MongoDB Atlas 로그

Panther는 MongoDB Atlas에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음을 쿼리하여 MongoDB Atlas 이벤트 로그를 가져올 수 있습니다. MongoDB Atlas Administration API. Panther는 다음 MongoDB Atlas 이벤트를 중점적으로 모니터링합니다:

• 조직 이벤트 호스트, 암호화, 청구, 사용자 액세스 등과 관련된.

• 프로젝트 이벤트 호스트, 암호화, 청구, 사용자 액세스 등과 관련된.

Panther에서 MongoDB Atlas를 로그 소스로 설정하려면, 먼저 MongoDB 계정에서 API 키를 생성한 다음 Panther에서 MongoDB Atlas를 로그 소스로 설정해야 합니다.

MongoDB Atlas 로그를 Panther에 온보딩하는 방법

1단계: MongoDB Atlas에서 API 키 생성

1. 다음으로 이동합니다. Access Manager 페이지에서 조직을 확인하세요.

   1. 이미 표시되어 있지 않다면, 탐색 메뉴의 Organizations 메뉴에서 원하는 조직을 선택하세요.

   2. 탐색 메뉴에서 Access Manager를 클릭한 다음 조직을 선택하세요.

2. 을 클릭합니다 새로 추가 > API 키.

3. 아래에서 API 키 정보 입력필드를 채우세요:

   • 설명: API 키에 대한 설명을 입력하세요. 예: Panther log puller.

   • Organization Permissions: API 키에 대해 하나 이상의 권한을 해당 를 선택하세요. 예: Organization Read Only.

4. 을 클릭합니다 다음.

5. 공개 키를 복사하여 안전한 위치에 저장하세요. 공개 키는 API 요청 시 사용자 이름 역할을 합니다.

6. 개인 키를 복사하여 안전한 위치에 저장하세요. 개인 키는 API 요청 시 비밀번호 역할을 합니다.

7. 을 클릭합니다 완료.

2단계: Panther에 새 MongoDB Atlas 로그 소스 생성

1. Panther Console의 왼쪽 탐색 표시줄에서 구성 > 로그 소스.

2. 오른쪽 상단 모서리에서 Create New.

3. "MongoDB Atlas"를 검색한 다음 해당 타일을 클릭하세요.

4. 을 클릭합니다 Start Setup.

5. 다음 화면에서 소스에 기억하기 쉬운 이름을 입력하세요. 예: 내 MongoDB Atlas 로그.

6. 을 클릭합니다 Setup.

7. 에서 자격 증명 설정 페이지에서 양식을 작성합니다:

   • 다음을 붙여넣습니다 API 키 의 MongoDB Atlas에서 API 키 필드로 입력하세요.

8. 을 클릭합니다 Setup. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 디택션 팩.

   • the 이벤트가 처리되지 않을 때 알러트 트리거 설정의 기본값은 YES입니다. 일정 시간 후 로그 소스에서 데이터 흐름이 중단되면 알림을 받게 되므로 이 설정을 활성화된 상태로 유지할 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

Panther에서 관리하는 탐지

자세한 내용은 Panther에서 관리하는 Panther의 MongoDB Atlas 규칙 panther-analysis GitHub 저장소.

