Azure Monitor 로그

Azure Monitor 로그를 Panther Console에 연결

개요

Panther는 수집을 지원합니다 Azure Monitor 로그 공통을 통해 데이터 전송 옵션, 예를 들어 Azure Event Hub 및 Blob Storage.

또한 수집할 수도 있습니다 Microsoft Defender for Cloud 이 소스를 사용해 알러트를 수집하는 것도 가능하며, 다음을 포함하여 보안 범주 동안 온보딩 절차의 2단계, 아래.

Panther에 Azure Monitor 로그를 온보딩하는 방법

먼저 Panther에서 Azure Blob Storage 또는 Azure Event Hub 소스를 만든 다음, Azure를 구성하여 로그를 해당 위치로 내보내도록 합니다.

1단계: Panther에서 Azure Monitor 소스 만들기

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 오른쪽 상단 모서리에서 다음을 클릭합니다 새로 만들기.

3. "Azure Monitor"를 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운에는 다음이 미리 채워집니다 Azure Event Hub 옵션. 이 선택을 그대로 두거나 선택합니다. Azure Blob Storage.

4. 클릭합니다 설정 시작.

5. Panther의 지침에 따라 다음을 구성하세요 Azure Event Hub 또는 Azure Blob Storage 소스.

   • Azure Blob Storage를 선택하고 ...하는 동안 2단계: 필요한 Azure 인프라 생성 Azure 리소스를 Terraform 대신 수동으로 만들기로 선택한 경우, 건 Azure 컨테이너를 만드는 단계, 아래 2단계에서 스토리지 계정에 자동으로 생성되기 때문입니다.

이 두 옵션은 지연 시간이 다릅니다. 다음을 선택하면 Blob Storage 옵션을 선택하면 Panther가 Azure Monitor 파일을 매시간 가져옵니다. 선택하는 경우 Event Hub, 수집은 거의 실시간으로 이루어집니다.

2단계: Azure Monitor 로그 내보내기

Azure Monitor 로그를 Event Hubs 또는 스토리지 계정으로 내보내려면 아래 지침을 따르세요:

1. Azure 대시보드에서 다음으로 이동합니다: Monitor 서비스.

2. 왼쪽 탐색 패널에서 클릭합니다: Activity Log.

3. 페이지 상단 근처에서 클릭합니다 Activity Logs 내보내기.

4. 클릭합니다 진단 설정 추가.

5. 다음 페이지에서 진단 설정 페이지에서 다음 필드의 값을 입력하세요:

   • 진단 설정 이름: 설명적인 이름을 입력하세요.

   • 카테고리 (아래 로그): 수집하려는 각 로그 범주를 선택합니다:

     • 관리

     • 서비스 상태

     • 리소스 상태

     • 알러트

     • Autoscale

     • 보안 (Microsoft Defender for Cloud)

     • 권장 사항

     • 정책

   • 대상 세부 정보: 다음 중 하나를 선택합니다 스토리지 계정에 보관 또는 이벤트 허브 Hub로 스트리밍, Panther에서 사용한 Data Transport 메커니즘에 따라 1단계.

     • 선택한 경우 스토리지 계정에 보관에서 스토리지 계정 필드에서 스토리지 계정을 선택합니다.

     • 선택한 경우 이벤트 허브로 스트리밍에서 Event Hub 네임스페이스 필드에서 Event Hub를 선택합니다.

6. 왼쪽 위 모서리에서 클릭합니다: 저장.

(Blob Storage 전송만 해당) 3단계: 컨테이너에 역할 할당

이 단계는 1단계에서 Azure Blob Storage를 선택한 경우에만 적용됩니다. Azure Event Hub를 사용한 경우 이 단계를 건너뜁니다.

1. 새로 만든 다음 이름의 컨테이너를 클릭합니다: insights-activity-logs, 그런 다음 왼쪽 탐색 모음에서 클릭합니다: 액세스 제어(IAM).

2. 클릭합니다 +추가.

3. 클릭합니다 역할 할당 추가.

4. "Storage Blob Data Reader"를 검색하고 표시되는 일치하는 역할을 선택합니다.

5. 다음을 클릭하세요: 구성원 탭.

6. 클릭합니다 +구성원 선택.

7. ... 중에 만든 등록된 앱의 이름을 검색합니다. Azure Blob Storage 소스에서 필요한 Azure 인프라 생성 프로세스, 그리고 다음을 클릭합니다 선택.

8. 클릭합니다 검토+할당.

   • Panther가 Azure Monitor 파일을 1시간에 한 번씩 가져오므로, 초기 데이터가 Panther에 도착하기까지 최대 1시간까지 지연될 수 있다는 점을 기억하세요.

