Google Workspace 로그

Panther는 Google Workspace에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 가져올 수 있습니다 Google Workspace (이전 명칭: G Suite) 로그 이벤트를 쿼리하여 Google Workspace 보고서 API. Panther는 새 이벤트를 가져오기 위해 보고서 API를 60초마다 쿼리합니다.

Panther가 로그를 가져오는 Google Workspace 애플리케이션

Panther는 다음 애플리케이션에 대한 Google Workspace 로그를 가져옵니다:

• 액세스 투명성

• 관리자

• 캘린더

• 채팅

• 크롬

• 컨텍스트 인식 액세스

• 데이터 스튜디오(룩커 스튜디오)

• 드라이브

• GCP

• 지메일

• 그룹

• 그룹 엔터프라이즈

• 킵

• 로그인

• 미트

• 모바일

• 룰

• SAML

• 사용자 계정

• 토큰

Google Workspace 로그를 Panther에 온보딩하는 방법

Panther가 Google Workspace 보고서 API에 액세스하려면 Google Cloud 앱을 생성하고 구성한 후 해당 자격 증명을 Panther에 제공해야 합니다.

사전 요구 사항

아래 단계를 완료하려면 귀하의 Google 사용자는 다음을 충족해야 합니다:

• 조직의 활동 기록을 읽을 수 있는 권한이 있어야 합니다

  • 사용자에게 이 권한이 없는 경우, 다음을 따르세요 이 Google Workspace 지침 보고서 액세스가 있는 새 역할을 생성하고 해당 역할을 사용자에게 할당합니다.

• (만약 가져오기를 활성화할 계획이라면 Google Workspace 사용자 프로필) 사용자 읽기 권한을 보유해야 합니다

1단계: Panther에서 새로운 Google Workspace 소스 생성

1. Panther 콘솔의 왼쪽 사이드바 메뉴에서 클릭하세요 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. “Google Workspace”를 검색한 후 해당 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. 페이지에서 구성 페이지에서 다음 필드를 구성하세요:

   • 이름: 소스의 설명적인 이름을 입력하세요 예: 내 Google Workspace 로그.

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Panther 콘솔에서 필드에 값을 입력하세요:

2단계: Google Cloud 앱 생성 및 구성

Google Cloud 앱을 설정하기 전에 인증 방법을 선택해야 합니다. 다음을 사용할 수 있습니다 서비스 계정 이전에 생성한 Snowflake 사용자 이름, 예를 들면 OAuth —아래 최상위 탭을 참조하세요.

서비스 계정 인증

1. Google Cloud에서 새 앱 생성:

   1. 다음에 로그인하세요 Google Cloud 콘솔.

   2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. + 프로젝트 생성.

   3. 설명적인 프로젝트 이름 (예: Panther 통합) 및 다음을 선택하세요 위치.

   4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Python 함수를 입력한 다음.

      • 프로젝트를 생성하는 데 몇 초가 걸립니다. 생성되면 페이지에 알림이 표시됩니다.

   5. 왼쪽 사이드바 메뉴에서 세 줄 아이콘을 클릭한 다음 클라우드 개요 > 대시보드.

   6. 방금 생성한 프로젝트가 페이지 상단의 드롭다운에 이미 선택되어 있지 않으면 드롭다운을 열어 선택하세요.

2. Admin SDK API 활성화:

   1. 검색창에 "Admin SDK API"를 입력하고 선택하세요 Admin SDK API.

   2. 페이지에서 Admin SDK API 페이지에서 활성화.

      • 새 화면으로 리디렉션됩니다.

3. 새 Google Cloud 서비스 계정 생성.

4. JSON 키 파일 생성 서비스 계정에 대해:

   1. 일반 구성 IAM 및 관리자 섹션에서, 클릭하여 서비스 계정.

   2. 방금 생성한 서비스 계정 행에서 클릭하세요 Actions을(를). (비-JSON 로그를 업로드했고 키 관리.

      
   3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 키 추가 > 새 키 생성.

      
   4. 에서 키 유형SNS 주제 JSON그런 다음 왼쪽에서 클릭하세요 Python 함수를 입력한 다음.

      • JSON 파일이 다운로드됩니다.

   이 파일에는 해당 서비스 계정의 자격 증명이 포함되어 있으므로 안전한 장소에 보관하세요.

