Microsoft Entra ID 감사 로그

Microsoft Entra ID 감사 로그를 Panther 콘솔에 연결하기

개요

Panther는 공통 옵션을 통해 Microsoft Entra ID(이전 명칭 "Azure Active Directory") 감사 로그 수집을 지원합니다 데이터 전송 옵션(예: Azure) Event Hub 와 Blob Storage.

Microsoft Entra ID 감사 로그를 Panther에 온보딩하는 방법

먼저 Panther에서 Azure Blob Storage 또는 Azure Event Hub 소스를 생성한 다음 Azure를 구성하여 해당 위치로 로그를 내보냅니다.

단계 1: Panther에서 Microsoft Entra ID 소스 생성

1. Panther 콘솔의 왼쪽 탐색 모음에서 클릭하세요 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. “Microsoft Entra ID Audit”을 검색한 후 해당 타일을 클릭합니다.

   • 슬라이드 아웃 패널에서 전송 메커니즘 우측 상단의 드롭다운은 미리 채워진 상태일 것입니다 Azure Event Hub 옵션. 이 선택을 그대로 두거나 Azure Blob Storage.

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 시작.

5. Panther의 지침에 따라 다음을 구성하세요 Azure Event Hub 이전에 생성한 Snowflake 사용자 이름, 예를 들면 Azure Blob Storage 소스.

대기 시간이 두 옵션 간에 다릅니다: Blob Storage 옵션을 선택하면 Panther는 Entra ID 파일을 매시간 가져옵니다. Event Hub를 선택하면 수집이 거의 실시간으로 이루어집니다.

• Azure Blob Storage를 선택하고 2단계: 필요한 Azure 인프라 생성 Azure 리소스를 수동으로 생성하기로 선택한 경우(테라폼 대신), Azure 컨테이너를 생성하는 단계를건너뛰세요. 아래 단계 2에서 스토리지 계정에 컨테이너가 자동으로 생성됩니다.

단계 2: Microsoft Entra ID 감사 로그 내보내기

Microsoft Defender XDR 로그를 Event Hubs 또는 스토리지 계정으로 내보내려면 아래 지침을 따르세요:

1. Azure 대시보드에 로그인합니다.

2. 콘솔로. Microsoft Entra ID 서비스.

3. 왼쪽 패널에서 감사 로그.

4. 페이지 상단 근처에서 데이터 내보내기 설정.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 진단 설정 추가.

6. 페이지에서 진단 설정 페이지에서 다음 값을 설정합니다:

   • 진단 설정 이름: 설명적인 이름을 입력하세요.

   • 카테고리 (아래 로그): 다음 확인란들을 선택하세요:

     • AuditLogs

     • SignInLogs

     • NonInteractiveUserSignInLogs

     • ServicePrincipalSignInLogs

     • ManagedIdentitySignInLogs

   • 대상 세부정보: 다음 중 하나를 선택하세요 스토리지 계정으로 보관 이전에 생성한 Snowflake 사용자 이름, 예를 들면 이벤트 허브로 스트리밍Panther에서 생성한 로그 소스 유형에 따라, 1단계.

     • 을(를) 선택하면 스토리지 계정으로 보관의 스토리지 계정 필드에서 스토리지 계정을 선택하세요.

     • 을(를) 선택하면 이벤트 허브로 스트리밍의 이벤트 허브 네임스페이스 필드에서 이벤트 허브를 선택하세요.

     
7. 왼쪽 상단에서 클릭하세요 "Resource": "<secret ARN>".

(Blob Storage 전송만 해당) 단계 3: 컨테이너에 역할 할당

이 단계는 1단계에서 Azure Blob Storage를 선택한 경우에만 해당합니다. Azure Event Hub를 사용한 경우 이 단계를 건너뛰세요.

1. 방금 생성한 컨테이너를 클릭한 후 왼쪽 탐색 표시줄에서 액세스 제어(IAM).

