Google Workspace 로그

Panther는 Google Workspace에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 가져올 수 있습니다 Google Workspace (이전에는 G Suite로 알려짐) 로그 이벤트를 다음을 쿼리하여 Google Workspace Reports API. Panther는 60초마다 Reports API를 새 이벤트에 대해 쿼리합니다.

Panther가 로그를 가져오는 Google Workspace 애플리케이션

Panther는 다음 애플리케이션의 Google Workspace 로그를 가져옵니다:

• Access Transparency

• Admin

• Calendar

• Chat

• Chrome

• Classroom

• Context-Aware Access

• Data Studio (Looker Studio)

• Drive

• GCP

• Workspace용 Gemini

• Gmail

• Groups

• Groups Enterprise

• Keep

• Login

• Meet

• Mobile

• Rules

• SAML

• Token

• User Accounts

• Vault

Google Workspace 로그를 Panther에 온보딩하는 방법

Panther가 Google Workspace Reports API에 액세스하려면 Google Cloud 앱을 만들고 구성한 다음, 해당 인증 정보를 Panther에 제공해야 합니다.

사전 요구 사항

아래 단계를 완료하려면 Google 사용자에게 다음 권한이 있어야 합니다:

• 조직의 활동 기록을 읽을 수 있는 권한이 있어야 함

  • 사용자에게 이 권한이 없다면 다음을 따르세요 이 Google Workspace 안내 를 따라 Reports 액세스 권한이 있는 새 역할을 만들고 해당 역할을 사용자에게 할당하세요.

• (가져오기를 활성화할 계획이라면 Google Workspace 사용자 프로필) 사용자 읽기 권한이 있어야 함

1단계: Panther에 새 Google Workspace 소스 만들기

1. Panther Console의 왼쪽 사이드바 메뉴에서 다음을 클릭하세요 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. “Google Workspace”를 검색한 다음 해당 타일을 클릭하세요.

4. 슬라이드아웃 패널에서 다음을 클릭하세요 설정 시작.

5. 다음에서 구성 페이지에서 다음 필드를 구성하세요:

   • 이름: 소스에 대한 설명이 포함된 이름을 입력하세요. 예: 내 Google Workspace 로그.

6. 클릭 설정.

2단계: Google Cloud 앱 만들기 및 구성

Google Cloud 앱을 설정하기 전에 인증 방법을 선택해야 합니다. 다음을 사용할 수 있습니다 서비스 계정, 워크로드 ID 연동또는 OAuth —아래 상단 탭을 참조하세요.

서비스 계정

1. Google Cloud에서 새 앱을 만드세요:

   1. 다음에 로그인하세요 Google Cloud 콘솔.

   2. 클릭 + 프로젝트 만들기.

   3. 설명적인 프로젝트 이름 (예: Panther Integration)를 입력하고 위치.

   4. 클릭 만들기.

      • 프로젝트를 만드는 데 몇 초가 걸립니다. 생성이 완료되면 페이지에 알림이 표시됩니다.

   5. 왼쪽 사이드바 메뉴에서 세 줄 아이콘을 클릭한 다음 클라우드 개요 > 대시보드.

   6. 방금 만든 프로젝트가 페이지 상단의 드롭다운에서 이미 선택되어 있지 않다면, 드롭다운을 열어 선택하세요.

2. Admin SDK API를 활성화하세요:

   1. 검색창에 "Admin SDK API"를 입력하고 선택하세요 Admin SDK API.

   2. 다음에서 Admin SDK API 페이지에서 다음을 클릭하세요 활성화.

      • 새 화면으로 이동합니다.

3. 새 Google Cloud 서비스 계정을 만드세요.

4. JSON 키 파일을 생성하세요 해당 서비스 계정에 대해:

   1. 다음에서 IAM 및 관리자 섹션에서 다음을 클릭하세요 서비스 계정.

   2. 방금 만든 서비스 계정 행에서 다음을 클릭하세요 작업그다음 키 관리.

      
   3. 클릭 키 추가 > 새 키 만들기.

      
   4. 아래 키 유형에서 다음을 선택하세요 JSON그다음 다음을 클릭하세요 만들기.

      • JSON 파일이 다운로드됩니다.

   이 파일은 안전한 장소에 보관하세요. 이 서비스 계정의 인증 정보가 포함되어 있습니다.

5. 도메인 전체 위임을 활성화하세요:

   1. 방금 만든 서비스 계정 행에서 다음을 클릭하세요 작업그다음 세부정보 관리.