5. 도메인 전체 위임 활성화:

   1. 방금 생성한 서비스 계정 행에서 클릭하세요 Actions을(를). (비-JSON 로그를 업로드했고 세부정보 관리.

      
   2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 고급 설정, 그런 다음 클라이언트 ID.

      
   3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Google Workspace 관리 콘솔 보기.

   4. 관리자 계정으로 로그인하세요.

   5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 보안 → 액세스 및 데이터 제어 → API 제어.

   6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 도메인 전체 위임 관리.

   7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 추가.

   8. 필드를 채우십시오:

      1. 클라이언트 ID: 위에서 복사한 클라이언트 ID를 입력하세요.

      2. OAuth 범위 (쉼표로 구분, 공백 없음): 입력하세요 https://www.googleapis.com/auth/admin.reports.audit.readonly

         • (선택 사항) 사용자 프로필이 필요한 경우(쉼표로 구분) 다음도 입력하세요 https://www.googleapis.com/auth/admin.directory.user.readonly

   9. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 인증(Authorize).

6. Panther에서 소스 설정 마무리:

   1. 에서 가져오기 구성 및 JSON 키파일 제공, JSON 키 파일을 업로드하세요.

   2. 일반 구성 관리자 사용자 이메일 필드에 도메인 전체 위임을 활성화한 이메일 주소를 입력하세요.

   3. 페이지에서 인리치먼트 페이지에서 활성화하려면 Google Workspace 사용자 프로필의 오른쪽에 사용자 프로필, 토글을 클릭하세요 켜기.

      • 다음 사항을 기록하세요 Google Workspace 프로필 활성화 전제 조건.

      • 을(를) 전환한 경우 사용자 프로필 켜기, 또한 새로고침 기간(분)를 설정하세요. 이는 Panther가 Google Workspace에 저장된 내용으로 프로필 데이터를 업데이트할 빈도를 나타냅니다.

   4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정. 성공 화면으로 이동합니다:

      

      • 성공 화면으로 이동됩니다: 선택적으로 하나 이상의.

      • 입니다. 데이터가 일정 기간 이후에 로그 소스에서 흐르지 않으면 알림을 받으므로 이 옵션을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다. 아직 하지 않았다면, 클릭하세요 스키마 첨부 또는 추론

      • 사용자를 사용할 것이며, 가 활성화될 수 있습니다 "이벤트가 처리되지 않을 때 알러트를 트리거" 설정의 기본값은예

OAuth 인증

Panther 관리 디텍션

참조 Panther 관리 (접두사로 panther-analysis GitHub 리포지토리 gsuite_ Panther는 Google의).

지원되는 로그 유형

보고서 활동 API 에서 데이터를 가져옵니다. 여기에는 관리자 활동, 로그인 활동, 토큰 활동, Google 드라이브 활동 등이 포함됩니다.

이 데이터는 다음 두 가지로 저장됩니다 GSuite.ActivityEvent 와 GSuite.Reports 로그 유형 — 이 두 스키마는 동일한 데이터를 포함하지만, 쿼리 및 디텍션에서 필드를 참조하기 쉽게 이벤트를 평탄화하기 때문에 Gsuite.ActivityEvent 를 사용하는 것이 권장됩니다.

두 스키마가 동일한 데이터를 캡처하지만 데이터 레이크에 저장하는 방식이 다릅니다. 예를 들어, GSuite.Reports 는 여러 이벤트가 하나의 페이로드에 래핑되기 때문에 데이터 레이크에 약간 적은 수의 로그가 있을 수 있습니다. 반면 GSuite.ActivityEvent에서는 각 이벤트가 Panther에서 단일 이벤트가 됩니다. 이 동작에 대한 자세한 정보는 지식 기반 문서에서 확인할 수 있습니다: Panther 로그 유형 GSuite.Reports와 GSuite.ActivityEvent의 차이점은 무엇인가요?

Google Workspace 로그가 둘 다 GSuite.ActivityEvent 와 GSuite.Reports 데이터 레이크의 테이블에 저장되더라도 데이터 수집 할당량에는 한 번만 계산됩니다.

GSuite.ActivityEvent

특정 계정 및 애플리케이션(예: 관리자 콘솔 애플리케이션 또는 Google 드라이브 애플리케이션)에 대한 활동 이벤트를 포함합니다.

참고: 보고서 활동 목록에 대한 Google Workspace 문서입니다.

