc2da81f05e6c0a740e2ba7bde7b83a3f0637%2Fimage.png?alt=media" alt="" data-size="original">
{% endhint %}

### S3로 GuardDuty 로그를 온보딩하기 위한 전제 조건 <a href="#prerequisite" id="prerequisite"></a>

* 다음이 있습니다 [GuardDuty 활성화](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_settingup.html#guardduty_enable-gd).

  ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-2b823a2b3b37f278fd4eb108ccaac6535b0c04fc%2Fimage.png?alt=media)

{% hint style="info" %}
GuardDuty는 리전 서비스이며 S3 내보내기 버킷과 KMS 키는 동일한 리전에 있어야 합니다.
{% endhint %}

### 1단계: KMS 키 생성

1. AWS에서 올바른 리전에 있는지 확인한 후 키 관리 서비스(KMS)로 이동합니다.
2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **고객 관리형 키**을(를). (비-JSON 로그를 업로드했고 **키 생성**.
3. 기본값을 그대로 둡니다 **키 유형** (**대칭(Symmetric)**) 및 **키 사용** (**암호화 및 복호화**) 선택을 유지하고 클릭합니다 **다음**.\
   ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-128089c965ff6a677c45a34b6f75e8ae3bca1606%2Fimage.png?alt=media)
4. 페이지에서 **레이블 추가** 페이지에서 원하는 **별칭** 을(를) 입력합니다. 예: `guardduty-log-key`.
5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **검토로 건너뛰기**를 클릭합니다. (향후 단계에서 이 키에 정책을 추가할 것입니다.)![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-fc3e3b5f902b76300c182ea0d3c7e4933f071ea1%2Fimage.png?alt=media)
6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **그런 다음**.
7. 페이지에서 **고객 관리형 키** 목록에서 방금 생성한 키를 클릭하고 **ARN** 을(를) 확인하여 향후 단계에 사용하십시오.

### 2단계: S3 버킷 생성

1. AWS에서 올바른 리전에 있는지 확인한 후 S3로 이동합니다.
2. 에서 **범용 버킷**인 경우 JSON 로그를 업로드했다면 클릭하세요 **버킷 생성**.
3. 필드를 채우십시오:
   * 일반 구성 **일반 구성** 타일에서 고유한 **버킷 이름** (예: `panther-guardduty-logs-<identifier>`).
   * 일반 구성 **기본 암호화** 타일:
     1. 다음을 위해 **암호화 유형**SNS 주제 **AWS 키 관리 서비스 키를 사용한 서버 측 암호화(SSE-KMS)**.
     2. 에서 **AWS KMS 키**SNS 주제 **AWS KMS 키 중에서 선택**.
     3. 에서 **사용 가능한 AWS KMS 키**에서 1단계에서 생성한 KMS 키를 선택합니다.

        <figure><img src="https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-4fa1d1f1e609306a35ce46a4ab37f25139b6d2c5%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>
4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **버킷 생성**.
5. 페이지에서 **범용 버킷** 목록에서 방금 생성한 버킷의 이름을 클릭한 다음 **속성**을(를) 확인하고 **ARN** 을(를) 확인하여 향후 단계에 사용하십시오.

