AWS NLB

AWS NLB 로그를 Panther 콘솔에 연결

개요

Panther는 AWS S3를 통해 Amazon Web Services(AWS) Network Load Balancer(NLB) 로그를 수집하는 것을 지원합니다.

AWS NLB 액세스 로그는 TLS 리스너만 지원합니다. TCP 및 UDP 리스너는 액세스 로그를 생성하지 않습니다.

AWS NLB 로그를 Panther에 온보딩하는 방법

NLB 로그를 Panther로 가져오려면 Panther Console에서 S3 버킷을 설정해 AWS 계정의 데이터를 스트리밍하세요.

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. "AWS Network Load Balancer"를 검색한 다음 해당 타일을 클릭합니다.

4. 오른쪽 상단 모서리에서 클릭 설정 시작.

5. 다음을 따르세요: 데이터 전송을 위해 S3를 구성하는 Panther 문서.

Panther가 관리하는 디택션

참고 Panther가 관리하는 AWS에 대한 규칙은 panther-analysis GitHub 저장소.

지원되는 NLB 로그

AWS.NLB

Network Load Balancer는 네트워크 로드 밸런서의 4계층 TLS 연결 로그를 기록합니다. 자세한 내용은 AWS의 NLB 액세스 로그 문서.

스키마: AWS.NLB
파서:
  네이티브:
    이름: AWS.NLB
설명: Network Load Balancer는 네트워크 로드 밸런서의 4계층 TLS 연결 로그를 기록합니다.
참조 URL: https://docs.aws.amazon.com/elasticloadbalancing/latest/network/load-balancer-access-logs.html
필드:
  - 이름: type
    필수: true
    설명: 요청 또는 연결의 유형.
    유형: string
  - 이름: version
    필수: true
    설명: 로그 형식 버전.
    유형: string
  - name: time
    필수: true
    설명: 연결이 닫힌 시점.
    유형: timestamp
    시간 형식: rfc3339
  - 이름: elb
    설명: 로드 밸런서의 리소스 ID.
    유형: string
  - 이름: listener
    설명: TLS 리스너의 리소스 ID.
    유형: string
  - 이름: clientIp
    설명: 클라이언트의 IP 주소.
    유형: string
  - 이름: clientPort
    설명: 클라이언트의 포트.
    유형: bigint
  - 이름: destinationIp
    설명: 대상의 IP 주소.
    유형: string
  - 이름: destinationPort
    설명: 대상의 포트.
    유형: bigint
  - 이름: connectionTime
    설명: 연결의 총 시간(밀리초).
    유형: bigint
  - 이름: tlsHandshakeTime
    설명: TLS 핸드셰이크의 총 시간(밀리초).
    유형: bigint
  - 이름: receivedBytes
    설명: 클라이언트로부터 수신한 바이트 수.
    유형: bigint
  - 이름: sentBytes
    설명: 클라이언트에게 전송한 바이트 수.
    유형: bigint
  - 이름: incomingTlsAlert
    설명: 알러트가 수신된 경우의 TLS 알러트 코드.
    유형: bigint
  - 이름: chosenCertArn
    설명: 클라이언트에 제시된 인증서의 ARN.
    유형: string
  - 이름: chosenCertSerial
    설명: 예약된 필드.
    유형: string
  - 이름: tlsCipher
    설명: 협상된 TLS 암호 스위트.
    유형: string
  - 이름: tlsProtocolVersion
    설명: TLS 프로토콜 버전.
    유형: string
  - 이름: tlsKeyExchange
    설명: TLS 키 교환 알고리즘.
    유형: string
  - 이름: domainName
    설명: 클라이언트가 제공한 SNI 호스트 이름.
    유형: string
  - 이름: alpnFeProtocol
    설명: ALPN을 통해 클라이언트와 협상된 프로토콜.
    유형: string
  - 이름: alpnBeProtocol
    설명: ALPN을 통해 백엔드와 협상된 프로토콜.
    유형: string
  - 이름: alpnClientPreferenceList
    설명: 클라이언트가 제시한 ALPN 선호 목록의 프로토콜 목록.
    유형: array
    요소:
      유형: string
  - 이름: tlsConnectionCreationTime
    설명: TLS 연결이 설정된 시점.
    유형: timestamp
    시간 형식: rfc3339