필드:
    - 이름: id
      required: true
      설명: 각 활동 기록의 고유 식별자입니다.
      type: object
      필드:
        - 이름: applicationName
          설명: 이벤트가 속한 애플리케이션 이름입니다.
          type: string
        - 이름: customerId
          설명: Google Workspace 계정의 고유 식별자입니다.
          type: string
        - 이름: time
          설명: 활동이 발생한 시간입니다.
          type: timestamp
          시간 형식: rfc3339
          isEventTime: true
        - 이름: uniqueQualifier
          설명: 여러 이벤트가 동일한 시간에 발생한 경우의 고유 식별자입니다.
          type: string
    - name: actor
      설명: 작업을 수행한 사용자입니다.
      type: object
      필드:
        - 이름: email
          설명: 행위자의 기본 이메일 주소입니다. 행위자에 이메일 주소가 연결되어 있지 않으면 없을 수 있습니다.
          type: string
          지표:
            - 이메일
        - 이름: profileId
          설명: 행위자의 고유한 Google Workspace 프로필 ID입니다. 행위자가 Google Workspace 사용자가 아닌 경우 없을 수 있습니다.
          type: string
        - 이름: callerType
          설명: 행위자의 유형입니다.
          type: string
        - 이름: key
          설명: callerType이 KEY일 때만 존재합니다. OAuth 2LO API 요청의 요청자 consumer_key이거나 로봇 계정 식별자일 수 있습니다.
          type: string
    - 이름: kind
      required: true
      설명: API 리소스의 유형입니다. 활동 보고서의 경우 값은 reports#activities입니다.
      type: string
    - 이름: ownerDomain
      설명: 보고서의 이벤트에 영향을 받는 도메인입니다. 예: 관리자 콘솔 도메인 또는 드라이브 애플리케이션의 문서 소유자의 도메인.
      type: string
      지표:
        - 도메인
    - 이름: ipAddress
      설명: 작업을 수행한 사용자의 IP 주소입니다. 이는 Google Workspace에 로그인할 때의 인터넷 프로토콜(IP) 주소로 사용자의 실제 물리적 위치를 반영하지 않을 수 있습니다. 예를 들어 IP 주소는 사용자의 프록시 서버 주소이거나 가상 사설망(VPN) 주소일 수 있습니다. API는 IPv4 및 IPv6을 지원합니다.
      type: string
      지표:
        - ip
    - 이름: type
      설명: 이벤트의 유형입니다. 관리자가 변경한 Google Workspace 서비스 또는 기능은 type 속성으로 식별되며 eventName 속성을 사용하여 이벤트를 식별합니다. API의 전체 유형 카테고리 목록은 위의 applicationName 섹션의 다양한 애플리케이션에 대한 이벤트 이름 목록을 참조하세요.
      type: string
    - 이름: name
      설명: 이벤트의 이름입니다. 이는 API가 보고하는 활동의 특정 이름입니다. 각 eventName은 API가 이벤트 유형으로 구성한 특정 Google Workspace 서비스 또는 기능과 관련됩니다.
      type: string
    - 이름: parameters
      설명: 다양한 애플리케이션에 대한 매개변수 값 쌍입니다. eventName 매개변수에 대한 자세한 내용은 위의 applicationName 섹션의 다양한 애플리케이션에 대한 이벤트 이름 목록을 참조하세요.
      유형: json

GSuite.Reports

다음 사용을 권장합니다 GSuite.ActivityEvent 대신 GSuite.Reports. 두 스키마가 동일한 데이터를 포함하지만, GSuite.ActivityEvent 의 구조가 더 평탄하여 쿼리 및 디텍션에서 참조하기 더 쉽습니다.

특정 계정 및 애플리케이션(예: 관리자 콘솔 애플리케이션 또는 Google 드라이브 애플리케이션)에 대한 활동 이벤트를 포함합니다.

참고: 보고서 활동 목록에 대한 Google Workspace 문서입니다.

