Lacework 알림 채널 웹후크

Panther는 webhook을 통해 Lacework 이벤트 로그를 수신하는 것을 지원합니다

개요

Panther로 Lacework 이벤트 로그를 수집하려면 다음을 구성하여 사용자 지정 웹후크 알림 채널 이벤트를 Panther의 HTTP 소스.

Lacework.Events 이외의 Lacework 로그 유형 수집 방법을 찾고 있다면 Lacework.Events, 자세한 내용은 Lacework 내보내기 문서.

알림 채널 웹후크 로그를 Panther에 온보딩하는 방법

1단계: Panther에서 Lacework 알림 채널 웹후크 로그 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 구성 > 로그 소스.

2. 를 클릭하세요 새로 만들기(Create New).

3. "Lacework Alert Channel Webhook"을 검색한 다음 해당 타일을 클릭하세요.

   • 슬라이드 아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운은 미리 HTTP 옵션으로 채워집니다.

4. 를 클릭하세요 설정 시작.

   
5. 다음 지침을 따르세요 HTTP 소스 구성에 대한 Panther의 지침.

   • 설정 중 보안 구성 페이지에서 베어러 인증을 선택하세요. 원형 화살표를 클릭하여 토큰 값을 생성하거나 직접 제공할 수 있습니다.

   • 이 소스로 전송되는 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

2단계: Lacework가 로그를 Panther HTTP 소스로 전송하도록 구성

• 다음 지침을 따르세요 Lacework의 문서 사용자 지정 웹후크 알림 채널을 구성하는 방법.

지원되는 로그 유형

Lacework.Events

Lacework.Events는 내보내진 Lacework 알림 S3 객체의 내용을 나타냅니다.

Severity: 이벤트에 대한 Lacework 문서.

Lacework 알림 S3 객체는 종종 Panther의 Lacework.Events 스키마에 표시된 필드들의 일부만 포함합니다. 이 스키마의 많은 필드는 모서리 사례를 수용하기 위해 포함되어 있습니다. 예제 페이로드는 Lacework 문서.

