Docusign 로그(베타)

Panther는 Docusign Connect 웹훅 이벤트 수집을 지원합니다

개요

Docusign 로그 통합은 Panther 버전 1.115부터 오픈 베타로 제공되며 모든 고객이 사용할 수 있습니다. 버그 리포트나 기능 요청이 있으면 Panther 지원팀에 공유해 주세요.

Panther는 수집을 지원합니다 Docusign HTTP를 통해 webhook 이벤트를 연결합니다. Docusign Connect 특정 전자서명 워크플로우에서 이벤트가 발생할 때 Panther와 같은 외부 애플리케이션에 알림을 보내는 웹후크를 구성할 수 있게 해줍니다.

Docusign Connect 웹후크는 봉투(전송, 배송, 완료 또는 취소 등), 수신자, 템플릿, 신원 확인 등 다양한 엔터티에 대한 실시간 알림을 제공할 수 있습니다. 전체 사용 가능한 이벤트 트리거 목록은 여기.

Panther에서 Docusign 로그 통합을 통해 다음을 수행할 수 있습니다:

• 무단 액세스 및 사기 탐지: 실패한 인증 시도, 의심스러운 수신자 행동, 비정상적인 서명 패턴 및 예기치 않은 봉투 변경 사항을 추적합니다

• 템플릿 보안 모니터링: 문서 템플릿의 생성, 수정 또는 삭제를 모니터링합니다

• 계정 활동 모니터링: 관리 작업 및 구성 변경 사항을 추적합니다

보안 모니터링에 일반적으로 사용되는 Docusign 이벤트 트리거

다음 이벤트 트리거 는 보안 모니터링에 일반적으로 사용됩니다:

• recipient-authentication-failure: 인증 실패

• envelope-voided: 봉투 취소(잠재적 사기)

• envelope-corrected: 문서 수정(잠재적 변조)

• template-created, template-modified, template-deleted: 템플릿 변경

• recipient-declined: 문서 거부

Docusign 로그를 Panther에 온보딩하는 방법

전제 조건

• Docusign Connect 웹후크를 구성하려면 Docusign 계정에서 관리자 권한이 있어야 합니다. 자세한 내용은 Docusign Connect 문서 를 참조하세요.

1단계: Panther에서 새 Docusign 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 구성 > 로그 소스.

2. 를 클릭하세요 새로 만들기(Create New).

3. "Docusign"을 검색한 다음 해당 타일을 클릭하세요.

4. 를 클릭하세요 설정 시작.\

   
5. Panther의 HTTP 소스 구성 지침을따르되 5단계부터 시작하세요.

   • 설정 중에, 인증 방법에 대해 다음 중 하나를 사용해야 합니다 기본 인증(Basic Authentication) 로그/리소스 유형별로 규칙을 폴더로 그룹화하는 것을 권장합니다(예: HMAC.

     • 를 선택하면 HMAC, 헤더 이름에 X-Docusign-Signature-1. Connect 웹후크에 HMAC을 사용하는 방법에 대해 자세히 알아보려면 여기를 참조하세요.

   • 구성한 인증 정보를 저장하세요. Docusign에서 웹후크를 설정할 때 다음 단계에서 필요합니다.

   • 이 소스로 전송되는 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

2단계: Docusign Connect 웹후크 구성

아래 단계를 따라 Docusign Connect 웹후크를 구성하세요. 이 과정에서 추가 지원이 필요하면 다음을 참조하세요 Docusign 연결 구성 생성(Create a Connect Configuration) 문서.

1. 관리자로 Docusign 계정에 로그인하세요.

2. 탐색 모음에서 클릭합니다 통합(Integrations) > Connect.

3. 를 클릭하세요 구성 추가(Add Configuration) > 사용자 지정.

4. 다음 웹후크 Connect 필드를 구성하세요:

   • 이름(Name): 설명이 포함된 이름을 입력하세요(예:) Panther 보안 통합.

   • 게시할 URL : Wiz에서 가져온 HTTP 소스 URL 1단계에서 Panther에서 생성한 URL을 입력하세요.

   • 트리거 이벤트(Trigger Events): 다음을 선택하십시오 이벤트 트리거 모니터링하려는 이벤트를 선택하세요.

     • 데이터 포함(Include Data): 각 카테고리에 대해 Panther로 전송되는 이벤트에 포함하고자 하는 필드를 선택하세요. 이러한 필드에 관해서는 이 Docusign 문서.

에 대해 를 참조하세요. 및 봉투(Envelope) 수신자(Recipient) 이벤트의 경우 문서(Documents) 및 첨부파일(Attachments) 의 선택을 해제하는 것이 권장됩니다. 이는 페이로드 크기를 줄여 잠재적인 이벤트 전달 지연을 방지하는 데 도움이 됩니다. 문서를 eSignature API를 통해 검색하는 방법에 대해 자세히 알아보려면 여기를 참조하세요.

• HMAC 서명 포함(Include HMAC Signature): 1단계에서 Panther에 HMAC 인증을 사용한 경우 이 옵션을 선택하세요.

  • 에서 1. 필드에 1단계에서 Panther에 입력한 HMAC 헤더 이름 을 입력하세요. Docusign은 이 값을 X-Docusign-Signature-1 헤더와 연관되어 전송합니다.

  • 자세한 내용은 Docusign Connect에서 HMAC 보안 사용 문서.

