Box 로그

Panther는 Box에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음에서 감사지 이벤트를 가져올 수 있습니다 Box 이벤트 API 실시간 탐지를 위해 60초마다.

Panther가 Box API에 접근하려면 새 Box 앱을 생성하고 해당 자격 증명을 Panther에 제공해야 합니다.

Box 로그를 Panther에 온보딩하는 방법

전제 조건

• 전체 엔터프라이즈 계정의 이벤트를 읽으려면 다음 단계를 수행하는 Box 사용자는 해야 합니다 가지고 있어야 합니다 계정에 대한 전체 관리자 권한 (에 설치해야 하며 공동 관리자).

• 보안 및 가용성 이유로 Panther 전용 새 Box 앱을 생성하는 것을 권장합니다. 다음을 복사했는지 확인하세요 리디렉트 URL 이 페이지에서.

1단계: Panther에서 새 Box 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. “Box”를 검색한 다음 해당 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서, 클릭하세요 설정 시작.

5. 다음 화면에서 소스의 기억하기 쉬운 이름을 입력하세요 예: 내 Box 로그.

6. 클릭 설정.

7. 페이지에서 자격 증명 페이지에서 클릭하십시오 복사 1단계에서 리디렉트 URL을 복사하려면 아래에.

8. 공개 배포 활성화 Panther 콘솔에서 설정을 계속하기 전에 Box 개발자 콘솔에서 새 앱을 생성하고 클라이언트 ID와 클라이언트 시크릿을 가져와야 합니다.

2단계: Box 개발자 콘솔에서 새 Box 앱 생성

1. 별도의 브라우저 탭이나 창에서 다음에 로그인하세요 Box 개발자 콘솔.

2. 클릭 새 앱 생성.

3. 선택하세요 맞춤형 앱 앱 유형으로 선택한 다음 클릭 다음.

4. 선택하세요 사용자 인증 (OAuth 2.0)앱의 기억하기 쉬운 이름을 입력하세요 (예: 팬서), 그런 다음 클릭 앱 생성.

5. 새 앱의 구성 탭에서 아래로 스크롤하여 OAuth 2.0 리디렉트 URI 섹션에 Panther 콘솔에서 복사한 리디렉트 URL을 붙여넣으세요.

6. 페이지에서 애플리케이션 범위 섹션에서 다음을 확인하세요 엔터프라이즈 속성 관리 이 선택되어 있는지 (기본적으로 에 설치해야 하며 선택되어 있음).

7. 클릭 변경 사항 저장(Save Changes).

3단계: Panther에서 Box 온보딩 마무리

1. Box 개발자 콘솔에서 Panther용으로 생성한 새 앱으로 이동하세요. 구성 탭에서 아래로 스크롤하여 OAuth 2.0 자격 증명 섹션.

2. 다음을 복사하세요 섹션에서, 다음을 복사하세요, 와 클라이언트 ID 자격 증명을 찾아 Panther 콘솔의 자격 증명 페이지에 붙여넣으세요.

3. 클릭 설정.

4. 클릭 액세스 허용.

   • Box로 리디렉션됩니다.

5. 클릭 Box에 액세스 권한 부여.

   • 다시 Panther로 리디렉션됩니다.

6. 성공 화면으로 리디렉션됩니다:\

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

Panther 제작 탐지 규칙

Panther의 내장된 Box용 규칙을 참조하세요 Github의 panther-analysis.

지원되는 로그 유형

Box.Event

전체 엔터프라이즈의 이벤트를 포함합니다.

참조: 사용자 및 엔터프라이즈 이벤트 목록에 대한 Box 문서.

스키마: Box.Event
파서:
    원본:
        이름: Box.Event
설명: 전체 엔터프라이즈의 이벤트를 포함합니다
참조URL: https://developer.box.com/reference/get-events
필드:
    - 이름: additional_details
      설명: 이 객체는 사용 가능한 경우 이벤트에 대한 추가 정보를 제공합니다.
      유형: json
    - 이름: created_at
      설명: 이벤트의 타임스탬프
      type: timestamp
      시간 형식: rfc3339
      isEventTime: true
    - 이름: created_by
      설명: 이벤트가 나타내는 작업을 수행한 사용자입니다.
      type: object
      필드:
        - 이름: id
          설명: 이 객체의 고유 식별자
          type: string
        - 이름: type
          설명: 객체 유형
          type: string
        - 이름: login
          설명: 이 사용자의 주요 이메일 주소
          type: string
          지표:
            - 이메일
        - 이름: name
          설명: 이 사용자의 표시 이름
          type: string
    - 이름: event_id
      required: true
      설명: 이벤트 객체의 ID입니다. 이를 사용하여 중복 이벤트를 탐지할 수 있습니다
      type: string
    - 이름: event_type
      required: true
      설명: 이 이벤트를 트리거한 이벤트 유형
      type: string
    - 이름: type
      required: true
      설명: 객체 유형 (항상 'event')
      type: string
    - 이름: source
      required: true
      설명: 이 이벤트를 트리거한 항목
      type: object
      필드:
        - 이름: id
          설명: 이 객체의 고유 식별자
          type: string
        - 이름: type
          설명: 객체 유형
          type: string
        - 이름: login
          설명: 이 사용자의 주요 이메일 주소
          type: string
          지표:
            - 이메일
        - 이름: name
          설명: 이 사용자의 표시 이름
          type: string
        - 이름: item_id
          설명: 항목을 나타내는 고유 식별자입니다.
          type: string
        - 이름: item_name
          설명: 항목의 이름입니다.
          type: string
        - 이름: item_type
          설명: 이벤트가 나타내는 항목의 유형입니다. 파일 또는 폴더일 수 있습니다.
          type: string
        - 이름: owned_by
          설명: 이 항목을 소유한 사용자.
          type: object
          필드:
            - 이름: id
              설명: 이 객체의 고유 식별자
              type: string
            - 이름: type
              설명: 객체 유형
              type: string
            - 이름: login
              설명: 이 사용자의 주요 이메일 주소
              type: string
              지표:
                - 이메일
            - 이름: name
              설명: 이 사용자의 표시 이름
              type: string
        - 이름: parent
          설명: 이 폴더가 위치한 선택적 상위 폴더.
          type: object
          필드:
            - 이름: etag
              설명: 이 폴더의 HTTP etag.
              type: string
            - 이름: id
              설명: 폴더를 나타내는 고유 식별자.
              type: string
            - 이름: type
              required: true
              설명: 객체의 유형 (항상 'folder')
              type: string
            - 이름: name
              설명: 폴더의 이름
              type: string
            - 이름: sequence_id
              설명: 이 항목에 적용된 가장 최근 사용자 이벤트를 나타내는 숫자 식별자입니다.
              type: string
        - 이름: api_key
          설명: 이 작업에 사용된 API 키
          type: string
    - 이름: session_id
      설명: 이 이벤트를 트리거한 이벤트 유형
      type: string
    - 이름: ip_address
      설명: 요청이 이루어진 IP 주소.
      type: string
      지표:
        - ip