- name: EVENT_CATEGORY
      필수: 예
      description: 이벤트가 속하는 카테고리
      유형: 문자열
    - name: EVENT_DETAILS
      필수: 예
      description: 이벤트 세부 정보
      유형: 객체
      필드:
        - name: data
          description: 이벤트 데이터 배열
          type: 배열
          element:
            유형: 객체
            필드:
                - name: START_TIME
                  description: 이벤트 시작 시간.
                  유형: 타임스탬프
                  시간형식: rfc3339
                - name: END_TIME
                  description: 이벤트 종료 시간.
                  유형: 타임스탬프
                  시간형식: rfc3339
                - name: EVENT_TYPE
                  description: 이벤트 유형 설명 예 - 새로운 바이너리 실행됨.
                  유형: 문자열
                - name: EVENT_ID
                  description: 이벤트 경고 ID.
                  유형: 문자열
                - name: EVENT_ACTOR
                  description: 이벤트의 출처 예 - AWS, 사용자.
                  유형: 문자열
                - name: EVENT_MODEL
                  description: 알림을 트리거한 모델.
                  유형: 문자열
                - name: ENTITY_MAP
                  description: 탐지 알림과 관련된 필드들의 맵.
                  유형: 객체
                  필드:
                    - name: User
                      description: 알림에 관련된 사용자 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: MACHINE_HOSTNAME
                              description: 호스트명 필드
                              유형: 문자열
                            - name: USERNAME
                              description: 사용자 이름 필드
                              유형: 문자열
                              지표:
                                - username
                    - name: Application
                      description: 알림에 관련된 애플리케이션 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: APPLICATION
                              description: 애플리케이션 필드
                              유형: 문자열
                            - name: HAS_EXTERNAL_CONNS
                              description: HasExternalConns 필드
                              유형: 정수(빅인트)
                            - name: IS_CLIENT
                              description: IsClient 필드
                              유형: 정수(빅인트)
                            - name: IS_SERVER
                              description: IsServer 필드
                              유형: 정수(빅인트)
                            - name: EARLIEST_KNOWN_TIME
                              description: EarliestKnownTime 필드
                              유형: 타임스탬프
                              시간형식: rfc3339
                    - name: Machine
                      description: 알림에 관련된 머신 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: HOSTNAME
                              description: 호스트명 필드
                              유형: 문자열
                            - name: EXTERNAL_IP
                              description: ExternalIP 필드
                              유형: 문자열
                              지표:
                                - ip
                            - name: INSTANCE_ID
                              description: InstanceID 필드
                              유형: 문자열
                            - name: INSTANCE_NAME
                              description: InstanceName 필드
                              유형: 문자열
                            - name: CPU_PERCENTAGE
                              description: CPUPercentage 필드
                              type: 부동소수점
                            - name: INTERNAL_IP_ADDR
                              description: InternalIPAddress 필드
                              유형: 문자열
                              지표:
                                - ip
                            - name: IS_EXTERNAL
                              description: IsExternal 필드
                              유형: 정수(빅인트)
                    - name: Container
                      description: 알림에 관련된 컨테이너 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: IMAGE_REPO
                              description: ImageRepo 필드
                              유형: 문자열
                            - name: IMAGE_TAG
                              description: ImageTag 필드
                              유형: 문자열
                            - name: HAS_EXTERNAL_CONNS
                              description: HasExternalConns 필드
                              유형: 정수(빅인트)
                            - name: IS_CLIENT
                              description: IsClient 필드
                              유형: 정수(빅인트)
                            - name: IS_SERVER
                              description: IsServer 필드
                              유형: 정수(빅인트)
                            - name: FIRST_SEEN_TIME
                              description: FirstSeenTime 필드
                              유형: 타임스탬프
                              시간형식: rfc3339
                            - name: POD_NAMESPACE
                              description: PodNamespace 필드
                              유형: 문자열
                            - name: POD_IP_ADDR
                              description: PodIPAddress 필드
                              유형: 문자열
                              지표:
                                - ip
                    - name: DnsName
                      description: 알림에 관련된 DNS 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: HOSTNAME
                              description: 호스트명 필드
                              유형: 문자열
                            - name: PORT_LIST
                              description: PortList 필드
                              type: 배열
                              element:
                                type: 정수
                            - name: TOTAL_IN_BYTES
                              description: TotalINBytes 필드
                              type: 부동소수점
                            - name: TOTAL_OUT_BYTES
                              description: TotalOUTBytes 필드
                              type: 부동소수점
                    - name: IpAddress
                      description: 알림에 관련된 IP 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: IP_ADDRESS
                              description: SourceIPAddress 필드
                              유형: 문자열
                              지표:
                                - ip
                            - name: TOTAL_IN_BYTES
                              description: TotalINBytes 필드
                              type: 부동소수점
                            - name: TOTAL_OUT_BYTES
                              description: TotalOUTBytes 필드
                              type: 부동소수점
                            - name: THREAT_TAGS
                              description: ThreatTags 필드
                              type: 배열
                              element:
                                유형: 문자열
                            - name: THREAT_SOURCE
                              description: ThreatSource 필드
                              유형: json
                            - name: COUNTRY
                              description: Country 필드
                              유형: 문자열
                            - name: REGION
                              description: Region 필드
                              유형: 문자열
                            - name: PORT_LIST
                              description: PortList 필드
                              type: 배열
                              element:
                                type: 정수
                            - name: FIRST_SEEN_TIME
                              description: FirstSeenTime 필드
                              유형: 문자열
                    - name: Process
                      description: 알림에 관련된 프로세스 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: HOSTNAME
                              description: 호스트명 필드
                              유형: 문자열
                            - name: PROCESS_ID
                              description: ProcessID 필드
                              유형: 정수(빅인트)
                            - name: PROCESS_START_TIME
                              description: ProcessStartTime 필드
                              유형: 타임스탬프
                              시간형식: rfc3339
                            - name: CMDLINE
                              description: CommandLine 필드
                              유형: 문자열
                            - name: CPU_PERCENTAGE
                              description: CPUPercentage 필드
                              type: 부동소수점
                    - name: FileDataHash
