OSSEC 로그

OSSEC 로그를 Panther 콘솔에 연결

개요

Panther는 수집을 지원합니다 OSSEC 공통 방식의 로그 데이터 전송 옵션: Amazon Web Services(AWS) S3 및 SQS.

OSSEC 로그를 Panther에 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭합니다.

4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음, Panther의 해당 방법 구성 지침을 따르세요:

   • AWS SQS

   • AWS S3 버킷

5. OSSEC가 Data Transport 소스로 로그를 푸시하도록 구성합니다.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법은 OSSEC 문서를 참조하세요.

지원되는 로그 유형

OSSEC.EventInfo

OSSEC EventInfo 알러트 파서입니다. JSON 출력이 지원됩니다.

참조: 알러트 로그 샘플에 대한 OSSEC 문서입니다.

스키마: OSSEC.EventInfo
설명: OSSEC EventInfo 알러트 파서입니다. 현재는 JSON 출력만 지원됩니다.
참조 URL: https://www.ossec.net/docs/docs/formats/alerts.html
필드:
    - 이름: id
      필수: true
      설명: 이벤트의 고유 ID입니다.
      유형: string
    - 이름: 룰
      필수: true
      설명: 이벤트를 생성한 룰에 대한 정보입니다.
      유형: object
      필드:
        - 이름: comment
          필수: true
          설명: 룰 설명입니다.
          유형: string
        - 이름: 수준
          필수: true
          설명: 룰의 수준(0~16)입니다. 알러트 및 응답에서 이 값을 사용합니다.
          유형: bigint
        - 이름: sidid
          필수: true
          설명: 룰의 ID(100~99999)입니다.
          유형: bigint
        - 이름: CIS
          설명: 룰과 관련된 인터넷 보안 센터(CIS) 검사 목록입니다.
          유형: array
          요소:
            유형: string
        - 이름: cve
          설명: 룰과 관련된 공통 취약점 및 노출(CVE) 식별자입니다.
          유형: string
        - 이름: firedtimes
          설명: 룰이 실행된 횟수입니다.
          유형: bigint
        - 이름: frequency
          설명: 실행되기 전에 룰이 일치해야 하는 횟수를 지정합니다.
          유형: bigint
        - 이름: group
          설명: 그룹은 알러트에 추가되는 선택적 태그입니다.
          유형: string
        - 이름: groups
          설명: 그룹은 알러트에 추가되는 선택적 태그입니다.
          유형: array
          요소:
            유형: string
        - 이름: info
          설명: 룰에 대한 추가 정보 또는 참조입니다.
          유형: string
        - 이름: PCI_DSS
          설명: 룰과 관련된 결제 카드 산업 데이터 보안 표준(PCI DSS) 요구 사항 목록입니다.
          유형: array
          요소:
            유형: string
    - 이름: TimeStamp
      필수: true
      설명: UTC 기준 타임스탬프입니다.
      유형: timestamp
      시간 형식:
        - unix_ms
      이벤트 시간 여부: true
    - 이름: location
      필수: true
      설명: 이벤트의 소스(파일 이름, 명령 등)입니다.
      유형: string
    - 이름: hostname
      필수: true
      설명: 이벤트를 생성한 호스트의 호스트명입니다.
      유형: string
    - 이름: full_log
      필수: true
      설명: 캡처된 이벤트의 전체 로그입니다.
      유형: string
    - 이름: action
      설명: 이벤트 작업(drop, deny, accept 등)입니다.
      유형: string
    - 이름: agentip
      설명: 호스트명에서 추출한 에이전트의 IP 주소입니다.
      유형: string
      지표:
        - ip
    - 이름: agent_name
      설명: 호스트명에서 추출한 에이전트 이름입니다.
      유형: string
    - 이름: command
      설명: 디코더가 추출한 명령입니다.
      유형: string
    - 이름: data
      설명: 디코더가 추출한 추가 데이터입니다. 예: 파일 이름.
      유형: string
    - 이름: decoder
      설명: 로그를 구문 분석하는 데 사용된 디코더의 이름입니다.
      유형: string