### 3단계: GuardDuty 로그 내보내기 구성

1. AWS 콘솔에서 GuardDuty로 이동합니다.
2. 왼쪽 내비게이션 메뉴에서 **설정**.
3. 내에서 **결과 내보내기 옵션**에서 **S3 버킷**인 경우 JSON 로그를 업로드했다면 클릭하세요 **지금 구성**.\
   ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-ebc2d163723941e14a7a96c724ac5e063f42ae9c%2Fimage.png?alt=media)
4. 내보내기 결과 구성 필드를 입력하십시오:
   * **S3 버킷 ARN**: 2단계에서 생성한 S3 버킷의 ARN을 입력하십시오.
   * **KMS 키 ARN**: 1단계에서 생성한 KMS 키의 ARN을 입력하십시오.
5. 내에서 **정책 첨부**인 경우 JSON 로그를 업로드했다면 클릭하세요 **S3 버킷의 정책 보기**panther-secret **복사**을(를) 클릭한 다음 닫으십시오 **S3 버킷 정책** 를 선택하세요.
6. 이전에 생성한 버킷의 버킷 정책을 업데이트하십시오:
   1. 별도의 브라우저 탭에서 AWS 콘솔을 열고 S3 서비스로 이동합니다.
   2. 에서 **범용 버킷**에서 2단계에서 생성한 버킷의 이름을 클릭합니다.
   3. 을 클릭하세요 **권한** 탭을 클릭하세요.
   4. 버킷 정책 타일에서 **편집을 클릭**.\
      ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-681771fa765c38446b11bc2588c96a749a7ee60c%2Fimage%20\(120\).png?alt=media)
   5. 정책 편집기에 복사한 정책을 붙여넣고, 그런 다음 클릭합니다 **변경 사항 저장**.
7. GuardDuty 설정이 있는 브라우저 탭으로 돌아가서 아래에서 **정책 첨부**인 경우 JSON 로그를 업로드했다면 클릭하세요 **KMS 키에 대한 정책 보기**panther-secret **복사**을(를) 클릭한 다음 닫으십시오 **KMS 키 정책** 를 선택하세요.
8. 이전에 생성한 KMS 키의 정책을 업데이트하십시오:
   1. 별도의 브라우저 탭에서 AWS 콘솔을 열고 KMS 서비스로 이동합니다.
   2. 에서 **고객 관리형 키**에서 1단계에서 생성한 KMS 키의 별칭을 클릭합니다.
   3. 다음 **키 정책** 탭에서 **정책 보기로 전환**.\
      ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-d9fbe2cd37230f326edb50dc2929586b4b2fc4c8%2Fimage.png?alt=media)
   4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **편집을 클릭**.
   5. 기존 콘솔 정책(즉, 내부 객체) 이후에 쉼표를 추가한 다음 복사한 정책 문을 붙여넣습니다. `Statement`을(를) 붙여넣습니다\
      ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-d70584f4164fcdd82e7fd9b9ea05c473dcadc1a4%2Fimage.png?alt=media)
   6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **변경 사항 저장**.
9. GuardDuty 설정이 있는 브라우저 탭으로 돌아가서 클릭합니다 **"Resource": "\<secret ARN>"**.
   * 다음과 같은 알림이 표시되어야 합니다 **게시 대상이 성공적으로 생성되었습니다**. 표시되지 않으면 ARN 및 정책을 다시 확인하거나 [AWS의 GuardDuty 내보내기 문서를 참조하십시오](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_exportfindings.html).

### 4단계: GuardDuty를 Panther에 온보딩

1. Panther 콘솔의 왼쪽 탐색 모음에서 클릭하세요 **구성** > **로그 소스**.
2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **새로 만들기**.
3. "AWS GuardDuty"를 검색한 다음 해당 타일을 클릭합니다.
4. 슬라이드 아웃 패널에서 **전송 메커니즘** 우측 상단의 드롭다운은 미리 채워진 상태일 것입니다 **AWS S3 버킷** 옵션—이 옵션을 선택한 상태로 두고 클릭하십시오 **설정 시작**.\
   ![](https://2400888838-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LgdiSWdyJcXPahGi9Rs-2910905616%2Fuploads%2Fgit-blob-510fe30832e1a1c871c1e11daf5b43ec1f903389%2Fimage.png?alt=media)
5. 다음을 따르세요 [Panther의 S3 소스 구성 지침](https://docs.panther.com/ko/data-onboarding/data-transports/aws/s3)를 클릭하여 1.4단계부터 시작합니다.
   * 위에서 생성한 KMS 키와 S3 버킷의 ARN이 필요합니다.

## SQS를 사용하여 Panther에 AWS GuardDuty 로그를 온보딩하는 방법

### SQS로 GuardDuty 로그를 온보딩하기 위한 전제 조건 <a href="#prerequisite" id="prerequisite"></a>

* Panther 인스턴스의 AWS 계정 ID가 있습니다.
  * 이 값을 찾으려면 Panther 콘솔의 오른쪽 상단 모서리에서 톱니바퀴 아이콘 > **일반을 클릭하십시오.** 이 페이지의 바닥글에서 **AWS 계정 ID**.