      
   2. 클릭 고급 설정그다음 다음을 복사하세요 클라이언트 ID.

      
   3. 클릭 Google Workspace 관리자 콘솔 보기.

   4. 관리자 계정으로 로그인하세요.

   5. 클릭 보안 → 액세스 및 데이터 제어 → API 제어.

   6. 클릭 도메인 전체 위임 관리.

   7. 클릭 새로 추가.

   8. 필드를 입력하세요:

      1. 클라이언트 ID: 위에서 복사한 클라이언트 ID를 입력하세요.

      2. OAuth 범위 (쉼표로 구분, 공백 없음): 다음을 입력하세요 https://www.googleapis.com/auth/admin.reports.audit.readonly

         • (선택 사항) 사용자 프로필이 필요하면 쉼표로 구분하여 다음도 입력하세요 https://www.googleapis.com/auth/admin.directory.user.readonly

   9. 클릭 승인.

6. 다음을 선택하세요 Google Admin 사용자 데이터를 가져올 때 가장할 계정입니다. 두 가지 옵션이 있습니다:

   • 슈퍼관리자 계정을 사용: 설정은 더 간단하지만 꼭 필요한 수준보다 더 넓은 권한이 부여됩니다.

   • 최소 권한 원칙을 따름(권장): 필요한 권한만 가진 전용 Google Workspace 사용자를 만들고 사용하세요

     1. 최소 권한으로 Google Workspace에서 사용자 지정 관리자 역할을 만드세요.

     2. 역할에 필요한 최소 권한을 부여하세요:

        1. 필수: Reports → Audit/Usage 읽기 액세스

           
        2. 선택 사항: Directory → Users 읽기 액세스(사용자 프로필을 사용하는 경우)

           
        3. 선택 사항: Vault → Google Vault 모든 로그 액세스

           
     3. 이 사용자 지정 역할을 전용 Google Workspace 사용자에게 할당하세요.

7. Panther에서 소스 설정을 완료하세요:

   1. 아래 가져오기 구성 및 JSON 키 파일을 제공하고 JSON 키 파일을 업로드하세요.

   2. 다음에서 관리자 사용자 이메일 필드에 다음의 이메일 주소를 입력하세요 Google Admin 사용자 서비스 계정이 가장할 대상(이전 단계에서 선택한 계정).

      
   3. 다음에서 보강 페이지에서 다음을 활성화하려면 Google Workspace 사용자 프로필의 오른쪽에 있는 사용자 프로필토글을 클릭하여 ON.

      • 다음을 확인하세요 Google Workspace 프로필 활성화의 사전 요구 사항.

      • 다음을 토글했다면 사용자 프로필 ON다음도 설정하세요 새로 고침 주기(분). 이는 Panther가 Google Workspace에 저장된 정보로 프로필 데이터를 업데이트하는 주기를 의미합니다.

   4. 클릭 설정. 성공 화면으로 이동합니다:

      

      • 선택적으로 하나 이상의 디텍션 팩.

      • 아직 하지 않았다면 다음을 클릭하세요 스키마 연결 또는 추론 소스에 하나 이상의 스키마를 연결하세요.

      • 다음 처리된 이벤트가 없을 때 알러트를 트리거 설정의 기본값은 예입니다. 일정 시간이 지난 후 로그 소스에서 데이터가 더 이상 유입되지 않으면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 기간은 구성 가능하며 기본값은 24시간입니다.

워크로드 ID 연동

OAuth

Panther 관리 디텍션

다음을 참조하세요 Panther 관리 Google Workspace용 룰은 다음에 있습니다 panther-analysis GitHub 저장소 (다음으로 시작하는 디렉터리에서 gsuite_).

지원되는 로그 유형

Panther는 Google의 다음에서 데이터를 가져옵니다 Reports Activities API 여기에는 관리자 활동, 로그인 활동, 토큰 활동, Google Drive 활동 등이 포함됩니다.

이 데이터는 다음 두 형식으로 저장됩니다 GSuite.ActivityEvent 및 GSuite.Reports 로그 유형—이 두 스키마는 같은 데이터를 포함하지만, 다음을 사용하는 것이 권장됩니다 Gsuite.ActivityEvent 이벤트를 평탄화하여 쿼리와 디텍션에서 필드를 참조하기 쉽게 만들기 때문입니다.

