Google Workspace 로그

Panther는 Google Workspace에서 직접 로그를 가져오는 것을 지원합니다

개요

Panther는 가져올 수 있습니다 Google Workspace (이전 명칭 G Suite) 로그 이벤트를 Google Workspace Reports API. Panther는 새 이벤트를 60초마다 Reports API에 쿼리합니다.

Panther가 로그를 가져오는 Google Workspace 애플리케이션

Panther는 다음 애플리케이션에 대해 Google Workspace 로그를 가져옵니다:

• 액세스 투명성

• 관리자

• 캘린더

• 채팅

• Chrome

• Classroom

• 컨텍스트 인식 액세스

• Data Studio (Looker Studio)

• 드라이브

• GCP

• Gemini for Workspace

• Gmail

• 그룹

• 그룹 엔터프라이즈

• Keep

• 로그인

• Meet

• 모바일

• 룰

• SAML

• 토큰

• 사용자 계정

• Vault

Google Workspace 로그를 Panther에 온보딩하는 방법

Panther가 Google Workspace Reports API에 액세스하려면 Google Cloud 앱을 생성 및 구성하고 해당 자격 증명을 Panther에 제공해야 합니다.

사전 요구 조건

아래 단계를 완료하려면 귀하의 Google 사용자는 다음을 수행할 수 있어야 합니다:

• 조직의 활동 기록을 읽을 수 있는 권한이 부여되어야 합니다

  • 사용자에게 이 권한이 없는 경우, 다음 지침을 따르십시오 이 Google Workspace 지침 새 역할을 만들어 Reports 액세스 권한을 부여하고 해당 역할을 사용자에게 할당하십시오.

• (다음 기능을 활성화할 계획이라면 Google Workspace 사용자 프로필) 사용자 읽기 권한을 보유해야 합니다

1단계: Panther에서 새 Google Workspace 소스 생성

1. Panther 콘솔의 왼쪽 사이드바 메뉴에서 클릭하세요 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. “Google Workspace”를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. 에서 구성 페이지에서 다음 필드를 구성합니다:

   • 이름: 소스에 대한 설명적인 이름을 입력하세요. 예: 내 Google Workspace 로그.

6. 클릭 설정.

2단계: Google Cloud 앱 생성 및 구성

Google Cloud 앱을 설정하기 전에 인증 방법을 선택해야 합니다. 다음 중 하나를 사용할 수 있습니다: 서비스 계정, Workload Identity Federation또는 OAuth —아래 최상단 탭을 참조하세요.

서비스 계정

1. Google Cloud에서 새 앱을 생성합니다:

   1. 에 로그인하세요 Google Cloud 콘솔.

   2. 클릭 + 프로젝트 생성.

   3. 설명적인 프로젝트 이름 (예: Panther 통합) 및 위치.

   4. 클릭 생성.

      • 프로젝트 생성에는 몇 초가 걸립니다. 생성되면 페이지에 알림이 표시됩니다.

   5. 왼쪽 사이드바 메뉴에서 세 줄 아이콘을 클릭한 다음 클라우드 개요 > 대시보드.

   6. 방금 생성한 프로젝트가 페이지 상단 드롭다운에 선택되어 있지 않다면 드롭다운을 열어 선택하세요.

2. Admin SDK API를 활성화하세요:

   1. 검색창에 "Admin SDK API"를 입력하고 선택합니다 Admin SDK API.

   2. 에서 Admin SDK API 페이지에서 클릭하세요 사용 설정.

      • 새 화면으로 리디렉션됩니다.

3. 새 Google Cloud 서비스 계정 생성.

4. JSON 키 파일 생성 서비스 계정용:

   1. 에서 IAM 및 관리자 섹션에서 클릭하세요 서비스 계정.

   2. 방금 생성한 서비스 계정의 행에서 클릭하세요 작업, 그런 다음 키 관리.

      
   3. 클릭 키 추가 > 새 키 생성.

      
   4. 에서 키 유형, 선택하세요 JSON, 그런 다음 클릭하세요 생성.

      • JSON 파일이 다운로드됩니다.

   이 파일은 서비스 계정의 자격 증명을 포함하고 있으므로 안전한 장소에 보관하세요.

5. 도메인 전체 위임 활성화:

   1. 방금 생성한 서비스 계정의 행에서 클릭하세요 작업, 그런 다음 세부정보 관리.