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. +추가.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 역할 할당 추가.

4. "Storage Blob Data Reader"를 검색하고 표시되는 일치하는 역할을 선택하세요.

5. 을 클릭하세요 구성원 탭을 클릭하세요.

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. +구성원 선택.

7. 위에서 생성한 등록된 앱의 이름을 검색하세요 Azure Blob Storage 소스에서 필수 Azure 인프라를 생성하는 과정 중에를 클릭하고 선택하세요.

8. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 검토+할당.

Panther 관리 디텍션

참조 Panther 관리 Azure용 룰 panther-analysis GitHub 리포지토리.

지원되는 로그 유형

Panther는 Microsoft Entra ID 감사 및 로그인 로그를 지원하며 이는 Azure.Audit 스키마에 의해 처리됩니다.

Azure.Audit

Azure.Audit 로그 스키마는 Microsoft Entra ID 감사 로그 및 로그인 로그를 다룹니다. 자세한 내용은 Microsoft 문서를 참조하세요:

• 참조 감사 로그에 대한 일반 정보는 이 페이지 참조및 감사 로그 참조를 보려면 이 페이지 참조.

• 참조 로그인 로그에 대한 일반 정보는 이 페이지 참조및 로그인 로그 스키마를 보려면 이 페이지 참조.

스키마: Azure.Audit
설명: Azure Active Directory의 감사 로그
참고 URL: https://learn.microsoft.com/en-us/azure/active-directory/reports-monitoring/concept-audit-logs
필드:
  - name: Level
    설명: 이벤트의 심각도 수준 또는 유형(예: 정보성, 오류).
    type: string
  - name: callerIpAddress
    설명: 이벤트가 시작된 IP 주소.
    type: string
    지표:
      - ip
  - name: category
    설명: 이벤트의 카테고리 분류(예: SignInLogs, AuditLogs).
    type: string
  - name: correlationId
    설명: 여러 관련 이벤트를 연관시키기 위한 고유 식별자.
    type: string
    지표:
      - trace_id
  - name: durationMs
    설명: 작업을 완료하는 데 걸린 총 시간(밀리초).
    type: string
  - name: identity
    설명: 사용자, 애플리케이션 또는 서비스 프린시펄의 식별자.
    type: string
  - 이름: location
    설명: 이벤트가 발생한 지리적 위치 또는 지역.
    type: string
  - name: locationDetails
    유형: json
  - name: networkLocationDetails
    유형: json
  - name: operationName
    required: true
    설명: 수행된 작업 또는 API 호출의 이름.
    type: string
  - name: operationVersion
    설명: 작업 또는 API의 버전 번호.
    type: string
  - name: properties
    설명: 이벤트에 대한 추가 속성 및 세부 정보를 포함하는 중첩 객체.
    type: object
    필드:
      - name: aadTenantId
        type: string
      - name: activityDateTime
        설명: 활동의 날짜 및 시간.
        type: timestamp
        timeFormats:
          - rfc3339
      - name: activityDisplayName
        설명: 활동에 대한 친숙한 표시 이름.
        type: string
      - name: additionalDetails
        설명: 추가 컨텍스트 또는 메타데이터를 포함하는 키-값 쌍 배열.
        type: array
        element:
          type: object
          필드:
            - 이름: key
              type: string
            - 이름: value
              type: string
      - name: alternateSignInName
        설명: 제공된 경우 대체 사용자 로그인 이름.
        type: string
        지표:
          - username
      - name: appDisplayName
        설명: 관련된 애플리케이션의 표시 이름.
        type: string
      - name: appliedConditionalAccessPolicies
        설명: 적용된 조건부 액세스 정책 및 그 결과 목록.
        유형: json
      - name: appliedEventListeners
        유형: json
      - name: appId
        설명: 이벤트와 연관된 애플리케이션 ID.
        type: string
      - name: appServicePrincipalId
        type: string
      - name: authenticationAppDeviceDetails
        유형: json
      - name: authenticationStrengths
        유형: json
      - name: authenticationAppPolicyEvaluationDetails
        유형: json
      - name: authenticationContextClassReferences
        유형: json
      - name: authenticationDetails
        유형: json
      - name: authenticationMethodsUsed
        유형: json
      - name: authenticationProcessingDetails