지원되는 로그 유형

MongoDB.OrganizationEvent

# Panther가 생성한 코드입니다. 수정하지 마세요. (@generated)
schema: MongoDB.OrganizationEvent
parser:
  native:
    name: MongoDB.OrganizationEvent
description: 조직의 모든 이벤트.
referenceURL: https://www.mongodb.com/docs/atlas/reference/api/events-orgs-get-all
필드:
  - name: alertId
    description: 이벤트와 연결된 알러트의 고유 식별자
    유형: string
  - name: alertConfigId
    description: alertId와 연결된 알러트 구성의 고유 식별자
    유형: string
  - name: apiKeyId
    description: 이벤트를 트리거한 API 키의 고유 식별자입니다. 이 필드가 응답에 있으면 Atlas는 userId 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: clusterName
    description: 클러스터와 연결된 이름
    유형: string
  - name: collection
    description: 이벤트가 발생한 컬렉션의 이름입니다. eventTypeName이 DATA_EXPLORER 또는 DATA_EXPLORER_CRUD인 경우 이 필드가 포함될 수 있습니다
    유형: string
  - name: created
    필수: true
    description: RFC3339 표준 형식의 이벤트 날짜 및 시간
    유형: timestamp
    timeFormat: rfc3339
    isEventTime: true
  - name: currentValue
    description: 이벤트 시점의 metricName 값을 설명합니다
    type: object
    필드:
      - name: number
        description: 이벤트 시점의 metricName 값
        type: float
      - name: units
        description: currentValue.number의 측정 단위
        유형: string
  - name: database
    description: 이벤트가 발생한 데이터베이스의 이름입니다. eventTypeName이 DATA_EXPLORER 또는 DATA_EXPLORER_CRUD인 경우 이 필드가 포함될 수 있습니다
    유형: string
  - name: eventTypeName
    필수: true
    description: 이벤트 유형을 나타내는 사람이 읽을 수 있는 레이블
    유형: string
  - name: groupId
    description: 이벤트가 발생한 프로젝트의 고유 식별자
    유형: string
  - name: hostname
    description: 이벤트와 연결된 Atlas 호스트 머신의 호스트 이름
    유형: string
    indicators:
      - hostname
  - name: id
    필수: true
    description: 이벤트의 고유 식별자
    유형: string
  - name: invoiceId
    description: 이벤트와 연결된 청구서의 고유 식별자
    유형: string
  - name: isGlobalAdmin
    description: 이벤트를 트리거한 사용자가 MongoDB 직원인지 여부를 나타냅니다
    유형: boolean
  - name: links
    description: 하위 리소스 및/또는 관련 리소스로 연결되는 하나 이상의 균일 자원 위치자입니다. 웹 링크 사양(https://tools.ietf.org/html/5988)은 URL 간의 관계 유형을 설명합니다
    유형: array
    요소:
      type: object
      필드:
        - name: href
          description: 링크 대상. URL 또는 URL 조각
          유형: string
          indicators:
            - url
        - name: rel
          description: 현재 문서와 연결된 문서 간의 관계(예: self)
          유형: string
  - name: metricName
    description: alertId와 연결된 메트릭의 이름
    유형: string
  - name: opType
    description: 발생한 작업 유형입니다. 이 필드는 eventTypeName이 DATA_EXPLORER 또는 DATA_EXPLORER_CRUD인 경우에 존재합니다
    유형: string
  - name: orgId
    description: 이벤트가 발생한 조직의 고유 식별자
    유형: string
  - name: paymentId
    description: 이벤트와 연결된 청구서 결제의 고유 식별자
    유형: string
  - name: port
    description: mongod 또는 mongos가 수신 대기하는 포트
    유형: bigint
  - name: publicKey
    description: 이벤트를 트리거한 API 키와 연결된 공개 키입니다. 이 필드가 응답에 있으면 Atlas는 username 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: raw
    description: 이벤트에 대한 추가 메타 정보
    유형: json
  - name: remoteAddress
    description: 이벤트를 트리거한 userId Atlas 사용자의 IP 주소
    유형: string
    indicators:
      - ip
  - name: replicaSetName
    description: 이벤트와 연결된 복제 세트의 이름
    유형: string
  - name: shardName
    description: 이벤트와 연결된 샤드의 이름
    유형: string
  - name: targetPublicKey
    description: 이벤트의 대상이 된 API 키의 공개 키
    유형: string
    indicators:
      - username
  - name: targetUsername
    description: 이벤트의 대상이 된 Atlas 사용자의 사용자 이름
    유형: string
    indicators:
      - username
  - name: teamId
    description: 이벤트와 연결된 Atlas 팀의 고유 식별자
    유형: string
  - name: userAlias
    description: 클러스터 노드의 사용자 친화적인 호스트 이름입니다. 사용자 친화적인 호스트 이름은 일반적으로 클러스터 노드의 표준 호스트 이름이며, hostname 필드의 값 대신 클러스터의 연결 문자열에 나타납니다
    유형: string
    indicators:
      - hostname
  - name: userId
    description: 이벤트를 트리거한 Atlas 사용자의 고유 식별자입니다. 이 필드가 응답에 있으면 Atlas는 apiKeyId 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: username
    description: 이벤트를 트리거한 Atlas 사용자의 사용자 이름입니다. 이 필드가 응답에 있으면 Atlas는 publicKey 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: whitelistEntry
    description: 이벤트의 대상이 된 API 키의 화이트리스트 항목
    유형: string