### 1단계: Panther에서 AWS GuardDuty 소스 생성 <a href="#step-1-create-an-aws-guardduty-source-in-panther" id="step-1-create-an-aws-guardduty-source-in-panther"></a>

GuardDuty 로그를 Panther로 가져오려면 먼저 Panther 콘솔에서 AWS 계정에서 데이터를 스트리밍할 S3 버킷 또는 SQS 큐를 설정해야 합니다.

1. Panther 콘솔의 왼쪽 탐색 모음에서 클릭하세요 **구성** > **로그 소스**.
2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **새로 만들기**.
3. "AWS GuardDuty"를 검색한 다음 해당 타일을 클릭합니다.
4. 슬라이드 아웃 패널에서 **전송 메커니즘** 우측 상단의 드롭다운은 미리 채워진 상태일 것입니다 **AWS S3 버킷** 옵션. 이 옵션을 선택 상태로 두거나 **AWS SQS 큐**.
5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **설정 시작**.
6. 데이터 전송을 위한 SQS 구성에 관한 Panther의 [AWS SQS 큐](https://docs.panther.com/data-onboarding/data-transports/aws/sqs) 문서를 따르십시오.
   * 페이지에서 **구성** 페이지에서 **허용된 AWS 주요 주체** 와 **허용된 소스 ARN** 필드를 비워 둡니다. 이 페이지로 돌아올 것입니다 [3단계](https://docs.panther.com/data-onboarding/supported-logs/aws/guardduty#step-3-configure-your-guardduty-log-source-with-the-sns-topic).

### 2단계: Amazon SNS 주제 생성

1. AWS 콘솔에서 Panther 인스턴스가 위치한 AWS 리전을 선택한 다음 **단순 알림 서비스** 콘솔로 이동합니다.
2. 탐색 표시줄에서 **주제**.
3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **주제 생성**.
4. 일반 구성 **Details** 섹션에서 다음 필드에 대해 값을 제공하십시오:
   * **유형**: **표준**.
   * **이름**: 설명적인 이름을 입력하세요.
5. 일반 구성 **암호화** 섹션에서 토글을 **암호화** 끔으로 둡니다.

   <figure><img src="https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252FJzEByZUqRjr1OTw4HTh5%252Fimage.png%3Falt=media%26token=6b63b89c-ec57-47b3-ab08-2c2342cf1f5b&#x26;width=768&#x26;dpr=4&#x26;quality=100&#x26;sign=ddd47a356f7f83fae95702a52efa204c22d86af46ef8b3a17851cc5e40119b87" alt="" width="563"><figcaption></figcaption></figure>
6. 일반 구성 **액세스 정책** 이벤트 이름

   1. 내에서 **게시자**SNS 주제 **지정된 AWS 계정만**. 에서 **AWS 계정 ID 입력** 텍스트 상자에 Panther AWS 계정 ID를 입력하십시오.
   2. 내에서 **구독자**SNS 주제 **지정된 AWS 계정만**. 에서 **AWS 계정 ID 입력** 텍스트 상자에 Panther AWS 계정 ID를 입력하십시오.

   <figure><img src="https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252FcUF3dvNVMCmro5E7ndYo%252Fimage.png%3Falt=media%26token=ca499443-c1d9-4d75-9101-1101f8a39911&#x26;width=768&#x26;dpr=4&#x26;quality=100&#x26;sign=da6cfba029c016d752de1b429c9339125a8b66ab8ceec1163eb3c1bd0cb06dc9" alt="" width="563"><figcaption></figcaption></figure>
7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **주제 생성**.
8. 다음 값을 복사하세요 **ARN** 다음 단계에서 필요하므로 안전한 위치에 저장하십시오.

