Azure Monitor 로그

Azure Monitor 로그를 Panther 콘솔에 연결하기

개요

Panther는 Azure Monitor 로그 공통 데이터 전송 옵션(예: Azure Event Hub 및 Blob Storage.

을(를) 수집하는 것도 가능합니다. Microsoft Defender for Cloud 경고를 이 소스를 사용하여 수집하려면 보안 카테고리 을(를) 온보딩 프로세스의 2단계동안 포함하십시오.

Azure Monitor 로그를 Panther에 온보딩하는 방법

먼저 Panther에서 Azure Blob Storage 또는 Azure Event Hub 소스를 만든 다음, Azure를 구성하여 해당 위치로 로그를 내보내도록 설정합니다.

1단계: Panther에서 Azure Monitor 소스 생성

1. Panther 콘솔의 왼쪽 탐색 막대에서 구성 > 로그 소스.

2. 우측 상단에서 새로 만들기.

3. "Azure Monitor"를 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드 아웃 패널에서 전송 메커니즘 우측 상단의 드롭다운은 Azure Event Hub 옵션으로 미리 채워져 있습니다. 이 선택을 그대로 두거나 Azure Blob Storage.

4. 를 선택하십시오. 설정 시작.

5. Panther의 지침에 따라 Azure Event Hub 또는 Azure Blob Storage 소스를 구성하십시오..

   • Azure Blob Storage를 선택하고 2단계: 필요한 Azure 인프라 생성 에서 리소스를 수동으로 생성하기로 선택한 경우(Terraform 사용 대신), Azure 컨테이너를 생성하는 단계는건너뛰십시오. 아래 2단계에서 스토리지 계정에 자동으로 컨테이너가 생성됩니다.

이 두 옵션의 지연 시간은 다릅니다: 만약 Blob Storage 옵션을 선택하면 Panther는 Azure Monitor 파일을 매시간 가져옵니다. 만약 Event Hub을(를) 선택하면 수집이 거의 실시간으로 이루어집니다.

2단계: Azure Monitor 로그 내보내기

Azure Monitor 로그를 Event Hubs 또는 스토리지 계정으로 내보내려면 아래 지침을 따르십시오:

1. Azure 대시보드에서 모니터 서비스.

2. 왼쪽 탐색 패널에서 활동 로그.

3. 페이지 상단 근처에서 활동 로그 내보내기.

4. 를 선택하십시오. 진단 설정 추가.

5. 진단 설정 페이지에서 다음 필드에 대한 값을 제공합니다:

   • 진단 설정 이름: 설명적인 이름을 입력하십시오.

   • 카테고리 (아래 로그): 수집하려는 각 로그 카테고리를 선택하십시오:

     • 관리

     • 서비스 상태

     • 리소스 상태

     • 경고

     • 자동 확장

     • 보안 (Microsoft Defender for Cloud)

     • 권장 사항

     • 정책

   • 대상 세부정보: 다음 중 하나를 선택하십시오 스토리지 계정으로 보관 또는 이벤트 허브로 스트리밍, Panther에서 1단계에서 사용한 데이터 전송 메커니즘에 따라 1단계.

     • 를 선택한 경우 스토리지 계정으로 보관, 스토리지 계정 필드에서 스토리지 계정을 선택하십시오.

     • 를 선택한 경우 이벤트 허브로 스트리밍, 이벤트 허브 네임스페이스 필드에서 이벤트 허브를 선택하십시오.

6. 왼쪽 상단에서 저장.

(Blob Storage 전송만 해당) 3단계: 컨테이너에 역할 할당

이 단계는 1단계에서 Azure Blob Storage를 선택한 경우에만 적용됩니다. Azure Event Hub를 사용했다면 이 단계를 건너뛰십시오.

1. 방금 생성된 이름이 insights-activity-logs인 컨테이너를 클릭한 다음, 왼쪽 탐색 막대에서 액세스 제어(IAM).

2. 를 선택하십시오. +추가.

3. 를 선택하십시오. 역할 할당 추가.

4. "Storage Blob Data Reader"를 검색하고 표시되는 일치하는 역할을 선택하십시오.

5. 클릭하여 구성원 탭을 엽니다.

6. 를 선택하십시오. +구성원 선택.

7. Azure Blob Storage 소스의 필수 Azure 인프라 생성 과정에서 생성한 등록된 앱의 이름을 검색하고클릭하십시오. 선택.

8. 를 선택하십시오. 검토+할당.

   • Panther가 Azure Monitor 파일을 매시간 한 번 가져오기 때문에 초기 데이터가 Panther에 도착하기까지 최대 한 시간까지 지연될 수 있음을 기억하십시오.

지원되는 로그 유형

Panther는 Azure.MonitorActivity 스키마로 처리되는 Azure Monitor 활동 로그를 지원합니다.

