Push Security 로그

Push Security 로그를 Panther Console에 연결

개요

Panther가 수집하는 푸시 시큐리티 웹훅을 구성하여 이벤트를 다음으로 전송함으로써 로그를 Panther HTTP 소스.

푸시 시큐리티 로그를 Panther에 연결하는 방법

1단계: Panther에서 Push Security 소스 만들기

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. “Push Security”를 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운에는 다음이 미리 채워집니다 HTTP 옵션.

4. 클릭합니다 설정 시작.

   
5. 다음을 따르세요: HTTP 소스를 구성하기 위한 Panther의 지침.

   • 다음의 인증 방식, 선택 HMAC.

     • 다음 헤더 이름 필드에 다음을 입력합니다 x-signature.

   • 이 소스로 전송되는 페이로드는 모든 HTTP 소스의 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

HTTP 소스를 만든 후 Panther Console에 다음이 표시됩니다 HTTP Source URL—s이것과 그 비밀 키 값 다음 단계에서 필요하므로 안전한 위치에 보관하세요.

2단계: Push Security에서 새 웹훅 만들기

• Push Security의 Panther를 사용한 이벤트 수집 문서에서 다음을 따르세요. Push에서 통합 구성 지침에 따라 Panther 웹훅 통합을 설정합니다.

Panther가 관리하는 디택션

참고 Panther가 관리하는 Push Security에 대한 규칙은 다음의 panther-analysis GitHub 저장소.

지원되는 로그 유형

PushSecurity.Activity

스키마: Custom.PushSecurity.Activity
설명: Push Security 최종 사용자 활동
참조 URL: https://pushsecurity.redoc.ly/webhooks-v1#tag/Activity
fieldDiscoveryEnabled: true
필드:
    - 이름: id
      필수: true
      유형: string
    - 이름: new
      필수: true
      유형: object
      필드:
        - name: accountId
          유형: string
        - 이름: 앱 ID
          유형: string
        - 이름: email
          유형: string
          지표:
            - email
        - 이름: employeeId
          유형: string
        - name: identityProvider
          유형: string
        - 이름: leakedPassword
          유형: boolean
        - 이름: loginTimestamp
          유형: timestamp
          시간 형식:
            - unix
        - 이름: loginType
          유형: string
        - 이름: loginUrl
          유형: string
          지표:
            - url
        - 이름: passwordId
          유형: string
        - 이름: passwordManuallyTyped
          유형: boolean
        - 이름: weakPassword
          유형: boolean
        - 이름: weakPasswordReasons
          유형: array
          요소:
            유형: string
        - 이름: workApp
          유형: boolean
        - 이름: appBanner
          유형: object
          필드:
            - 이름: action
              유형: string
            - 이름: buttonText
              유형: string
            - 이름: mode
              유형: string
            - 이름: subtext
              유형: string
            - 이름: title
              유형: string
        - 이름: employee
          유형: object
          필드:
            - 이름: chatopsEnabled
              유형: boolean
            - 이름: creationTimestamp
              유형: timestamp
              시간 형식:
                - unix
            - 이름: department
              유형: string
            - 이름: email
              유형: string
              지표:
                - email
            - 이름: firstName
              유형: string
            - 이름: id
              유형: string
            - 이름: lastName
              유형: string
            - 이름: licensed
              유형: boolean
            - 이름: location
              유형: string
        - 이름: 앱 유형
          유형: string
        - 이름: browser
          유형: string
        - 이름: os
          유형: string
        - 이름: sourceIpAddress
          유형: string
          지표:
            - ip
        - name: userAgent
          유형: string
    - 이름: object
      검증:
        허용: [ "LOGIN", 
            "APP_BANNER"]
      필수: true
      유형: string
    - 이름: timestamp
      필수: true
      유형: timestamp
      이벤트 시간 여부: true
      시간 형식:
        - unix
    - 이름: version
      필수: true
      유형: bigint

PushSecurity.Controls

스키마: PushSecurity.Controls
설명: Push Security가 탐지한 공격
참조 URL: https://pushsecurity.redoc.ly/webhooks-v1#tag/Controls
필드:
    - 이름: id
      필수: true
      유형: string
    - 이름: new
      필수: true
      유형: object
      필드:
        - 이름: action
          유형: string
        - 이름: 앱 유형
          유형: string
        - 이름: browser
          유형: string
        - 이름: email
          유형: string
          지표:
            - email
        - 이름: employee
          유형: object
          필드:
            - 이름: chatopsEnabled
              유형: boolean
            - 이름: creationTimestamp
              유형: timestamp
              시간 형식:
                - unix
            - 이름: department
              유형: string
            - 이름: email
              유형: string
              지표:
                - email
            - 이름: firstName
              유형: string
            - 이름: id
              유형: string
            - 이름: lastName
              유형: string
            - 이름: licensed
              유형: boolean
            - 이름: location
              유형: string
        - 이름: mode
          유형: string
        - 이름: os
          유형: string
        - 이름: referrerUrl
          유형: string
          지표:
            - url
        - 이름: sourceIpAddress
          유형: string
          지표:
            - ip
        - 이름: url
          유형: string
          지표:
            - url
        - name: userAgent
          유형: string
    - 이름: object
      필수: true
      유형: string
    - 이름: category
      필수: true
      유형: string
      검증:
        allow:
            - CONTROL
    - 이름: timestamp
      필수: true
      유형: timestamp
      시간 형식:
        - unix
      이벤트 시간 여부: true
    - 이름: version
      필수: true
      유형: bigint