   <figure><img src="https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252Ff9giE559Or83u4J52slk%252Fimage.png%3Falt=media%26token=28147ff3-a053-43d3-bdc9-6839c8bf789c&#x26;width=768&#x26;dpr=4&#x26;quality=100&#x26;sign=248eee2d474c66088c34f40f3f52497203fa1a5e8f5f783ab445cb778e38aa85" alt="" width="563"><figcaption></figcaption></figure>

### 3단계: SNS 주제로 GuardDuty 로그 소스 구성 <a href="#step-3-configure-your-guardduty-log-source-with-the-sns-topic" id="step-3-configure-your-guardduty-log-source-with-the-sns-topic"></a>

1. Panther 콘솔에서 1단계에서 생성한 GuardDuty 로그 소스로 이동합니다 [1단계](https://docs.panther.com/data-onboarding/supported-logs/aws/guardduty#step-1-create-an-aws-guardduty-source-in-panther).
   * 아직 1단계 종료 시 도착한 성공 화면에 있다면 클릭하십시오 **로그 소스 보기**.
2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **구성**을(를). (비-JSON 로그를 업로드했고 **편집을 클릭합니다.**
3. 페이지에서 **구성** 페이지에서 **허용된 소스 ARN** 필드에 이전 단계에서 복사한 SNS 주제 ARN을 입력하십시오.
4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **"Resource": "\<secret ARN>"**.

### 4단계: SNS 구독 생성 <a href="#step-4-create-an-sns-subscription" id="step-4-create-an-sns-subscription"></a>

Panther GuardDuty SQS 큐에 대한 구독을 생성합니다.

1. AWS의 SNS 콘솔로 돌아갑니다.
2. 탐색 바에서 **구독(Subscriptions)**.
3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **구독 생성**.
4. 다음 필드에 대한 값을 입력하십시오:
   * **프로토콜**: **Amazon SQS**.
   * **엔드포인트**: 다음 형식을 사용하여 엔드포인트를 구성하십시오: `arn:aws:sqs:<Panther-region>:<account-id>:<Panther-notifications-queue-name>`
     * `Panther-리전`: Panther 인스턴스가 배포된 AWS 리전
     * `계정-아이디`: Panther 인스턴스의 AWS 계정 ID
     * `Panther-알림-큐-이름`: 이 값을 찾으려면:
       1. Panther 콘솔에서 1단계에서 생성한 GuardDuty 로그 소스로 이동합니다 [1단계](https://docs.panther.com/data-onboarding/supported-logs/aws/guardduty#step-1-create-an-aws-guardduty-source-in-panther)입니다. (여전히 이 페이지에 있을 수 있습니다 [3단계](https://docs.panther.com/data-onboarding/supported-logs/aws/guardduty#step-3-configure-your-guardduty-log-source-with-the-sns-topic)).
       2. 페이지 상단에서 **SQS 큐 URL**. `Panther-알림-큐-이름` 값은 URL에서 `panther-source-로 시작하는 부분입니다`:

          <figure><img src="https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252Fvzry5bFqT5dJHr6S2V7w%252FScreenshot%25202024-03-27%2520at%25202.35.17%2520PM.png%3Falt=media%26token=e0d5f263-2621-4cc3-9842-019d19ce99ba&#x26;width=768&#x26;dpr=4&#x26;quality=100&#x26;sign=a28085190a1ce469a85f6d4b94280ab2053d02c7ea45a67fb01ebec35008cb4a" alt=""><figcaption></figcaption></figure>
5. 을 클릭하세요 **원시 메시지 전송 활성화** 체크박스를 선택하세요.
6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **구독 생성**.

#### 5단계: GuardDuty가 SNS 주제에 공지를 게시하도록 구성 <a href="#step-5-configure-guardduty-to-post-announcements-to-the-sns-topic" id="step-5-configure-guardduty-to-post-announcements-to-the-sns-topic"></a>

계정에서 GuardDuty를 활성화한 후 EventBridge 규칙을 작성하여 알러트를 Panther로 전송하기 시작합니다.