두 스키마는 같은 데이터를 캡처하지만, 데이터 레이크에 저장하는 방식이 다릅니다. 예를 들어, GSuite.Reports 여러 이벤트가 하나의 페이로드로 묶이기 때문에 데이터 레이크의 로그 수가 약간 더 적을 수 있습니다. 반면 GSuite.ActivityEvent에서는 각 이벤트가 Panther의 단일 이벤트가 됩니다. 이 동작에 대한 자세한 내용은 다음 지식 기반 문서에서 확인할 수 있습니다: Panther 로그 유형 GSuite.Reports와 GSuite.ActivityEvent의 차이점은 무엇인가요?

Google Workspace 로그는 다음 두 곳 모두에 저장되지만 GSuite.ActivityEvent 및 GSuite.Reports 데이터 레이크의 표에 저장되며, 수집 할당량에는 한 번만 계산됩니다.

GSuite.ActivityEvent

Admin 콘솔 애플리케이션 또는 Google Drive 애플리케이션과 같이 특정 계정 및 애플리케이션의 활동 이벤트를 포함합니다.

참조: Reports API Activities List에 대한 Google Workspace 문서.

필드:
    - name: id
      required: true
      description: 각 활동 기록의 고유 식별자.
      type: object
      필드:
        - name: applicationName
          description: 이벤트가 속한 애플리케이션 이름.
          type: string
        - name: customerId
          description: Google Workspace 계정의 고유 식별자.
          type: string
        - name: time
          description: 활동이 발생한 시간.
          type: timestamp
          timeFormat: rfc3339
          isEventTime: true
        - name: uniqueQualifier
          description: 여러 이벤트의 시간이 같을 경우의 고유 식별자.
          type: string
    - name: actor
      description: 작업을 수행한 사용자.
      type: object
      필드:
        - name: email
          description: 행위자의 기본 이메일 주소입니다. 행위자와 연결된 이메일 주소가 없으면 없을 수 있습니다.
          type: string
          indicators:
            - email
        - name: profileId
          description: 행위자의 고유 Google Workspace 프로필 ID입니다. 행위자가 Google Workspace 사용자가 아니면 없을 수 있습니다.
          type: string
        - name: callerType
          description: 행위자의 유형.
          type: string
        - name: key
          description: callerType이 KEY일 때만 존재합니다. OAuth 2LO API 요청의 요청자 consumer_key 또는 로봇 계정 식별자일 수 있습니다.
          type: string
    - name: kind
      required: true
      description: API 리소스의 유형입니다. 활동 보고서의 경우 값은 reports#activities입니다.
      type: string
    - name: ownerDomain
      description: 보고서의 이벤트에 의해 영향을 받는 도메인입니다. 예를 들어 Admin 콘솔의 도메인 또는 Drive 애플리케이션의 문서 소유자 도메인입니다.
      type: string
      indicators:
        - domain
    - name: ipAddress
      description: 작업을 수행한 사용자의 IP 주소입니다. Google Workspace에 로그인할 때의 인터넷 프로토콜(IP) 주소이며 사용자의 실제 위치를 반영할 수도 있고 반영하지 않을 수도 있습니다. 예를 들어 IP 주소는 사용자의 프록시 서버 주소나 가상 사설망(VPN) 주소일 수 있습니다. API는 IPv4와 IPv6를 지원합니다.
      type: string
      indicators:
        - ip
    - name: type
      description: 이벤트 유형입니다. 관리자가 변경하는 Google Workspace 서비스 또는 기능은 type 속성에서 식별되며, 이 속성은 eventName 속성을 사용하여 이벤트를 식별합니다. API의 type 범주 전체 목록은 위의 applicationName 아래에 있는 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
      type: string
    - name: name
      description: 이벤트 이름입니다. 이는 API가 보고하는 활동의 특정 이름입니다. 그리고 각 eventName은 API가 이벤트 유형으로 구성하는 특정 Google Workspace 서비스 또는 기능과 관련이 있습니다.
      type: string
    - name: parameters
      description: 다양한 애플리케이션의 매개변수 값 쌍입니다. eventName 매개변수에 대한 자세한 내용은 위의 applicationName 아래에 있는 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
      type: json

GSuite.Reports

다음을 사용하는 것을 권장합니다 GSuite.ActivityEvent 대신 GSuite.Reports. 두 스키마는 같은 데이터를 포함하지만, 다음의 구조는 GSuite.ActivityEvent 더 평탄하여 쿼리와 디텍션에서 참조하기 더 쉽습니다.

Admin 콘솔 애플리케이션 또는 Google Drive 애플리케이션과 같이 특정 계정 및 애플리케이션의 활동 이벤트를 포함합니다.