      
   2. 클릭 고급 설정, 그런 다음 클라이언트 ID.

      
   3. 클릭 보기 Google Workspace 관리자 콘솔.

   4. 관리자 계정으로 로그인하세요.

   5. 클릭 보안 → 액세스 및 데이터 제어 → API 컨트롤.

   6. 클릭 도메인 전체 위임 관리.

   7. 클릭 새로 추가.

   8. 필드를 작성하세요:

      1. 클라이언트 ID: 위에서 복사한 클라이언트 ID를 입력하세요.

      2. OAuth 범위 (쉼표로 구분, 공백 없음): 다음을 입력하세요 https://www.googleapis.com/auth/admin.reports.audit.readonly

         • (선택 사항) 사용자 프로필을 원하면 (쉼표로 구분하여) 또한 입력하세요 https://www.googleapis.com/auth/admin.directory.user.readonly

   9. 클릭 승인.

6. 데이터를 검색할 때 대리할 Google 관리자 사용자 를 선택하세요. 두 가지 옵션이 있습니다 :

   • SuperAdmin 계정 사용: 설정이 더 간단하지만 필요한 것보다 더 넓은 권한을 부여합니다.

   • 최소 권한 원칙을 따르세요(권장): 필요한 권한만 가진 전용 Google Workspace 사용자를 생성하고 사용합니다

     1. 필요 최소 권한으로 Google Workspace에서 사용자 지정 관리자 역할 생성.

     2. 역할에 최소한의 권한을 부여하세요:

        1. 필수: Reports → 감사/사용량 읽기 권한

           
        2. 선택 사항: 디렉터리 → 사용자 읽기 권한(사용자 프로필 사용 시)

           
        3. 선택 사항: Vault → Google Vault 모든 로그 액세스

           
     3. 이 사용자 지정 역할을 전용 Google Workspace 사용자에게 할당하세요.

7. Panther에서 소스 설정 마무리:

   1. 에서 가져오기 구성 및 JSON 키 파일 제공, JSON 키 파일을 업로드하세요.

   2. 에서 관리자 사용자 이메일 필드에 서비스 계정이 대리할 Google 관리자 사용자 (이전 단계에서 선택한)의 이메일 주소를 입력하세요.

      
   3. 에서 보강 페이지에서 Google Workspace 사용자 프로필을 활성화하려면, 사용자 프로필의 오른쪽에서 토글을 클릭하세요 켬.

      • 다음의 사전 요구 조건을 참고하세요 Google Workspace 프로필 활성화에 대한.

      • 토글을 켰다면 사용자 프로필 켬또한 새로고침 주기(분)을 설정하세요. 이는 Panther가 Google Workspace에 저장된 데이터로 프로필 데이터를 업데이트하는 주기를 나타냅니다.

   4. 클릭 설정. 성공 화면으로 이동됩니다:

      

      • 선택적으로 하나 이상의 디택션 팩.

      • 을 활성화할 수 있습니다 아직 수행하지 않았다면 클릭하세요 스키마 연결 또는 추론

      • 소스에 하나 이상의 스키마를 연결하려면. 설정 이벤트가 처리되지 않을 때 알러트를 트리거하기 설정의 기본값은예

Workload Identity Federation

OAuth

보기

Panther 관리 Google Workspace용 룰은 panther-analysis GitHub 리포지토리에서 (디렉터리 이름 앞에 gsuite_ 가 붙은 곳에)).

지원되는 로그 유형

Panther는 Google의 Reports Activities API 에서 데이터를 가져옵니다. 여기에는 관리자 활동, 로그인 활동, 토큰 활동, Google Drive 활동 등이 포함됩니다.

이 데이터는 다음 두 가지 로그 유형으로 저장됩니다 GSuite.ActivityEvent 및 GSuite.Reports —이 두 스키마는 동일한 데이터를 포함하지만, 쿼리와 디텍션에서 필드를 참조하기 쉽게 이벤트를 평탄화하므로 Gsuite.ActivityEvent 를 사용하는 것을 권장합니다.