                      description: 알림에 관련된 파일 해시 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: FILEDATA_HASH
                              description: FiledataHash 필드
                              유형: 문자열
                            - name: MACHINE_COUNT
                              description: MachineCount 필드
                              유형: 정수(빅인트)
                            - name: EXE_PATH_LIST
                              description: EXEPathList 필드
                              type: 배열
                              element:
                                유형: 문자열
                            - name: FIRST_SEEN_TIME
                              description: FirstSeenTime 필드
                              유형: 타임스탬프
                              시간형식: rfc3339
                            - name: IS_KNOWN_BAD
                              description: ISKnownBad 필드
                              유형: 정수(빅인트)
                    - name: FileExePath
                      description: 실행 파일 경로 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: EXE_PATH
                              description: EXEPath 필드
                              유형: 문자열
                            - name: FIRST_SEEN_TIME
                              description: FirstSeenTime 필드
                              유형: 타임스탬프
                              시간형식: rfc3339
                            - name: LAST_FILEDATA_HASH
                              description: LastFileDataHash 필드
                              유형: 문자열
                            - name: LAST_PACKAGE_NAME
                              description: LastPackageName 필드
                              유형: 문자열
                            - name: LAST_VERSION
                              description: LastVersion 필드
                              유형: 문자열
                            - name: LAST_FILE_OWNER
                              description: LastFileOwner 필드
                              유형: 문자열
                    - name: SourceIpAddress
                      description: 출처 IP 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: IP_ADDRESS
                              description: SourceIPAddress 필드
                              유형: 문자열
                              지표:
                                - ip
                            - name: REGION
                              description: Region 필드
                              유형: 문자열
                            - name: COUNTRY
                              description: Country 필드
                              유형: 문자열
                    - name: API
                      description: 서비스 및 엔드포인트.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: SERVICE
                              description: EventSource 필드
                              유형: 문자열
                            - name: API
                              description: EventName 필드
                              유형: 문자열
                    - name: Region
                      description: 지역 기반 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: REGION
                              description: Region 필드
                              유형: 문자열
                            - name: ACCOUNT_LIST
                              description: RecipientAccountID 필드
                              type: 배열
                              element:
                                유형: 문자열
                    - name: CT_User
                      description: CloudTrail 사용자 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: USERNAME
                              description: 사용자 이름 필드
                              유형: 문자열
                              지표:
                                - username
                            - name: ACCOUNT_ID
                              description: AccountID 필드
                              유형: 문자열
                            - name: MFA
                              description: MFA 필드
                              유형: 정수(빅인트)
                            - name: API_LIST
                              description: APIList 필드
                              type: 배열
                              element:
                                유형: 문자열
                            - name: REGION_LIST
                              description: RegionList 필드
                              type: 배열
                              element:
                                유형: 문자열
                            - name: PRINCIPAL_ID
                              description: AccessKeyID 필드
                              유형: 문자열
                    - name: Resource
                      description: 리소스 값들.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: NAME
                              description: 이름 필드
                              유형: 문자열
                            - name: VALUE
                              description: 값 필드
                              유형: 문자열
                    - name: RecId
                      description: 수신자 계정 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: REC_ID
                              description: RECID 필드
                              유형: 문자열
                            - name: ACCOUNT_ID
                              description: RecipientAccountID 필드
                              유형: 문자열
                            - name: ACCOUNT_ALIAS
                              description: AccountAlias 필드
                              유형: 문자열
                            - name: TITLE
                              description: 제목 필드
                              유형: 문자열
                            - name: STATUS
                              description: 상태 필드
                              유형: 문자열
                            - name: EVAL_TYPE
                              description: EVALType 필드
                              유형: 문자열
                            - name: EVAL_GUID
                              description: EVALGUID 필드
                              유형: 문자열
                    - name: CustomRule
                      description: 사용자 정의 규칙 정보.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: LAST_UPDATED_TIME
                              description: LastUpdatedTime 필드
                              유형: 타임스탬프
                              시간형식: rfc3339
                            - name: LAST_UPDATED_USER
                              description: LastUpdatedUser 필드
                              유형: 문자열
                            - name: DISPLAY_FILTER
                              description: DisplayFilter 필드
                              유형: 문자열
                            - name: RULE_GUID
                              description: RuleGUID 필드
                              유형: 문자열
                    - name: NewViolation
                      description: 위반 참조.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: REC_ID
                              description: RECID 필드
                              유형: 문자열
                            - name: REASON
                              description: 원인(Reason) 필드
                              유형: 문자열
                            - name: RESOURCE
                              description: 리소스 필드
                              유형: 문자열
                    - name: ViolationReason
                      description: 위반에 대한 이유.
                      type: 배열
                      element:
                        유형: 객체
                        필드:
                            - name: REC_ID
                              description: RECID 필드
                              유형: 문자열
                            - name: REASON
                              description: 원인(Reason) 필드
                              유형: 문자열
    - name: SEVERITY
      필수: 예
      description: 경고의 심각도 수준
      유형: 정수(빅인트)
    - name: START_TIME
      필수: 예
      description: 이벤트 시작 시간.
      유형: 타임스탬프
      timeFormat: strftime=%d %b %Y %H:%M %Z
      isEventTime: true
    - name: SUMMARY
      필수: 예
      description: 경고 제목 및 빠른 요약
      유형: 문자열
    - name: EVENT_TYPE
      필수: 예
      description: 이벤트 유형
      유형: 문자열
    - name: EVENT_NAME
      필수: 예
      description: 이벤트 이름
      유형: 문자열
    - name: LINK
      필수: 예
      description: 이벤트에 대한 Lacework 대시보드 링크
      유형: 문자열
    - name: EVENT_ID
      필수: 예
      description: 이벤트ID 참조
      유형: 정수(빅인트)
    - name: ACCOUNT
      필수: 예
      description: 이벤트를 생성한 Lacework 테넌트
      유형: 문자열
    - name: SOURCE
      필수: 예
      description: 이벤트가 트리거된 데이터 소스
      유형: 문자열