MongoDB.ProjectEvent

# Panther가 생성한 코드입니다. 수정하지 마세요. (@generated)
schema: MongoDB.ProjectEvent
parser:
  native:
    name: MongoDB.ProjectEvent
description: 조직과 연결된 프로젝트와 관련된 모든 이벤트.
referenceURL: https://www.mongodb.com/docs/atlas/reference/api/events-projects-get-all
필드:
  - name: alertId
    description: 이벤트와 연결된 알러트의 고유 식별자
    유형: string
  - name: alertConfigId
    description: alertId와 연결된 알러트 구성의 고유 식별자
    유형: string
  - name: apiKeyId
    description: 이벤트를 트리거한 API 키의 고유 식별자입니다. 이 필드가 응답에 있으면 Atlas는 userId 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: clusterName
    description: 클러스터와 연결된 이름
    유형: string
  - name: collection
    description: 이벤트가 발생한 컬렉션의 이름입니다. eventTypeName이 DATA_EXPLORER 또는 DATA_EXPLORER_CRUD인 경우 이 필드가 포함될 수 있습니다
    유형: string
  - name: created
    필수: true
    description: RFC3339 표준 형식의 이벤트 날짜 및 시간
    유형: timestamp
    timeFormat: rfc3339
    isEventTime: true
  - name: currentValue
    description: 이벤트 시점의 metricName 값을 설명합니다
    type: object
    필드:
      - name: number
        description: 이벤트 시점의 metricName 값
        type: float
      - name: units
        description: currentValue.number의 측정 단위
        유형: string
  - name: database
    description: 이벤트가 발생한 데이터베이스의 이름입니다. eventTypeName이 DATA_EXPLORER 또는 DATA_EXPLORER_CRUD인 경우 이 필드가 포함될 수 있습니다
    유형: string
  - name: eventTypeName
    필수: true
    description: 이벤트 유형을 나타내는 사람이 읽을 수 있는 레이블
    유형: string
  - name: groupId
    description: 이벤트가 발생한 프로젝트의 고유 식별자
    유형: string
  - name: hostname
    description: 이벤트와 연결된 Atlas 호스트 머신의 호스트 이름
    유형: string
    indicators:
      - hostname
  - name: id
    필수: true
    description: 이벤트의 고유 식별자
    유형: string
  - name: invoiceId
    description: 이벤트와 연결된 청구서의 고유 식별자
    유형: string
  - name: isGlobalAdmin
    description: 이벤트를 트리거한 사용자가 MongoDB 직원인지 여부를 나타냅니다
    유형: boolean
  - name: links
    description: 하위 리소스 및/또는 관련 리소스로 연결되는 하나 이상의 균일 자원 위치자입니다. 웹 링크 사양(https://tools.ietf.org/html/5988)은 URL 간의 관계 유형을 설명합니다
    유형: array
    요소:
      type: object
      필드:
        - name: href
          description: 링크 대상. URL 또는 URL 조각
          유형: string
          indicators:
            - url
        - name: rel
          description: 현재 문서와 연결된 문서 간의 관계(예: self)
          유형: string
  - name: metricName
    description: alertId와 연결된 메트릭의 이름
    유형: string
  - name: opType
    description: 발생한 작업 유형입니다. 이 필드는 eventTypeName이 DATA_EXPLORER 또는 DATA_EXPLORER_CRUD인 경우에 존재합니다
    유형: string
  - name: orgId
    description: 이벤트가 발생한 조직의 고유 식별자
    유형: string
  - name: paymentId
    description: 이벤트와 연결된 청구서 결제의 고유 식별자
    유형: string
  - name: port
    description: mongod 또는 mongos가 수신 대기하는 포트
    유형: bigint
  - name: publicKey
    description: 이벤트를 트리거한 API 키와 연결된 공개 키입니다. 이 필드가 응답에 있으면 Atlas는 username 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: raw
    description: 이벤트에 대한 추가 메타 정보
    유형: json
  - name: remoteAddress
    description: 이벤트를 트리거한 userId Atlas 사용자의 IP 주소
    유형: string
    indicators:
      - ip
  - name: replicaSetName
    description: 이벤트와 연결된 복제 세트의 이름
    유형: string
  - name: shardName
    description: 이벤트와 연결된 샤드의 이름
    유형: string
  - name: targetPublicKey
    description: 이벤트의 대상이 된 API 키의 공개 키
    유형: string
    indicators:
      - username
  - name: targetUsername
    description: 이벤트의 대상이 된 Atlas 사용자의 사용자 이름
    유형: string
    indicators:
      - username
  - name: teamId
    description: 이벤트와 연결된 Atlas 팀의 고유 식별자
    유형: string
  - name: userAlias
    description: 클러스터 노드의 사용자 친화적인 호스트 이름입니다. 사용자 친화적인 호스트 이름은 일반적으로 클러스터 노드의 표준 호스트 이름이며, hostname 필드의 값 대신 클러스터의 연결 문자열에 나타납니다
    유형: string
    indicators:
      - hostname
  - name: userId
    description: 이벤트를 트리거한 Atlas 사용자의 고유 식별자입니다. 이 필드가 응답에 있으면 Atlas는 apiKeyId 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: username
    description: 이벤트를 트리거한 Atlas 사용자의 사용자 이름입니다. 이 필드가 응답에 있으면 Atlas는 publicKey 필드를 반환하지 않습니다
    유형: string
    indicators:
      - username
  - name: whitelistEntry
    description: 이벤트의 대상이 된 API 키의 화이트리스트 항목
    유형: string