스키마: GSuite.Reports
설명: 
참조 URL: https://developers.google.com/admin-sdk/reports/v1/reference/activities/list#response
필드:
    - 이름: id
      required: true
      설명: 각 활동 기록의 고유 식별자입니다.
      type: object
      필드:
        - 이름: applicationName
          설명: 이벤트가 속한 애플리케이션 이름입니다.
          type: string
        - 이름: customerId
          설명: Google Workspace 계정의 고유 식별자입니다.
          type: string
        - 이름: time
          설명: 활동이 발생한 시간입니다.
          type: timestamp
          시간 형식: rfc3339
          isEventTime: true
        - 이름: uniqueQualifier
          설명: 여러 이벤트가 동일한 시간에 발생한 경우의 고유 식별자입니다.
          type: string
    - name: actor
      설명: 작업을 수행한 사용자입니다.
      type: object
      필드:
        - 이름: email
          설명: 행위자의 기본 이메일 주소입니다. 행위자에 이메일 주소가 연결되어 있지 않으면 없을 수 있습니다.
          type: string
          지표:
            - 이메일
        - 이름: profileId
          설명: 행위자의 고유한 Google Workspace 프로필 ID입니다. 행위자가 Google Workspace 사용자가 아닌 경우 없을 수 있습니다.
          type: string
        - 이름: callerType
          설명: 행위자의 유형입니다.
          type: string
        - 이름: key
          설명: callerType이 KEY일 때만 존재합니다. OAuth 2LO API 요청의 요청자 consumer_key이거나 로봇 계정 식별자일 수 있습니다.
          type: string
    - 이름: kind
      required: true
      설명: API 리소스의 유형입니다. 활동 보고서의 경우 값은 reports#activities입니다.
      type: string
    - 이름: ownerDomain
      설명: 보고서의 이벤트에 영향을 받는 도메인입니다. 예: 관리자 콘솔 도메인 또는 드라이브 애플리케이션의 문서 소유자의 도메인.
      type: string
      지표:
        - 도메인
    - 이름: ipAddress
      설명: 작업을 수행한 사용자의 IP 주소입니다. 이는 Google Workspace에 로그인할 때의 인터넷 프로토콜(IP) 주소로 사용자의 실제 물리적 위치를 반영하지 않을 수 있습니다. 예를 들어 IP 주소는 사용자의 프록시 서버 주소이거나 가상 사설망(VPN) 주소일 수 있습니다. API는 IPv4 및 IPv6을 지원합니다.
      type: string
      지표:
        - ip
    - 이름: events
      설명: 보고서의 활동 이벤트입니다.
      type: array
      element:
        type: object
        필드:
            - 이름: type
              설명: 이벤트의 유형입니다. 관리자가 변경한 Google Workspace 서비스 또는 기능은 type 속성으로 식별되며 eventName 속성을 사용하여 이벤트를 식별합니다. API의 전체 유형 카테고리 목록은 위의 applicationName 섹션의 다양한 애플리케이션에 대한 이벤트 이름 목록을 참조하세요.
              type: string
            - 이름: name
              설명: 이벤트의 이름입니다. 이는 API가 보고하는 활동의 특정 이름입니다. 각 eventName은 API가 이벤트 유형으로 구성한 특정 Google Workspace 서비스 또는 기능과 관련됩니다.
              type: string
            - 이름: parameters
              설명: 다양한 애플리케이션에 대한 매개변수 값 쌍입니다. eventName 매개변수에 대한 자세한 내용은 위의 applicationName 섹션의 다양한 애플리케이션에 대한 이벤트 이름 목록을 참조하세요.
              type: array
              element:
                type: object
                필드:
                    - 이름: name
                      설명: 매개변수의 이름입니다.
                      type: string
                    - 이름: value
                      설명: 매개변수의 문자열 값입니다.
                      type: string
                    - 이름: intValue
                      설명: 매개변수의 정수 값입니다.
                      type: bigint
                    - 이름: boolValue
                      설명: 매개변수의 불리언 값입니다.
                      유형: boolean
                    - 이름: multiValue
                      설명: 매개변수의 문자열 값들입니다.
                      type: array
                      element:
                        type: string
                    - 이름: multiIntValue
                      설명: 매개변수의 정수 값들입니다.
                      type: array
                      element:
                        type: bigint
                    - 이름: messageValue
                      설명: '이 매개변수와 연결된 중첩된 매개변수 값 쌍입니다. 매개변수의 복합 값 유형은 매개변수 값의 목록으로 반환됩니다. 예를 들어 address 매개변수는 [{parameter: [{name: city, value: abc}]}]와 같은 값을 가질 수 있습니다.'
                      유형: json
                    - 이름: multiMessageValue
                      설명: messageValue 객체들의 목록입니다.
                      type: array
                      element:
                        유형: json