Osquery 로그

Osquery 로그를 Panther 콘솔에 연결하기

개요

Panther는 일반적인 데이터 전송 옵션을 통해 Osquery 로그 수집을 지원합니다: HTTP 소스, Amazon Web Services (AWS) S3, SQS 및 CloudWatch.

Osquery 로그를 Panther에 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. "Osquery"를 검색한 다음 해당 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서 다음을 선택하십시오 전송 메커니즘 이 통합에 사용할 항목.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 시작.

6. 선택한 데이터 전송 방법을 구성하기 위한 Panther의 지침을 따르십시오:

   • HTTP

     • 이 소스로 전송된 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • AWS CloudWatch

   • AWS SQS

   • AWS S3 버킷

7. Osquery를 구성하여 로그를 Data Transport 소스로 푸시하세요.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Osquery 문서를 참조하세요.

Panther-내장 디텍션

Panther의 내장된 Osquery 룰을 Github의 panther-analysis에서 확인하세요.

지원되는 로그 유형

Osquery.Batch

Batch에는 Osquery 배치 로그에 포함된 모든 데이터가 포함됩니다.

참고: Osquery 로깅에 대한 문서. (Batch 형식 섹션으로 스크롤)

스키마: Osquery.Batch
설명: Batch에는 OsQuery 배치 로그에 포함된 모든 데이터가 포함됩니다
참고URL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - 이름: calendarTime
      required: true
      설명: 이벤트 시간(UTC).
      type: timestamp
      timeFormats:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      isEventTime: true
    - 이름: counter
      required: true
      설명: '''counter'''는 추가된 레코드가 초기 쿼리의 모든 레코드인지 또는 새로운 레코드인지 식별하는 데 사용될 수 있습니다. 모든 레코드를 포함하는 초기 쿼리 결과의 경우 counter는 ''0'''입니다
      type: bigint
    - 이름: decorations
      설명: Decorations
      유형: json
    - 이름: diffResults
      required: true
      설명: 계산된 차이점.
      type: object
      필드:
        - 이름: added
          설명: 추가된 필드
          type: array
          element:
            유형: json
        - 이름: removed
          설명: 제거된 필드
          type: array
          element:
            유형: json
    - 이름: epoch
      required: true
      설명: Epoch. 'epoch'가 변경되면 counter는 0으로 재설정됩니다.
      type: bigint
    - 이름: hostname
      required: true
      설명: 호스트명
      type: string
      지표:
        - hostname
    - 이름: name
      required: true
      설명: 이름
      type: string
    - 이름: unixTime
      required: true
      설명: 유닉스 에포크
      type: bigint

Osquery.Differential

Differential에는 Osquery 차분 로그에 포함된 모든 데이터가 포함됩니다.

참고: Osquery 로깅에 대한 문서. (Differential 로그 섹션으로 스크롤)

스키마: Osquery.Differential
설명: Differential에는 OsQuery 차분 로그에 포함된 모든 데이터가 포함됩니다
참고URL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - 이름: action
      required: true
      설명: Action은 이벤트의 유형입니다
      type: string
    - 이름: calendarTime
      required: true
      설명: 이벤트 시간(UTC).
      type: timestamp
      timeFormats:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      isEventTime: true
    - 이름: columns
      required: true
      설명: 열
      유형: json
    - 이름: counter
      설명: '''counter'''는 추가된 레코드가 초기 쿼리의 모든 레코드인지 또는 새로운 레코드인지 식별하는 데 사용될 수 있습니다. 모든 레코드를 포함하는 초기 쿼리 결과의 경우 counter는 ''0'''입니다
      type: bigint
    - 이름: decorations
      설명: Decorations
      유형: json
    - 이름: epoch
      required: true
      설명: Epoch. 'epoch'가 변경되면 counter는 0으로 재설정됩니다.
      type: bigint
    - 이름: hostIdentifier
      required: true
      설명: HostIdentifier
      type: string
      지표:
        - hostname
    - 이름: logType
      설명: LogType
      type: string
    - 이름: log_type
      설명: LogUnderscoreType
      type: string
    - 이름: name
      required: true
      설명: 이름
      type: string
    - 이름: unixTime
      required: true
      설명: UnixTime
      type: bigint
    - 이름: logNumericsAsNumbers
      설명: LogNumericsAsNumbers
      유형: boolean

Osquery.Snapshot

Snapshot에는 Osquery 차분 로그에 포함된 모든 데이터가 포함됩니다.

참고: Osquery 로깅에 대한 문서. (Snapshot 로그 섹션으로 스크롤)

스키마: Osquery.Snapshot
설명: Snapshot에는 OsQuery 차분 로그에 포함된 모든 데이터가 포함됩니다
참고URL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - 이름: calendarTime
      required: true
      설명: 이벤트 시간(UTC).
      type: timestamp
      timeFormats:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      isEventTime: true
    - 이름: unixTime
      required: true
      설명: UnixTime
      type: bigint
    - 이름: action
      required: true
      설명: Action은 이벤트의 유형입니다
      type: string
    - 이름: counter
      required: true
      설명: '''counter'''는 추가된 레코드가 초기 쿼리의 모든 레코드인지 또는 새로운 레코드인지 식별하는 데 사용될 수 있습니다. 모든 레코드를 포함하는 초기 쿼리 결과의 경우 counter는 ''0'''입니다
      type: bigint
    - 이름: decorations
      설명: Decorations
      유형: json
    - 이름: epoch
      required: true
      설명: Epoch. 'epoch'가 변경되면 counter는 0으로 재설정됩니다.
      type: bigint
    - 이름: hostIdentifier
      required: true
      설명: HostIdentifier. 기본값은 호스트명입니다'
      type: string
      지표:
        - 도메인
    - 이름: name
      required: true
      설명: 이름
      type: string
    - 이름: snapshot
      설명: Snapshot
      type: array
      element:
        유형: json

Osquery.Status

Status는 데몬에 대한 진단용 osquery 로그입니다.

참고: Osquery 로깅에 대한 문서. (Status 로그 섹션으로 스크롤)

스키마: Osquery.Status
설명: Status는 데몬에 대한 진단용 osquery 로그입니다.
참고URL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - 이름: calendarTime
      required: true
      설명: 이벤트 시간(UTC).
      type: timestamp
      timeFormats:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      isEventTime: true
    - 이름: decorations
      설명: Decorations
      유형: json
    - 이름: filename
      required: true
      설명: 파일명
      type: string
    - 이름: hostIdentifier
      required: true
      설명: HostIdentifier
      type: string
      지표:
        - 도메인
    - 이름: line
      required: true
      설명: 줄
      type: bigint
    - 이름: logType
      설명: LogType
      type: string
    - 이름: log_type
      설명: LogUnderScoreType
      type: string
    - name: message
      설명: 메시지
      type: string
    - 이름: severity
      required: true
      설명: 심각도
      type: bigint
    - 이름: unixTime
      required: true
      설명: UnixTime
      type: bigint
    - name: version
      required: true
      설명: 버전
      type: string