        유형: json
      - name: authenticationProtocol
        type: string
      - name: authenticationRequirement
        type: string
      - name: authenticationRequirementPolicies
        유형: json
      - name: autonomousSystemNumber
        type: string
      - name: _billedSize
        type: float
      - name: category
        type: string
      - name: clientAppUsed
        type: string
      - name: clientCredentialType
        type: string
      - name: conditionalAccessAudiences
        유형: json
      - name: conditionalAccessPolicies
        유형: json
      - name: conditionalAccessStatus
        type: string
      - name: correlationId
        type: string
      description: 탐지 로직의 신뢰도(1-100 사이의 백분율)
        type: timestamp
        timeFormats:
          - rfc3339
      - name: crossTenantAccessType
        type: string
      - name: deviceDetail
        유형: json
      - name: federatedCredentialId
        type: string
      - name: flaggedForReview
        유형: boolean
      - name: globalSecureAccessIpAddress
        type: string
      - name: homeTenantId
        type: string
      - name: homeTenantName
        type: string
      - 이름: id
        type: string
      - name: incomingTokenType
        type: string
      - 이름: ipAddress
        설명: 중첩된 리소스와 연관된 IP 주소.
        type: string
        지표:
          - ip
      - name: ipAddressFromResourceProvider
        설명: 기본 리소스 공급자가 기록한 IP 주소.
        type: string
        지표:
          - ip
      - name: _isBillable
        type: string
      - name: isDeleted
        설명: 엔터티가 삭제되었는지 여부.
        유형: boolean
      - name: initiatedBy
        설명: 이벤트를 시작한 행위자(사용자 또는 앱).
        type: object
        필드:
          - 이름: app
            type: object
            필드:
              - name: displayName
                type: string
              - name: servicePrincipalId
                type: string
              - name: appId
                설명: 애플리케이션 등록/클라이언트 ID.
                type: string
          - name: user
            설명: 작업을 수행한 사용자.
            type: object
            필드:
              - 이름: id
                설명: 사용자의 객체 ID.
                type: string
              - name: displayName
                설명: Azure AD에 표시되는 사용자 이름.
                type: string
                지표:
                  - username
              description: 'Windows 정의에 따른 사용자 계정 유형(그룹 멤버십). 가능한 값: unknown, standard, power, administrator'
                설명: 사용자의 사용자 주체 이름(UPN).
                type: string
              - 이름: ipAddress
                설명: 사용자가 작업을 수행한 IP 주소.
                type: string
                지표:
                  - ip
              - name: roles
                유형: json
      - name: isProcessing
        설명: 이벤트가 아직 처리 중인지 여부.
        유형: boolean
      - name: loggedByService
        설명: 이 이벤트를 기록한 Microsoft 서비스(예: AzureAD).
        type: string
      - 이름: location
        설명: JSON 객체로 표현된 지리적 또는 물리적 위치 정보.
        유형: json
      - name: networkLocationDetails
        설명: 이벤트에 관련된 네트워크 위치에 대한 세부 정보.
        유형: json
      - name: operationType
        설명: 수행된 작업의 유형.
        type: string
      - 이름: result
        설명: 작업의 결과 상태.
        type: string
      - name: resultReason
        설명: 작업 결과에 대한 추가 이유 또는 코드.
