Osquery 로그

Osquery 로그를 Panther Console에 연결

개요

Panther는 Osquery 로그를 수집하는 일반적인 데이터 전송 옵션: HTTP Source, Amazon Web Services (AWS) S3, SQS 및 CloudWatch.

Panther에 Osquery 로그를 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. "Osquery"를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 전송 메커니즘 이 통합에 사용할 것을 선택합니다.

5. 클릭합니다 설정 시작.

6. 선택한 데이터 전송 방법을 구성하려면 Panther의 지침을 따르세요:

   • HTTP

     • 이 소스로 전송되는 페이로드는 모든 HTTP 소스의 페이로드 요구사항.

     • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

   • AWS CloudWatch

   • AWS SQS

   • AWS S3 버킷

7. Osquery가 로그를 Data Transport 소스로 푸시하도록 구성합니다.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Osquery 문서를 참조하세요.

Panther 내장 탐지

Panther의 기본 제공 GitHub의 panther-analysis에 있는 Osquery 규칙.

지원되는 로그 유형

Osquery.Batch

Batch에는 Osquery 배치 로그에 포함된 모든 데이터가 들어 있습니다.

참조: 로깅에 대한 Osquery 문서. (배치 형식 섹션으로 스크롤)

schema: Osquery.Batch
description: Batch에는 OsQuery 배치 로그에 포함된 모든 데이터가 들어 있습니다
referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - name: calendarTime
      필수: true
      description: 이벤트가 발생한 시간(UTC).
      유형: timestamp
      시간 형식:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      이벤트 시간 여부: true
    - name: counter
      필수: true
      description: '''counter''는 추가된 레코드가 초기 쿼리의 모든 레코드인지, 아니면 새 레코드인지 식별하는 데 사용할 수 있습니다. 초기 쿼리 결과에 모든 레코드가 포함된 경우 counter는 ''0''입니다'''
      유형: bigint
    - name: decorations
      description: 장식
      유형: json
    - name: diffResults
      필수: true
      description: 계산된 차이.
      유형: object
      필드:
        - name: added
          description: 추가된 필드
          유형: array
          요소:
            유형: json
        - name: removed
          description: 제거된 필드
          유형: array
          요소:
            유형: json
    - name: epoch
      필수: true
      description: 에포크. 'epoch'가 변경되면 counter는 다시 0으로 재설정됩니다.
      유형: bigint
    - 이름: hostname
      필수: true
      설명: 호스트 이름
      유형: string
      지표:
        - 호스트 이름
    - 이름: name
      필수: true
      description: 이름
      유형: string
    - name: unixTime
      필수: true
      description: Unix 에포크
      유형: bigint

Osquery.Differential

Differential에는 Osquery 차등 로그에 포함된 모든 데이터가 들어 있습니다.

참조: 로깅에 대한 Osquery 문서. (Differential 로그 섹션으로 스크롤)

schema: Osquery.Differential
description: Differential에는 OsQuery 차등 로그에 포함된 모든 데이터가 들어 있습니다
referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - 이름: action
      필수: true
      description: Action은 이벤트 유형입니다
      유형: string
    - name: calendarTime
      필수: true
      description: 이벤트가 발생한 시간(UTC).
      유형: timestamp
      시간 형식:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      이벤트 시간 여부: true
    - name: columns
      필수: true
      description: 열
      유형: json
    - name: counter
      description: '''counter''는 추가된 레코드가 초기 쿼리의 모든 레코드인지, 아니면 새 레코드인지 식별하는 데 사용할 수 있습니다. 초기 쿼리 결과에 모든 레코드가 포함된 경우 counter는 ''0''입니다'''
      유형: bigint
    - name: decorations
      description: 장식
      유형: json
    - name: epoch
      필수: true
      description: 에포크. 'epoch'가 변경되면 counter는 다시 0으로 재설정됩니다.
      유형: bigint
    - name: hostIdentifier
      필수: true
      description: HostIdentifier
      유형: string
      지표:
        - 호스트 이름
    - name: logType
      description: LogType
      유형: string
    - name: log_type
      description: LogUnderscoreType
      유형: string
    - 이름: name
      필수: true
      description: 이름
      유형: string
    - name: unixTime
      필수: true
      description: UnixTime
      유형: bigint
    - name: logNumericsAsNumbers
      description: LogNumericsAsNumbers
      유형: boolean

Osquery.Snapshot

Snapshot에는 Osquery 차등 로그에 포함된 모든 데이터가 들어 있습니다.

참조: 로깅에 대한 Osquery 문서. (Snapshot 로그 섹션으로 스크롤)

schema: Osquery.Snapshot
description: Snapshot에는 OsQuery 차등 로그에 포함된 모든 데이터가 들어 있습니다
referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - name: calendarTime
      필수: true
      description: 이벤트가 발생한 시간(UTC).
      유형: timestamp
      시간 형식:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      이벤트 시간 여부: true
    - name: unixTime
      필수: true
      description: UnixTime
      유형: bigint
    - 이름: action
      필수: true
      description: Action은 이벤트 유형입니다
      유형: string
    - name: counter
      필수: true
      description: '''counter''는 추가된 레코드가 초기 쿼리의 모든 레코드인지, 아니면 새 레코드인지 식별하는 데 사용할 수 있습니다. 초기 쿼리 결과에 모든 레코드가 포함된 경우 counter는 ''0''입니다'''
      유형: bigint
    - name: decorations
      description: 장식
      유형: json
    - name: epoch
      필수: true
      description: 에포크. 'epoch'가 변경되면 counter는 다시 0으로 재설정됩니다.
      유형: bigint
    - name: hostIdentifier
      필수: true
      description: HostIdentifier. 기본적으로는 호스트 이름입니다'
      유형: string
      지표:
        - domain
    - 이름: name
      필수: true
      description: 이름
      유형: string
    - name: snapshot
      description: Snapshot
      유형: array
      요소:
        유형: json

Osquery.Status

Status는 데몬에 대한 진단용 osquery 로그입니다.

참조: 로깅에 대한 Osquery 문서. (Status 로그 섹션으로 스크롤)

schema: Osquery.Status
description: Status는 데몬에 대한 진단용 osquery 로그입니다.
referenceURL: https://osquery.readthedocs.io/en/stable/deployment/logging/
필드:
    - name: calendarTime
      필수: true
      description: 이벤트가 발생한 시간(UTC).
      유형: timestamp
      시간 형식:
        - '%a %b %d %H:%M:%S %Y %Z'
        - '%a %b  %d %H:%M:%S %Y %Z'
      이벤트 시간 여부: true
    - name: decorations
      description: 장식
      유형: json
    - name: filename
      필수: true
      description: 파일 이름
      유형: string
    - name: hostIdentifier
      필수: true
      description: HostIdentifier
      유형: string
      지표:
        - domain
    - 이름: line
      필수: true
      description: 줄
      유형: bigint
    - name: logType
      description: LogType
      유형: string
    - name: log_type
      description: LogUnderScoreType
      유형: string
    - 이름: message
      description: 메시지
      유형: string
    - 이름: severity
      필수: true
      description: 심각도
      유형: bigint
    - name: unixTime
      필수: true
      description: UnixTime
      유형: bigint
    - 이름: version
      필수: true
      description: 버전
      유형: string