Netskope 로그

Panther는 Netskope에서 직접 로그를 가져오는 것을 지원합니다

개요

Panther는 다음을 쿼리하여 Netskope 로그를 가져올 수 있습니다 Netskope REST API v2.

Netskope 로그를 Panther에 온보딩하는 방법

먼저 Panther에서 Netskope 소스 생성을 시작하고 Netskope에서 API 토큰을 생성한 다음 Panther로 돌아와 로그 소스 생성을 완료합니다.

1단계: Panther에서 Netskope 소스 생성 시작

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하세요 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. “Netskope”를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. 소스에 대한 설명 이름 를 입력합니다(예: "내 Netskope 로그").

6. 클릭 설정.

2단계: Netskope에서 API 토큰 생성

1. 별도의 웹 브라우저 탭에서 Netskope 관리 콘솔.

2. 왼쪽 사이드 내비게이션 바에서 설정.

3. 다음의 왼쪽 사이드 내비게이션 바에서 설정 페이지에서 클릭하십시오 도구 > REST API v2.

4. 클릭 새 토큰.

5. 팝업 모달에서 다음 필드를 구성합니다:

   • 토큰 이름: 설명적인 이름을 입력하세요.

   • 만료 기간: 적절한 만료 기간을 설정하십시오.

   • 범위: 클릭 엔드포인트 추가 하고 다음을 선택합니다 /api/v2/events/dataexport/events/audit 권한.

6. 클릭 저장(Save).

7. 확인 모달에서 토큰 복사 를 클릭하고 다음 단계에서 필요하므로 값을 안전한 위치에 저장합니다.

3단계: Panther에서 Netskope 소스 생성 완료

1. Panther 콘솔로 돌아가서, 자격 증명 설정 에서 중단한 페이지로 이동합니다 1단계.

2. 다음 Netskope 도메인 필드에 Netskope 테넌트의 도메인 이름을 입력합니다(예: corp.goskope.com).

3. 다음 API 키 필드에, Step 2의 Netskope 관리 콘솔에서 복사한 API 토큰 값을 붙여넣습니다 2단계.

4. 클릭 설정. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

Panther 관리 탐지

참조 Panther 관리 Netskope에 대한 규칙은 panther-analysis GitHub 리포지토리에 있습니다.

지원되는 로그 유형

Netskope.Audit

Netskope.Audit 로그는 Netskope 인스턴스 내의 활동을 나타냅니다. 자세한 내용은 Netskope의 로깅 문서.

스키마: Netskope.Audit
설명: Netskope Audit API의 감사 로그
참고URL: https://docs.netskope.com/en/rest-api-v2-overview-312207.html
필드:
  - 이름: timestamp
    required: true
    설명: 감사 로그의 타임스탬프.
    isEventTime: true
    timeFormats:
      - unix
    type: timestamp
  - 이름: type
    required: true
    설명: 감사 로그의 유형.
    type: string
  - name: user
    required: true
    설명: 감사 로그와 관련된 사용자.
    type: string
    지표:
      - 이메일
      - username
  - 이름: is_netskope_personnel
    required: false
    설명: 사용자가 Netskope 직원인지 여부를 나타냅니다.
    유형: boolean
  - 이름: severity_level
    required: false
    설명: 감사 로그의 심각도 수준.
    유형: int
  - 이름: audit_log_event
    required: true
    설명: 감사 로그의 이벤트 설명.
    type: string
  - 이름: supporting_data
    required: true
    설명: 감사 로그와 관련된 지원 데이터.
    유형: json
  - 이름: organization_unit
    required: false
    설명: 감사 로그와 관련된 조직 단위.
    type: string
  - 이름: ur_normalized
    required: false
    설명: 정규화된 사용자 식별자.
    type: string
  - 이름: count
    required: false
    설명: 감사 로그의 수치.
    유형: int
  - 이름: _insertion_epoch_timestamp
    설명: 로그 삽입의 타임스탬프.
    유형: int
  - 이름: _id
    required: true
    설명: 감사 로그의 ID.
    type: string
  - 이름: details
    설명: 감사 로그 세부 정보.
    유형: json
  - 이름: ccl
    required: false
    설명: 감사 로그의 클라우드 신뢰도(Cloud confidence level).
    type: string
  - 이름: sAMAccountName
    required: false
    설명: 감사 로그에 대한 Active Directory sAMAccountName.
    type: string
  - 이름: userPrincipalName
    required: false
    설명: 감사 로그에 대한 Active Directory userPrincipalName.
    type: string