참조: Reports API Activities List에 대한 Google Workspace 문서.

schema: GSuite.Reports
description: 
referenceURL: https://developers.google.com/admin-sdk/reports/v1/reference/activities/list#response
필드:
    - name: id
      required: true
      description: 각 활동 기록의 고유 식별자.
      type: object
      필드:
        - name: applicationName
          description: 이벤트가 속한 애플리케이션 이름.
          type: string
        - name: customerId
          description: Google Workspace 계정의 고유 식별자.
          type: string
        - name: time
          description: 활동이 발생한 시간.
          type: timestamp
          timeFormat: rfc3339
          isEventTime: true
        - name: uniqueQualifier
          description: 여러 이벤트의 시간이 같을 경우의 고유 식별자.
          type: string
    - name: actor
      description: 작업을 수행한 사용자.
      type: object
      필드:
        - name: email
          description: 행위자의 기본 이메일 주소입니다. 행위자와 연결된 이메일 주소가 없으면 없을 수 있습니다.
          type: string
          indicators:
            - email
        - name: profileId
          description: 행위자의 고유 Google Workspace 프로필 ID입니다. 행위자가 Google Workspace 사용자가 아니면 없을 수 있습니다.
          type: string
        - name: callerType
          description: 행위자의 유형.
          type: string
        - name: key
          description: callerType이 KEY일 때만 존재합니다. OAuth 2LO API 요청의 요청자 consumer_key 또는 로봇 계정 식별자일 수 있습니다.
          type: string
    - name: kind
      required: true
      description: API 리소스의 유형입니다. 활동 보고서의 경우 값은 reports#activities입니다.
      type: string
    - name: ownerDomain
      description: 보고서의 이벤트에 의해 영향을 받는 도메인입니다. 예를 들어 Admin 콘솔의 도메인 또는 Drive 애플리케이션의 문서 소유자 도메인입니다.
      type: string
      indicators:
        - domain
    - name: ipAddress
      description: 작업을 수행한 사용자의 IP 주소입니다. Google Workspace에 로그인할 때의 인터넷 프로토콜(IP) 주소이며 사용자의 실제 위치를 반영할 수도 있고 반영하지 않을 수도 있습니다. 예를 들어 IP 주소는 사용자의 프록시 서버 주소나 가상 사설망(VPN) 주소일 수 있습니다. API는 IPv4와 IPv6를 지원합니다.
      type: string
      indicators:
        - ip
    - name: events
      description: 보고서의 활동 이벤트.
      type: array
      element:
        type: object
        필드:
            - name: type
              description: 이벤트 유형입니다. 관리자가 변경하는 Google Workspace 서비스 또는 기능은 type 속성에서 식별되며, 이 속성은 eventName 속성을 사용하여 이벤트를 식별합니다. API의 type 범주 전체 목록은 위의 applicationName 아래에 있는 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
              type: string
            - name: name
              description: 이벤트 이름입니다. 이는 API가 보고하는 활동의 특정 이름입니다. 그리고 각 eventName은 API가 이벤트 유형으로 구성하는 특정 Google Workspace 서비스 또는 기능과 관련이 있습니다.
              type: string
            - name: parameters
              description: 다양한 애플리케이션의 매개변수 값 쌍입니다. eventName 매개변수에 대한 자세한 내용은 위의 applicationName 아래에 있는 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
              type: array
              element:
                type: object
                필드:
                    - name: name
                      description: 매개변수의 이름.
                      type: string
                    - name: value
                      description: 매개변수의 문자열 값.
                      type: string
                    - name: intValue
                      description: 매개변수의 정수 값.
                      type: bigint
                    - name: boolValue
                      description: 매개변수의 불리언 값.
                      type: boolean
                    - name: multiValue
                      description: 매개변수의 문자열 값들.
                      type: array
                      element:
                        type: string
                    - name: multiIntValue
                      description: 매개변수의 정수 값들.
                      type: array
                      element:
                        type: bigint
                    - name: messageValue
                      description: '이 매개변수와 연결된 중첩된 매개변수 값 쌍입니다. 매개변수의 복합 값 유형은 매개변수 값 목록으로 반환됩니다. 예를 들어, address 매개변수는 [{parameter: [{name: city, value: abc}]}]와 같은 값을 가질 수 있습니다]'
                      type: json
                    - name: multiMessageValue
                      description: messageValue 객체의 목록.
                      type: array
                      element:
                        type: json