두 스키마가 동일한 데이터를 캡처하지만 데이터 레이크에 저장되는 방식은 다릅니다. 예를 들어, GSuite.Reports 데이터 레이크에 약간 적은 수의 로그가 있을 수 있습니다. 여러 이벤트가 하나의 페이로드로 래핑되기 때문입니다. 반면에 GSuite.ActivityEvent에서는 각 이벤트가 Panther에서 단일 이벤트가 됩니다. 이 동작에 대한 자세한 내용은 지식 기반 문서에서 확인할 수 있습니다: Panther 로그 유형 GSuite.Reports와 GSuite.ActivityEvent의 차이점은 무엇인가요?

Google Workspace 로그가 둘 다 GSuite.ActivityEvent 및 GSuite.Reports 데이터 레이크의 테이블에 저장되지만, 해당 데이터는 인제스션 할당량에 대해 한 번만 계산됩니다.

GSuite.ActivityEvent

특정 계정 및 애플리케이션(예: 관리자 콘솔 애플리케이션 또는 Google Drive 애플리케이션)에 대한 활동 이벤트를 포함합니다.

참고: Reports API Activities List에 대한 Google Workspace 문서.

필드:
    - name: id
      required: true
      description: 각 활동 기록의 고유 식별자.
      type: object
      필드:
        - name: applicationName
          description: 이벤트가 속한 애플리케이션 이름.
          type: string
        - name: customerId
          description: Google Workspace 계정의 고유 식별자.
          type: string
        - name: time
          description: 활동이 발생한 시간.
          type: timestamp
          timeFormat: rfc3339
          isEventTime: true
        - name: uniqueQualifier
          description: 여러 이벤트가 동일한 시간을 가질 때의 고유 한정자.
          type: string
    - name: actor
      description: 행동을 수행한 사용자.
      type: object
      필드:
        - name: email
          description: 행위를 한 사용자의 기본 이메일 주소. 행위자와 연결된 이메일 주소가 없으면 없을 수 있습니다.
          type: string
          indicators:
            - email
        - name: profileId
          description: 행위자의 고유한 Google Workspace 프로필 ID. 행위자가 Google Workspace 사용자가 아닌 경우 없을 수 있습니다.
          type: string
        - name: callerType
          description: 행위자의 유형.
          type: string
        - name: key
          description: callerType이 KEY일 때만 존재합니다. OAuth 2LO API 요청의 경우 요청자의 consumer_key일 수 있거나 로봇 계정의 식별자일 수 있습니다.
          type: string
    - name: kind
      required: true
      description: API 리소스의 유형. 활동 리포트의 경우 값은 reports#activities입니다.
      type: string
    - name: ownerDomain
      description: 리포트 이벤트에 영향을 받는 도메인입니다. 예: 관리자 콘솔 도메인 또는 Drive 애플리케이션의 문서 소유자 도메인.
      type: string
      indicators:
        - domain
    - name: ipAddress
      description: 행위를 한 사용자의 IP 주소. 이는 Google Workspace에 로그인할 때 사용자의 인터넷 프로토콜(IP) 주소로, 사용자의 실제 위치를 반영하지 않을 수 있습니다. 예를 들어 IP 주소는 사용자의 프록시 서버 주소이거나 가상 사설망(VPN) 주소일 수 있습니다. API는 IPv4 및 IPv6를 지원합니다.
      type: string
      indicators:
        - ip
    - name: type
      description: 이벤트 유형. 관리자가 변경한 Google Workspace 서비스 또는 기능은 eventName 속성으로 식별되는 type 속성에 의해 식별됩니다. API의 유형 범주 전체 목록은 위의 applicationName에 대한 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
      type: string
    - name: name
      description: 이벤트 이름. 이는 API가 보고한 활동의 구체적인 이름입니다. 각 eventName은 API가 이벤트 유형으로 구성한 특정 Google Workspace 서비스 또는 기능과 관련됩니다.
      type: string
    - name: parameters
      description: 다양한 애플리케이션에 대한 매개변수 값 쌍. eventName 매개변수에 대한 자세한 내용은 위의 applicationName에 대한 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
      type: json

GSuite.Reports

다음 대신 사용을 권장합니다 GSuite.ActivityEvent 대신 GSuite.Reports. 두 스키마가 동일한 데이터를 포함하지만, GSuite.ActivityEvent 의 구조가 더 평탄화되어 있어 쿼리와 디텍션에서 참조하기 더 쉽습니다.

특정 계정 및 애플리케이션(예: 관리자 콘솔 애플리케이션 또는 Google Drive 애플리케이션)에 대한 활동 이벤트를 포함합니다.

참고: Reports API Activities List에 대한 Google Workspace 문서.