  

  • 기본 인증 헤더 포함(Include Basic Authentication Header): 1단계에서 Panther에 기본 인증을 사용한 경우 이 옵션을 선택하세요.

• 사용자 이름(User Name) : Wiz에서 가져온 사용자명(Username) 1단계에서 Panther에 입력한 값을 사용하세요.

• 비밀번호(Password) : Wiz에서 가져온 비밀번호(Password) 1단계에서 Panther에 입력한 값을 사용하세요.

1. 를 클릭하세요 구성 추가(Add configuration).

지원되는 로그 유형

Docusign.Connect

봉투 상태 변경, 수신자 작업, 문서 워크플로우 업데이트 등에 대해 알리는 Docusign Connect 웹후크 이벤트입니다.

Severity: Docusign Connect JSON SIM 이벤트 모델

스키마: Docusign.Connect
설명: 봉투 상태 변경, 수신자 작업 및 문서 워크플로우 업데이트에 대해 알리는 Docusign Connect 웹후크 이벤트
참조 URL: https://developers.docusign.com/platform/webhooks/connect/json-sim-event-model
필드:
  - name: event
    필수: 예
    description: 웹후크를 트리거한 이벤트 유형(예: recipient-sent, envelope-completed).
    유형: 문자열
  - name: uri
    description: 봉투 리소스의 REST API URI.
    유형: 문자열
  - name: retryCount
    description: 이 웹후크 전송에 대한 재시도 횟수.
    유형: 문자열
  - name: configurationId
    description: 이 웹후크를 생성한 Connect 구성 ID.
    유형: 문자열
  - name: apiVersion
    description: 이 이벤트에 사용된 Docusign API 버전.
    유형: 문자열
  - name: generatedDateTime
    필수: 예
    description: 이벤트가 Docusign에서 생성된 시각.
    유형: 타임스탬프
    시간 형식:
      - rfc3339
    isEventTime: true
  - name: data
    필수: 예
    description: 이벤트 정보를 포함하는 주요 이벤트 데이터.
    유형: 객체
    필드:
      - 이름: accountId
        description: 발신자의 계정을 식별하거나 Recipient Connect의 경우 수신자의 계정을 식별합니다.
        유형: 문자열
        지표:
          - trace_id
      - name: userId
        description: 이벤트와 관련된 사용자 ID.
        유형: 문자열
        지표:
          - trace_id
      - name: recipientId
        description: 이 이벤트와 관련된 수신자 ID.
        유형: 문자열
        지표:
          - trace_id
      - name: envelopeId
        description: 이벤트에 관련된 봉투를 식별합니다.
        유형: 문자열
        지표:
          - trace_id
      - 이름: name
        description: 관련 템플릿 이벤트의 이름 또는 봉투가 재할당된 사람의 이름.
        유형: 문자열
      - 이름: email
        description: 봉투가 재할당된 사람의 이메일 주소.
        유형: 문자열
        지표:
          - email
      - name: routingOrder
        description: 봉투가 재할당된 사람의 라우팅 순서.
        유형: 문자열
      - name: created
        description: 템플릿이 생성/편집/삭제된 UTC 날짜 및 시간.
        유형: 타임스탬프
        시간 형식:
          - rfc3339
      - name: templateId
        description: 생성/편집/삭제된 템플릿 ID.
        유형: 문자열
        지표:
          - trace_id
      - name: clickwrapId
        description: 동의되거나 거부된 엘라스틱 템플릿을 식별합니다.
        유형: 문자열
        지표:
          - trace_id
      - name: agreementId
        description: 엘라스틱 템플릿 내의 계약을 식별합니다.
        유형: 문자열
        지표:
          - trace_id

맞춤 탐지 패턴(Custom detection patterns)

Docusign용 맞춤 탐지를 작성할 때 다음과 같은 일반 패턴을 사용할 수 있습니다:

# 특정 이벤트 유형 확인
event_type = event.get('event')

# 인증 실패 모니터링
if event_type == 'recipient-authentication-failure':
    의 SQL에서 모든 필터링 로직이 이미 처리되어 있다면,
    
# 봉투 취소 모니터링(잠재적 사기 지표)  
if event_type == 'envelope-voided':
    의 SQL에서 모든 필터링 로직이 이미 처리되어 있다면,

# 봉투 및 발신자/수신자 데이터에 접근
envelope_id = deep_get(event, 'data', 'envelopeId')
account_id = deep_get(event, 'data', 'accountId')

Docusign 로그 쿼리

Panther에서 Docusign 로그를 쿼리하려면 데이터 탐색기:

-- 최근 Docusign 이벤트 보기
SELECT event, generatedDateTime, data:envelopeId, data:email
FROM panther_logs.docusign_connect
WHERE p_occurs_since('1 day')
ORDER BY p_event_time DESC;

-- 인증 실패 모니터링
SELECT *
FROM panther_logs.docusign_connect  
WHERE event = 'recipient-authentication-failure'
  AND p_occurs_since('7 days')
ORDER BY p_event_time DESC;

-- 봉투 상태 변경 추적
SELECT event, data:envelopeId, data:accountId, generatedDateTime
FROM panther_logs.docusign_connect
WHERE event LIKE 'envelope-%'
  AND p_occurs_since('1 day')
ORDER BY generatedDateTime DESC;