    - 이름: decoder_desc
      설명: 로그를 구문 분석하는 데 사용된 디코더에 대한 정보입니다.
      유형: object
      필드:
        - 이름: accumulate
          설명: OSSEC가 디코딩된 ID를 기반으로 여러 로그 메시지에 걸쳐 이벤트를 추적하는 경우 참입니다.
          유형: bigint
        - 이름: fts
          설명: analysisd 내의 처음 발견됨 옵션입니다.
          유형: bigint
        - 이름: ftscomment
          설명: 현재 사용되지 않습니다.
          유형: string
        - 이름: name
          설명: 디코더의 이름입니다.
          유형: string
        - 이름: parent
          설명: 중첩된 디코더의 경우 해당 상위 디코더의 이름입니다.
          유형: string
    - 이름: decoder_parent
      설명: 중첩된 디코더의 경우 해당 상위 디코더의 이름입니다.
      유형: string
    - 이름: dstgeoip
      설명: 대상 IP 주소에 대한 GeoIP 위치 정보입니다.
      유형: string
    - 이름: dstip
      설명: 대상 IP 주소입니다.
      유형: string
      지표:
        - ip
    - 이름: dstport
      설명: 대상 포트입니다.
      유형: string
    - 이름: dstuser
      설명: 대상 사용자 이름입니다.
      유형: string
      지표:
        - username
    - 이름: logfile
      설명: 이벤트를 생성하기 위해 디코딩된 소스 로그 파일입니다.
      유형: string
    - 이름: previous_output
      설명: 이전 이벤트에서 캡처된 전체 로그입니다.
      유형: string
    - 이름: program_name
      설명: 룰 일치에 사용된 디코더가 로그에서 추출한 실행 파일 이름입니다.
      유형: string
    - 이름: protocol
      설명: 디코더가 추출한 프로토콜(ip, tcp, udp 등)입니다.
      유형: string
    - 이름: srcgeoip
      설명: 소스 IP 주소에 대한 GeoIP 위치 정보입니다.
      유형: string
    - 이름: srcip
      설명: 소스 IP 주소입니다.
      유형: string
      지표:
        - ip
    - 이름: srcport
      설명: 소스 포트입니다.
      유형: string
    - 이름: srcuser
      설명: 소스 사용자 이름입니다.
      유형: string
      지표:
        - username
    - 이름: status
      설명: 이벤트 상태(success, failure 등)입니다.
      유형: string
    - 이름: SyscheckFile
      설명: 파일 무결성 검사에 대한 정보입니다.
      유형: object
      필드:
        - 이름: gowner_after
          설명: 수정 후 그룹 소유자입니다.
          유형: string
        - 이름: gowner_before
          설명: 수정 전 그룹 소유자입니다.
          유형: string
        - 이름: md5_after
          설명: 수정 후 파일의 MD5 해시입니다.
          유형: string
          지표:
            - md5
        - 이름: md5_before
          설명: 수정 전 파일의 MD5 해시입니다.
          유형: string
          지표:
            - md5
        - 이름: owner_after
          설명: 수정 후 파일 소유자입니다.
          유형: string
        - 이름: owner_before
          설명: 수정 전 파일 소유자입니다.
          유형: string
        - 이름: path
          설명: 파일 경로입니다.
          유형: string
        - 이름: perm_after
          설명: 수정 후 파일 권한입니다.
          유형: bigint
        - 이름: perm_before
          설명: 수정 전 파일 권한입니다.
          유형: bigint
        - 이름: sha1_after
          설명: 수정 후 파일의 SHA1 해시입니다.
          유형: string
          지표:
            - sha1
        - 이름: sha1_before
          설명: 수정 전 파일의 SHA1 해시입니다.
          유형: string
          지표:
            - sha1
    - 이름: systemname
      설명: 디코더가 추출한 시스템 이름입니다.
      유형: string
    - 이름: url
      설명: 이벤트의 URL입니다.
      유형: string