PushSecurity.Entities

스키마: Custom.PushSecurity.Entities
설명: Push Security 앱, 직원, 계정 및 발견 사항
참조 URL: https://pushsecurity.redoc.ly/webhooks-v1#tag/Entities
fieldDiscoveryEnabled: true
필드:
    - 이름: id
      필수: true
      유형: string
    - 이름: new
      필수: true
      유형: object
      필드:
        - 이름: chatopsEnabled
          유형: boolean
        - 이름: department
          유형: string
        - 이름: firstName
          유형: string
        - 이름: lastName
          유형: string
        - 이름: licensed
          유형: boolean
        - 이름: location
          유형: string
        - 이름: mfaMethods
          유형: array
          요소:
            유형: string
        - 이름: mfaRegistered
          유형: boolean
        - 이름: state
          유형: string
        - 이름: 앱 ID
          유형: string
        - 이름: 앱 유형
          유형: string
        - 이름: passwordId
          유형: string
        - 이름: approvalStatus
          유형: string
        - 이름: notes
          유형: string
        - 이름: ownerId
          유형: string
        - 이름: sensitivityLevel
          유형: string
        - 이름: type
          유형: string
        - 이름: otherAppId
          유형: string
        - 이름: lastUsedTimestamp
          유형: timestamp
          시간 형식:
            - unix
        - 이름: loginMethods
          유형: object
          필드:
            - 이름: oktaSwaLogin
              유형: boolean
            - 이름: vendorSsoLogin
              유형: string
            - 이름: oidcLogin
              유형: string
            - 이름: passwordLogin
              유형: boolean
            - 이름: samlLogin
              유형: string
        - 이름: email
          유형: string
          지표:
            - email
        - 이름: employeeId
          유형: string
        - name: domain
          유형: string
        - 이름: hidden
          유형: boolean
        - 이름: name
          유형: string
        - 이름: oauthAppId
          유형: bigint
        - 이름: requestSupportStatus
          유형: string
        - 이름: creationTimestamp
          유형: timestamp
          시간 형식:
            - unix
        - 이름: id
          유형: string
    - 이름: object
      필수: true
      검증:
        허용: [ "EMPLOYEE", 
            "ACCOUNT",
            "FINDING",
            "APP",
            "ACCOUNT_OTHER",
            "APP_OTHER"]
      유형: string
    - 이름: old
      required: false
      유형: object
      필드:
        - 이름: chatopsEnabled
          유형: boolean
        - 이름: department
          유형: string
        - 이름: firstName
          유형: string
        - 이름: lastName
          유형: string
        - 이름: licensed
          유형: boolean
        - 이름: location
          유형: string
        - 이름: lastUsedTimestamp
          유형: timestamp
          시간 형식:
            - unix
        - 이름: mfaMethods
          유형: array
          요소:
            유형: string
        - 이름: mfaRegistered
          유형: boolean
        - 이름: state
          유형: string
        - 이름: 앱 ID
          유형: string
        - 이름: 앱 유형
          유형: string
        - 이름: passwordId
          유형: string
        - 이름: approvalStatus
          유형: string
        - 이름: notes
          유형: string
        - 이름: ownerId
          유형: string
        - 이름: sensitivityLevel
          유형: string
        - 이름: type
          유형: string
        - 이름: otherAppId
          유형: string
        - 이름: loginMethods
          유형: object
          필드:
            - 이름: oidcLogin
              유형: string
            - 이름: oktaSwaLogin
              유형: boolean
            - 이름: samlLogin
              유형: string
            - 이름: vendorSsoLogin
              유형: string
            - 이름: passwordLogin
              유형: boolean
        - 이름: email
          유형: string
          지표:
            - email
        - 이름: employeeId
          유형: string
        - name: domain
          유형: string
        - 이름: hidden
          유형: boolean
        - 이름: name
          유형: string
        - 이름: oauthAppId
          유형: bigint
        - 이름: requestSupportStatus
          유형: string
        - 이름: creationTimestamp
          유형: timestamp
          시간 형식:
            - unix
        - 이름: id
          유형: string
    - 이름: timestamp
      필수: true
      유형: timestamp
      이벤트 시간 여부: true
      시간 형식:
        - unix
    - 이름: type
      필수: true
      유형: string
    - 이름: version
      필수: true
      유형: bigint