1. AWS 계정에서 아직 GuardDuty를 활성화하지 않았다면, 이를 수행하기 위한 [지침을 따르십시오](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_settingup.html#guardduty_enable-gd).
2. AWS에서 **Amazon** **EventBridge** 콘솔로 이동합니다.
3. 탐색 표시줄에서 **룰**로 이동한 다음 **버스** 섹션의 명령을 실행하세요.
4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **룰 생성**.
5. 다음 필드에 대해 값을 제공하십시오:
   * **이름**: 설명적인 이름을 입력하세요.
   * **이벤트 버스**: **이는**.
   * **선택한 이벤트 버스에서 룰을 활성화합니다**이메일에 CSV 데이터 첨부 **켜기**.
   * **룰 유형:** 선택하세요 **이벤트 패턴이 있는 룰**.
6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **다음**.
7. 페이지에서 **이벤트 패턴 빌드** 페이지:
   1. 일반 구성 **이벤트 소스** 섹션에서, **이벤트 소스**SNS 주제 **AWS 이벤트 또는 EventBridge 파트너 이벤트**.\
      ![](https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252FdkwwlipZc0QsBUIzidRN%252Fimage.png%3Falt=media%26token=a59b1ff5-1bfe-40b9-9d31-b7a3636910a0\&width=300\&dpr=4\&quality=100\&sign=5cc694f5427ee69fe6353718d7cbda38a7b4081a442a53a7092bc6b467000e80)
   2. 일반 구성 **샘플 이벤트** 이벤트 이름
      * 다음을 위해 **샘플 이벤트 유형**SNS 주제 **AWS 이벤트**.
      * 다음을 위해 **샘플 이벤트들**SNS 주제 **GuardDuty Finding**.\
        ![](https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252FbwuixsQlYfp5gz7rFfYs%252Fimage.png%3Falt=media%26token=6adedf9f-7576-4650-812f-127e24d1d8e2\&width=300\&dpr=4\&quality=100\&sign=1a964db2a37514a24eabfb588da6deedc4a0c8e5533f20b82105fdc561744e85)
   3. 일반 구성 **이벤트 패턴** 섹션에서 다음 선택을 합니다:
      * **이벤트 소스**: **AWS 서비스**.
      * **AWS 서비스**: **GuardDuty**.
      * **이벤트 유형**: **GuardDuty Finding**.\
        ![](https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252FBF3PfDI7FFh9tXvNkhUe%252Fimage.png%3Falt=media%26token=731bc68a-8ac6-4c85-bc16-9a64ac33c108\&width=300\&dpr=4\&quality=100\&sign=8ff3b949ffff52243c86183faf653a0212c44961908a61978b90d50c571f91cf)
8. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **다음**.
9. 페이지에서 **대상 선택** 페이지에서 **대상 1** 섹션에서 다음 필드에 대한 값을 입력하십시오:
   1. **대상 유형**: **AWS 서비스**.
   2. **대상 선택**: **SNS 주제.**
   3. **주제**: 에서 생성한 주제 이름을 선택하십시오 [2단계](https://docs.panther.com/data-onboarding/supported-logs/aws/guardduty#step-2-create-an-amazon-sns-topic).
   4. 내에서 **추가 설정**에서 필요에 따라 조정하십시오. ![](https://docs.panther.com/~gitbook/image?url=https:%2F%2F4011785613-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-LgdiSWdyJcXPahGi9Rs-2910905616%252Fuploads%252FzHPNaStqfqGhLhuBwpgJ%252Fimage.png%3Falt=media%26token=ca59ff68-7774-4be6-a9ae-1425386aed24\&width=300\&dpr=4\&quality=100\&sign=31ac51358aa7cdf484ca122974d1dddd58b3c918d4c4bd96c9c2358eea305541)
10. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. **다음**.
11. 페이지에서 **태그 구성** 페이지에서 **다음**.
12. 페이지에서 **검토 및 생성** 페이지에서 **룰 생성**.

## 다음의 경우 통합에 제한이 발생할 수 있습니다: <a href="#panther-built-detections" id="panther-built-detections"></a>

Panther의 사전 작성된 AWS 룰은 [panther-analysis Github 리포지토리](https://github.com/panther-labs/panther-analysis/tree/master/rules).