Azure.MonitorActivity

필드:
  - 이름: time
    필수: true
    설명: 이벤트가 기록된 타임스탬프(UTC).
    유형: timestamp
    시간 형식:
      - rfc3339
      - '%Y-%m-%d %H:%M:%SZ'
      - '%Y-%m-%d %H:%M:%S.%N'
    isEventTime: true
  - 이름: resourceId
    필수: true
    설명: 이벤트를 발생시킨 리소스의 리소스 ID. 테넌트 서비스의 경우 형식은 /tenants/tenant-id/providers/provider-name 입니다.
    유형: string
  - 이름: tenantId
    설명: 이 이벤트가 연결된 Active Directory 테넌트의 테넌트 ID. 이 속성은 테넌트 수준 로그에만 사용됩니다. 리소스 수준 로그에는 나타나지 않습니다.
    유형: string
  - 이름: operationName
    필수: true
    설명: 이 이벤트가 기록하는 작업의 이름, 예: Microsoft.Storage/storageAccounts/blobServices/blobs/Read. operationName은 일반적으로 Azure Resource Manager 작업의 형태인 Microsoft.<providerName>/<resourceType>/<subtype>/<Write|Read|Delete|Action>로 모델링됩니다. 문서화된 Resource Manager 작업이 아니더라도 그렇습니다.
    유형: string
  - 이름: operationVersion
    설명: 만약 operationName이 API를 통해 수행된 경우 관련된 API 버전(예: http://myservice.windowsazure.net/object?api-version=2016-06-01). 이 작업에 해당하는 API가 없는 경우, 이 버전은 향후 작업과 관련된 속성이 변경될 경우를 대비한 해당 작업의 버전을 나타냅니다.
    유형: string
  - 이름: category
    필수: true
    설명: 기록되는 이벤트의 로그 카테고리. 카테고리는 특정 리소스에서 로그를 활성화하거나 비활성화할 수 있는 세분성입니다. 이벤트의 properties 블롭에 나타나는 속성들은 특정 로그 카테고리 및 리소스 유형 내에서 동일합니다. 일반적인 로그 카테고리는 Audit, Operational, Execution 및 Request입니다.
    유형: string
  - 이름: resultType
    설명: 해당되는 경우 기록된 이벤트의 상태. 값에는 Started, In Progress, Succeeded, Failed, Active 및 Resolved가 포함됩니다.
    유형: string
  - 이름: resultSignature
    설명: 이벤트의 하위 상태. 이 작업이 REST API 호출에 해당하는 경우 이 필드는 해당 REST 호출의 HTTP 상태 코드입니다.
    유형: string
  - 이름: resultDescription
    설명: 이 작업에 대한 정적 텍스트 설명; 예: Get storage file.
    유형: string
  - 이름: durationMs
    설명: 작업의 지속 시간(밀리초).
    유형: bigint
  - 이름: callerIpAddress
    설명: 해당 작업이 공개적으로 사용 가능한 IP 주소를 가진 엔터티에서 발생하는 API 호출에 해당하는 경우 호출자 IP 주소.
    유형: string
    지표:
      - ip
  - 이름: correlationId
    설명: 관련된 이벤트 집합을 그룹화하는 데 사용되는 GUID. 일반적으로 두 이벤트가 동일한 operationName 값을 가지지만 서로 다른 상태(예: Started 및 Succeeded)를 가진 경우 동일한 correlationID 값을 공유합니다. 이는 이벤트 간의 다른 관계를 나타낼 수도 있습니다.
    유형: string
    지표:
      - trace_id
  - 이름: identity
    설명: 작업을 수행한 사용자 또는 응용프로그램의 신원을 설명하는 JSON 블롭. 일반적으로 이 필드에는 Active Directory의 권한 및 클레임 또는 JWT 토큰이 포함됩니다.
    유형: json
  - 이름: level
    설명: 이벤트의 심각도 수준. 값에는 Informational, Warning, Error 및 Critical이 포함됩니다.
    유형: string
  - 이름: location
    설명: 이벤트를 발생시키는 리소스의 지역; 예: East US 또는 France South.
    유형: string
  - 이름: properties
    설명: 이 이벤트 카테고리와 관련된 모든 확장 속성. 모든 사용자 정의 또는 고유한 속성은 스키마의 '파트 B'인 이 부분에 포함되어야 합니다.
    유형: json
  - 이름: roleLocation
    설명: 역할의 위치.
    유형: string
  - 이름: providerGuid
    설명: 이벤트를 발생시키는 서비스 제공자의 GUID.
    유형: string
  - 이름: providerName
    설명: 이벤트를 발생시키는 서비스 제공자의 이름.
    유형: string