스키마: GSuite.Reports
설명: 
referenceURL: https://developers.google.com/admin-sdk/reports/v1/reference/activities/list#response
필드:
    - name: id
      required: true
      description: 각 활동 기록의 고유 식별자.
      type: object
      필드:
        - name: applicationName
          description: 이벤트가 속한 애플리케이션 이름.
          type: string
        - name: customerId
          description: Google Workspace 계정의 고유 식별자.
          type: string
        - name: time
          description: 활동이 발생한 시간.
          type: timestamp
          timeFormat: rfc3339
          isEventTime: true
        - name: uniqueQualifier
          description: 여러 이벤트가 동일한 시간을 가질 때의 고유 한정자.
          type: string
    - name: actor
      description: 행동을 수행한 사용자.
      type: object
      필드:
        - name: email
          description: 행위를 한 사용자의 기본 이메일 주소. 행위자와 연결된 이메일 주소가 없으면 없을 수 있습니다.
          type: string
          indicators:
            - email
        - name: profileId
          description: 행위자의 고유한 Google Workspace 프로필 ID. 행위자가 Google Workspace 사용자가 아닌 경우 없을 수 있습니다.
          type: string
        - name: callerType
          description: 행위자의 유형.
          type: string
        - name: key
          description: callerType이 KEY일 때만 존재합니다. OAuth 2LO API 요청의 경우 요청자의 consumer_key일 수 있거나 로봇 계정의 식별자일 수 있습니다.
          type: string
    - name: kind
      required: true
      description: API 리소스의 유형. 활동 리포트의 경우 값은 reports#activities입니다.
      type: string
    - name: ownerDomain
      description: 리포트 이벤트에 영향을 받는 도메인입니다. 예: 관리자 콘솔 도메인 또는 Drive 애플리케이션의 문서 소유자 도메인.
      type: string
      indicators:
        - domain
    - name: ipAddress
      description: 행위를 한 사용자의 IP 주소. 이는 Google Workspace에 로그인할 때 사용자의 인터넷 프로토콜(IP) 주소로, 사용자의 실제 위치를 반영하지 않을 수 있습니다. 예를 들어 IP 주소는 사용자의 프록시 서버 주소이거나 가상 사설망(VPN) 주소일 수 있습니다. API는 IPv4 및 IPv6를 지원합니다.
      type: string
      indicators:
        - ip
    - name: events
      description: 리포트의 활동 이벤트.
      type: array
      element:
        type: object
        필드:
            - name: type
              description: 이벤트 유형. 관리자가 변경한 Google Workspace 서비스 또는 기능은 eventName 속성으로 식별되는 type 속성에 의해 식별됩니다. API의 유형 범주 전체 목록은 위의 applicationName에 대한 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
              type: string
            - name: name
              description: 이벤트 이름. 이는 API가 보고한 활동의 구체적인 이름입니다. 각 eventName은 API가 이벤트 유형으로 구성한 특정 Google Workspace 서비스 또는 기능과 관련됩니다.
              type: string
            - name: parameters
              description: 다양한 애플리케이션에 대한 매개변수 값 쌍. eventName 매개변수에 대한 자세한 내용은 위의 applicationName에 대한 다양한 애플리케이션의 이벤트 이름 목록을 참조하세요.
              type: array
              element:
                type: object
                필드:
                    - name: name
                      description: 매개변수의 이름.
                      type: string
                    - name: value
                      description: 매개변수의 문자열 값.
                      type: string
                    - name: intValue
                      description: 매개변수의 정수 값.
                      type: bigint
                    - name: boolValue
                      description: 매개변수의 불리언 값.
                      type: boolean
                    - name: multiValue
                      description: 매개변수의 문자열 값들.
                      type: array
                      element:
                        type: string
                    - name: multiIntValue
                      description: 매개변수의 정수 값들.
                      type: array
                      element:
                        type: bigint
                    - name: messageValue
                      description: '이 매개변수와 연관된 중첩된 매개변수 값 쌍. 매개변수의 복합 값 타입은 매개변수 값의 리스트로 반환됩니다. 예를 들어 address 매개변수는 [{parameter: [{name: city, value: abc}]}]와 같은 값을 가질 수 있습니다.'
                      type: json
                    - name: multiMessageValue
                      description: messageValue 객체들의 리스트.
                      type: array
                      element:
                        type: json