        type: string
      - name: isInteractive
        설명: 로그인(가입)이 대화형이었는지 여부를 나타냅니다.
        유형: boolean
      - name: isRisky
        유형: boolean
      - name: isTenantRestricted
        설명: 테넌트 제한이 적용되었는지 여부.
        유형: boolean
      - name: isThroughGlobalSecureAccess
        설명: 이벤트가 Global Secure Access를 통해 라우팅되었는지 여부.
        유형: boolean
      - name: originalRequestId
        설명: 체인의 일부인 경우 원래 요청의 요청 ID.
        type: string
      - name: originalTransferMethod
        설명: 원래 요청의 전송 방법.
        type: string
      - name: privateLinkDetails
        유형: json
      - name: processingTimeInMilliseconds
        설명: 이벤트를 처리하는 데 걸린 시간.
        type: bigint
      - 이름: resource
        type: string
      - 이름: resourceDisplayName
        설명: 리소스의 표시 이름.
        type: string
      - name: resourceGroup
        type: string
      - name: resourceId
        설명: 액세스된 리소스의 객체 ID.
        type: string
      - name: resourceIdentity
        type: string
      - name: resourceProvider
        type: string
      - name: resourceOwnerTenantId
        설명: 리소스 소유자의 테넌트 ID.
        type: string
      - name: resourceServicePrincipalId
        설명: 액세스된 리소스의 서비스 프린시펄 객체 ID.
        type: string
      - name: resourceTenantId
        설명: 액세스된 리소스의 테넌트 ID.
        type: string
      - name: riskEventTypes
        설명: 이 이벤트에 대해 감지된 위험 이벤트 유형 목록.
        유형: json
      - name: riskEventTypes_v2
        설명: 향상된 위험 이벤트 유형 목록.
        유형: json
      - name: riskLastUpdatedDateTime
        설명: 마지막 위험 업데이트의 타임스탬프.
        type: timestamp
        timeFormats:
          - rfc3339
      - name: riskDetail
        설명: 감지된 위험의 성격에 대한 세부 정보.
        type: string
      - name: riskLevel
        설명: 분석 후 최종 위험 수준.
        type: string
      - name: riskLevelAggregated
        설명: 이벤트에 할당된 집계된 위험 수준.
        type: string
      - name: riskLevelDuringSignIn
        설명: 로그인 시점의 위험 수준.
        type: string
      - name: riskState
        설명: 사용자 또는 세션의 위험 상태.
        type: string
      - name: rngcStatus
        설명: 요청 nonce 생성 검사에 대한 상태 코드.
        type: string
      - name: servicePrincipalId
        설명: 사용된 서비스 프린시펄의 객체 ID.
        type: string
      - name: servicePrincipalCredentialKeyId
        설명: 서비스 프린시펄이 사용한 자격 증명의 키 ID.
        type: string
      - name: servicePrincipalName
        설명: 서비스 프린시펄의 이름.
        type: string
      - name: sessionId
        설명: 작업의 세션 식별자.
        type: string
      - name: sessionLifetimePolicies
        설명: 이 작업에 대한 세션 수명 정책.
        유형: json
      - name: signInIdentifier
        설명: 사용자를 인증하는 데 사용된 주요 식별자.
        type: string
      - name: signInIdentifierType
        type: string
      - name: signInTokenProtectionStatus
        설명: 로그인 시 토큰 보호 상태.
        type: string
      - name: sourceSystem
        유형: json
      - name: ssoExtensionVersion
        설명: SSO 브라우저 확장 버전.
        type: string
      - 이름: status
        설명: 로그인 시도에 대한 상태 세부 정보.
        유형: json
      - name: targetResources
        설명: 작업으로 대상이 되었거나 영향을 받은 리소스 배열.
        type: array
        element:
          type: object
          필드:
            - name: displayName
              설명: 리소스의 표시 이름.
              type: string
            - 이름: id
              설명: 리소스의 고유 객체 ID.
              type: string