지원되는 로그 유형

Panther는 Azure.MonitorActivity 스키마로 처리되는 Azure Monitor Activity 로그를 지원합니다.

Azure.MonitorActivity

필드:
  - name: time
    필수: true
    설명: 기록되는 이벤트의 타임스탬프(UTC)입니다.
    유형: timestamp
    시간 형식:
      - rfc3339
      - '%Y-%m-%d %H:%M:%SZ'
      - '%Y-%m-%d %H:%M:%S.%N'
    이벤트 시간 여부: true
  - 이름: resourceId
    필수: true
    설명: 이벤트를 내보낸 리소스의 리소스 ID입니다. 테넌트 서비스의 경우 형식은 /tenants/tenant-id/providers/provider-name입니다.
    유형: string
  - name: tenantId
    설명: 이 이벤트가 연결된 Active Directory 테넌트의 테넌트 ID입니다. 이 속성은 테넌트 수준 로그에만 사용되며, 리소스 수준 로그에는 나타나지 않습니다.
    유형: string
  - name: operationName
    필수: true
    설명: 이 이벤트가 기록하는 작업의 이름입니다. 예: Microsoft.Storage/storageAccounts/blobServices/blobs/Read. operationName은 일반적으로 문서화된 Resource Manager 작업이 아니더라도 Azure Resource Manager 작업인 Microsoft.<providerName>/<resourceType>/<subtype>/<Write|Read|Delete|Action> 형식으로 모델링됩니다.
    유형: string
  - 이름: operationVersion
    설명: operationName이 API를 통해 수행된 경우, 해당 작업과 연결된 API 버전입니다(예: http://myservice.windowsazure.net/object?api-version=2016-06-01). 이 작업에 해당하는 API가 없으면, 이 버전은 향후 해당 작업과 관련된 속성이 변경될 경우를 대비한 그 작업의 버전을 나타냅니다.
    유형: string
  - 이름: category
    필수: true
    설명: 기록되는 이벤트의 로그 범주입니다. 범주는 특정 리소스에서 로그를 사용하거나 사용 중지할 수 있는 세분화 수준입니다. 이벤트의 properties blob에 표시되는 속성은 특정 로그 범주와 리소스 유형 내에서 동일합니다. 일반적인 로그 범주는 Audit, Operational, Execution, Request입니다.
    유형: string
  - name: resultType
    설명: 기록된 이벤트의 상태입니다(해당하는 경우). 값에는 Started, In Progress, Succeeded, Failed, Active, Resolved가 포함됩니다.
    유형: string
  - 이름: resultSignature
    설명: 이벤트의 하위 상태입니다. 이 작업이 REST API 호출에 해당하는 경우, 이 필드는 해당 REST 호출의 HTTP 상태 코드입니다.
    유형: string
  - name: resultDescription
    설명: 이 작업의 정적 텍스트 설명입니다. 예: Get storage file.
    유형: string
  - 이름: durationMs
    설명: 작업의 기간(밀리초)입니다.
    유형: bigint
  - 이름: callerIpAddress
    설명: 작업이 공개 IP 주소를 가진 엔터티에서 발생하는 API 호출에 해당하는 경우, 호출자 IP 주소입니다.
    유형: string
    지표:
      - ip
  - name: correlationId
    설명: 관련된 이벤트 집합을 함께 그룹화하는 데 사용되는 GUID입니다. 일반적으로 두 이벤트의 operationName 값은 같지만 상태가 두 가지 다른 경우(예: Started와 Succeeded), 동일한 correlationID 값을 공유합니다. 이는 이벤트 간의 다른 관계를 나타낼 수도 있습니다.
    유형: string
    지표:
      - trace_id
  - 이름: identity
    설명: 작업을 수행한 사용자 또는 애플리케이션의 ID를 설명하는 JSON blob입니다. 일반적으로 이 필드에는 Active Directory의 authorization 및 claims 또는 JWT 토큰이 포함됩니다.
    유형: json
  - 이름: 수준
    설명: 이벤트의 심각도 수준입니다. 값에는 Informational, Warning, Error, Critical이 포함됩니다.
    유형: string
  - 이름: location
    설명: 이벤트를 내보내는 리소스의 지역입니다. 예: East US 또는 France South.
    유형: string
  - name: properties
    설명: 이 범주의 이벤트와 관련된 확장 속성입니다. 모든 사용자 지정 또는 고유 속성은 이 스키마의 'Part B' 안에 넣어야 합니다.
    유형: json
  - name: roleLocation
    설명: 역할의 위치입니다.
    유형: string
  - name: providerGuid
    설명: 이벤트를 내보내는 서비스 제공자의 GUID입니다.
    유형: string
  - name: providerName
    설명: 이벤트를 내보내는 서비스 제공자의 이름입니다.
    유형: string