## 데이터 익스플로러에서 로그 쿼리하기 <a href="#querying-logs-in-data-explorer" id="querying-logs-in-data-explorer"></a>

Panther의 [panther\_monitor](https://docs.panther.com/search/data-explorer)에서 사용하기 위한 예제 SQL 쿼리는 [GuardDuty 로그 쿼리](https://docs.panther.com/search/data-explorer/example-queries/guardduty-logs-queries).

## 지원되는 AWS GuardDuty 로그 <a href="#supported-aws-guardduty-logs" id="supported-aws-guardduty-logs"></a>

### AWS.GuardDuty <a href="#aws.guardduty" id="aws.guardduty"></a>

GuardDuty는 AWS 계정 내의 악의적 활동 및 무단 동작을 지속적으로 모니터링하는 위협 탐지 서비스입니다. 자세한 내용은 [GuardDuty 발견 형식에 대한 AWS 문서](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-format.html).

```yaml
스키마: AWS.GuardDuty
파서:
  네이티브:
    이름: AWS.GuardDuty
설명: Amazon GuardDuty는 AWS 계정 내의 악의적 활동 및 무단 동작을 지속적으로 모니터링하는 위협 탐지 서비스입니다.
참고URL: https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-format.html
필드:
  - 이름: schemaVersion
    required: true
    설명: 이 레코드의 스키마 형식 버전입니다.
    type: string
  - 이름: accountId
    required: true
    설명: GuardDuty가 이 발견을 생성하도록 촉발한 활동이 발생한 AWS 계정의 ID입니다.
    type: string
  - 이름: region
    required: true
    설명: 발견이 생성된 AWS 리전입니다.
    type: string
  - 이름: partition
    required: true
    설명: 발견이 생성된 AWS 파티션입니다.
    type: string
  - 이름: id
    required: true
    설명: 발견에 대한 고유 식별자입니다.
    type: string
  - name: arn
    required: true
    설명: ARN 형식으로 포맷된 발견의 고유 식별자입니다.
    type: string
  - 이름: type
    required: true
    설명: 잠재적 보안 문제에 대한 간결하면서도 읽기 쉬운 설명입니다.
    type: string
  - 이름: resource
    required: true
    설명: GuardDuty가 이 발견을 생성하도록 촉발한 활동이 발생한 대상 AWS 리소스입니다.
    유형: json
  - 이름: severity
    required: true
    설명: 심각도 값은 0.1에서 8.9 범위 내 어디든지 포함될 수 있습니다.
    type: float
  - name: createdAt
    required: true
    설명: 발견의 초기 생성 시간(UTC)입니다.
    type: timestamp
    시간 형식: rfc3339
  - name: updatedAt
    required: true
    설명: 발견의 마지막 업데이트 시간(UTC)입니다.
    type: timestamp
    시간 형식: rfc3339
  - 이름: title
    required: true
    설명: 발견에 대한 짧은 설명입니다.
    type: string
  - 이름: description
    required: true
    설명: 발견에 대한 긴 설명입니다.
    type: string
  - 이름: service
    required: true
    설명: 영향을 받는 서비스에 대한 추가 정보입니다.
    type: object
    필드:
      - 이름: additionalInfo
        설명: AdditionalInfo 필드
        유형: json
      - 이름: action
        설명: Action 필드
        유형: json
      - 이름: serviceName
        required: true
        설명: ServiceName 필드
        type: string
      - 이름: detectorId
        required: true
        설명: DetectorID 필드
        type: string
      - 이름: resourceRole
        설명: ResourceRole 필드
        type: string
      - 이름: eventFirstSeen
        설명: EventFirstSeen 필드
        type: timestamp
        시간 형식: rfc3339
      - 이름: eventLastSeen
        설명: EventLastSeen 필드
        type: timestamp
        시간 형식: rfc3339
      - 이름: archived
        설명: Archived 필드
        유형: boolean
      - 이름: count
        설명: Count 필드
        type: bigint
```