            - name: modifiedProperties
              설명: 수정된 리소스의 속성.
              type: array
              element:
                type: object
                필드:
                  - name: oldValue
                    설명: 속성의 이전 값.
                    type: string
                  - name: displayName
                    설명: 수정된 속성의 이름.
                    type: string
                  - name: newValue
                    설명: 속성의 새 값.
                    type: string
            - 이름: type
              설명: 리소스 유형(예: 사용자, 그룹, 앱).
              type: string
            - name: administrativeUnits
              유형: json
            - name: groupType
              설명: 그룹 리소스의 유형(해당되는 경우).
              type: string
            description: 'Windows 정의에 따른 사용자 계정 유형(그룹 멤버십). 가능한 값: unknown, standard, power, administrator'
              설명: 리소스 내 사용자의 UPN.
              type: string
      - name: tenantId
        설명: Azure AD 테넌트의 테넌트 ID.
        type: string
      - name: timeGenerated
        설명: 이 로그 항목이 생성된 날짜 및 시간.
        type: timestamp
        timeFormats:
          - rfc3339
      - name: tokenIssuerName
        설명: 토큰을 발급한 기관의 이름.
        type: string
      - name: tokenIssuerType
        설명: 토큰의 발급자 유형.
        type: string
      - name: tokenProtectionStatusDetails
        설명: 토큰 보호 상태에 대한 정보.
        유형: json
      - 이름: type
        type: string
      - name: uniqueTokenIdentifier
        설명: 보안 토큰의 고유 식별자.
        type: string
      - 이름: userAgent
        설명: 클라이언트의 사용자 에이전트 문자열.
        type: string
      - name: userDisplayName
        설명: 사용자의 표시 이름.
        type: string
        지표:
          - username
      - name: userId
        설명: Azure AD의 사용자 객체 ID.
        type: string
      description: 'Windows 정의에 따른 사용자 계정 유형(그룹 멤버십). 가능한 값: unknown, standard, power, administrator'
        설명: 사용자의 UPN.
        type: string
        지표:
          - username
      - name: userType
        type: string
      - name: activity
        설명: 이벤트와 관련된 활동의 이름 또는 유형.
        type: string
      - name: additionalInfo
        설명: 이벤트에 대한 보충 정보.
        type: string
      - name: detectedDateTime
        설명: 위험 또는 디텍션이 처음 관찰된 날짜 및 시간.
        type: timestamp
        timeFormats:
          - rfc3339
      - name: detectionTimingType
        설명: 위험 감지의 타이밍 컨텍스트(예: 실시간, 오프라인).
        type: string
      - name: lastUpdatedDateTime
        설명: 이 이벤트가 마지막으로 업데이트된 날짜 및 시간.
        type: timestamp
        timeFormats:
          - rfc3339
      - name: mitreTechniqueId
        설명: 해당되는 경우 이벤트와 관련된 MITRE ATT&CK 기법 식별자.
        type: string
      - name: riskEventType
        설명: 활동과 관련된 위험 이벤트 유형(예: UnfamiliarLocation).
        type: string
      - name: riskType
        설명: 감지된 위험 유형에 대한 분류.
        type: string
      - name: source
        설명: 이 로그 항목의 발신 Microsoft 서비스 또는 구성 요소.
        type: string
      - name: identity
        설명: 이 중첩 이벤트와 관련된 식별자.
        type: string
      - name: operationName
        설명: 속성 컨텍스트에서의 작업 이름.
        type: string
      - name: resultDescription
        설명: 작업 결과에 대한 더 자세한 설명.
        type: string
      - name: resultType
        설명: 작업의 상위 수준 결과(성공, 실패 등).
        type: string
      - name: C_DeviceId
        설명: 이벤트와 연관된 장치 ID.
        type: string
      - name: C_Sid
        설명: 이벤트와 연관된 보안 식별자(SID).
        type: string
      - name: C_Iat
        설명: 이벤트의 발행 시각 타임스탬프 또는 ID.
        type: string
      - name: C_Idtyp
        설명: 이벤트와 연관된 식별자 유형 코드.
        type: string
      - name: UserPrincipalObjectID
        설명: 사용자 주체의 객체 ID.
        type: string
      - name: __UDI_RequiredFields_EventTime
        설명: 이벤트가 발생한 Unix 타임스탬프.
        type: timestamp
        timeFormats:
          - unix_auto
      - name: __UDI_RequiredFields_RegionScope
        설명: 이벤트의 지역 범위.
        type: string
      - name: __UDI_RequiredFields_TenantId
        설명: UDI 준수를 위해 필요한 테넌트 ID.
        type: string
      - name: __UDI_RequiredFields_UniqueId
        설명: UDI 컨텍스트에서 이벤트의 고유 식별자.
        type: string
      - name: apiVersion
        설명: 작업에 사용된 API 버전.
        type: string
      - name: atContentH
        설명: 추가 토큰 또는 컨텍스트 정보(헤더).
        type: string
      - name: atContentP
        설명: 추가 토큰 또는 컨텍스트 정보(페이로드).
        type: string
      - name: clientAuthMethod
        설명: 사용된 클라이언트 인증 방법(예: 클라이언트 시크릿, 인증서).
        type: string
      - name: clientRequestId
        설명: 클라이언트 요청의 고유 식별자.
        type: string
      - name: durationMs
        설명: 속성 내에서의 작업 지연 시간(밀리초).
        type: string
      - name: identityProvider
        설명: 인증에 관여한 ID 공급자.
        type: string
      - name: operationId
        설명: 작업 식별자.
        type: string
      - 이름: requestMethod
        설명: 작업에 사용된 HTTP 메서드(GET, POST 등).
        type: string
      - 이름: requestUri
        설명: 액세스된 API 또는 리소스의 URI.
        type: string
      - name: responseSizeBytes
        설명: 응답 크기(바이트).
        type: bigint
      - 이름: responseStatusCode
        설명: 응답의 HTTP 상태 코드.
        type: bigint
      - name: roles
        설명: 사용자 또는 애플리케이션에 할당된 역할.
        type: string
      - name: scopes
        설명: 작업에서 요청된 OAuth 범위.
        type: string
      - name: signInActivityId
        설명: 고유한 로그인 활동 식별자.
        type: string
      - name: tokenIssuedAt
        설명: 토큰이 발급된 시각.
        type: timestamp
        timeFormats:
          - rfc3339
      - name: wids
        설명: 관련된 잘 알려진 ID 또는 기타 식별자.
        type: string
      - 이름: requestId
        설명: 고유 요청 식별자.
        type: string
      - name: appOwnerTenantId
        설명: 애플리케이션 소유자의 테넌트 ID.
        type: string
      - name: servicePrincipalCredentialThumbprint
        설명: 서비스 프린시펄이 사용한 자격 증명의 지문.
        type: string
      - name: mfaDetail
        설명: 다중 요소 인증 단계에 대한 세부 정보.
        type: object
        필드:
          - name: authDetail
            설명: 인증 프로세스에 대한 세부 정보.
            type: string
          - name: authMethod
            설명: 사용된 MFA 방법(예: 전화, 앱).
            type: string
  - name: resourceId
    required: true
    설명: 이벤트와 관련된 Azure 리소스의 고유 식별자.
    type: string
  - name: resultDescription
    설명: 이벤트 결과에 대한 추가 컨텍스트 또는 설명.
    type: string
  - name: resultSignature
    설명: 이벤트 결과의 서명 또는 고유 식별자.
    type: string
  - name: resultType
    설명: 성공, 실패 또는 시간 초과와 같은 이벤트의 전반적인 결과.
    type: string
  - name: tenantId
    설명: 이벤트가 발생한 Azure Active Directory 테넌트의 테넌트 ID.
    type: string
  - 이름: time
    required: true
    설명: 이벤트가 발생한 시점의 타임스탬프.
    type: timestamp
    timeFormats:
      - rfc3339
      - '%m/%d/%Y %I:%M:%S %p'
    isEventTime: true