Slack 로그

Panther는 Slack에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음의 Slack 로그를 가져올 수 있습니다:

• 감사 로그를 쿼리하여, 감사 로그 API.

  • 감사 로그 API는 다음을 보유한 Slack 고객에게만 제공됩니다, Enterprise+ 플랜입니다.

• 접속 로그를 쿼리하여, team.accessLogs API.

  • 이 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다.

  • 참고: Slack의 속도 제한으로 인해 Panther는 사용자 또는 접속 위치 또는 접속 기기가 새로워진 이벤트만 가져옵니다.

• 통합 로그를 쿼리하여, team.integrationLogs API.

  • 이 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다.

접속 및 통합 로그는 Panther에서 동일한 Slack 로그 소스를 통해 수집할 수 있지만, 감사 로그는 별도의 Slack 로그 소스를 통해 수집해야 합니다. 그러나 모든 세 가지 유형의 로그를 모두 수집해야 할 가능성은 낮습니다, 감사 로그 는 접속 및 통합 로그로 표현된 모든 작업을 포함할 가능성이 높습니다.

Panther는 1분마다 API를 쿼리합니다. Panther가 Slack API에 액세스하려면 Panther에서 새 Slack 소스를 생성하고 Slack 앱을 생성한 후 앱 자격증명을 Panther에 제공해야 합니다.

비디오 안내

Slack 로그를 Panther에 온보딩하는 방법을 보여주는 안내 동영상

Slack 로그를 Panther에 온보딩하는 방법

Panther에서 새 Slack 소스 생성

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. "Slack"을 검색한 다음 해당 타일을 클릭하세요.

4. 슬라이드 아웃 패널에서 클릭하세요 설정 시작.

5. 페이지에서 구성 화면에서 다음 필드에 대한 값을 입력하세요:

   • 이름: 소스에 대한 설명명(예: 내 Slack 로그.

   • 다음을 선택하세요 Slack 플랜: 다음 옵션 중에서 선택:

     • Enterprise Grid (현재 Enterprise+로 알려짐): 이 옵션은 소스가 Slack.AuditLogs.

     • Standard/Plus (현재 Pro/Business+로 알려짐): 이 옵션은 소스가 Slack.AccessLogs 및/또는 Slack.IntegrationLogs.

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정.

7. 페이지에서 자격증명 설정 페이지, 복사 리디렉트 URL을 복사하여 안전한 곳에 저장하세요. 다음 단계에서 필요합니다.

8. 다음 단계를 진행하는 동안 이 브라우저 창을 열어 두세요.

새 Slack 앱 생성

Slack에서 로그를 가져올 권한이 있는 Slack 앱을 생성하세요. 보안성과 가용성을 위해, 우리는 새로운 Panther 전용으로만 사용될 Slack 앱을 만드는 것을 권장합니다.

앱을 다음 용도로 생성할 수 있습니다:

• 감사 로그

• 접속 또는 통합 로그

감사 로그를 가져오기 위한 Slack 앱 생성 방법

아래 지침을 따라 감사 로그를 Panther 계정으로 가져오는 Slack 앱을 생성하세요. 감사 로그 API는 Slack Enterprise+ 플랜 보유 고객에게만 제공됩니다.

접속 또는 통합 로그를 가져오려면 다음 섹션을 참조하세요: 접속 또는 통합 로그를 가져오기 위한 Slack 앱 생성 방법.

1. 모니터링하려는 Enterprise에 속한 Slack 작업공간에 로그인하세요. 모니터링하려는 Enterprise에 속한 작업공간입니다.

   • 다음으로 로그인해야 합니다: 소유자 조직의

2. Enterprise의 모든 작업공간을 표시하는 화면에서 모니터링하려는 작업공간에서 Slack에서 실행 를 클릭하세요.

3. 로 이동합니다 Slack 앱 를 클릭하고 새 앱 생성을 클릭한 다음 처음부터.

   • 다음 항목을 입력하세요 앱 이름 예: Panther 모니터링.

   • 이전에 로그인한 작업공간을 선택하세요.

   

   "Slack 앱 생성" 양식에는 앱 이름 필드가 있으며 그 안에 "Panther monitoring"이 적혀 있습니다. "개발용 Slack 작업공간"이라는 드롭다운 메뉴가 있습니다. 페이지 하단에 회색 "앱 생성" 버튼이 있습니다.
4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 앱 생성.

   • 앱은 선택한 작업공간에 생성되며 나중에 전체 Enterprise 조직을 모니터링할 수 있습니다.

5. 왼쪽 사이드바 메뉴에서 OAuth 및 권한.

6. 을 클릭하세요. 아래로 스크롤하여 섹션의 명령을 실행하세요.

7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 리디렉트 URL 을 추가하고 리디렉트 URL 을 이전 섹션의 Panther 콘솔에서 복사한 값을 입력하세요.

8. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. URL 저장.

9. 을 클릭하세요. 사용자 토큰 범위 섹션. 다음을 추가하세요, auditlogs:read 범위.

10. 왼쪽 사이드바에서 설정 > 배포 관리

11. 로 이동하세요."앱을 다른 작업공간과 공유"라는 섹션 아래에서, 다음 옵션을 활성화하세요:앱을 다른 작업공간과 공유

    • 기능 및 기능 활성화

    • OAuth 리디렉트 URL 추가

    • 하드 코딩된 정보 제거

    • 기능에 HTTPS 사용

12. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 공개 배포 활성화.

    • 참고: 이 설정은 Slack 앱을 다른 조직에서 접근 가능하게 만들지 않습니다. Slack은 감사 로그.

13. 왼쪽 사이드바에서 설정 > 기본 정보.

14. 일반 구성 앱 자격증명 섹션에서, 클라이언트 ID 와 클라이언트 시크릿.

15. 을 복사하세요. 이 프로세스를 완료하려면 Panther에서 Slack 온보딩 마무리

의 단계를 따르세요.

접속 또는 통합 로그를 가져오기 위한 Slack 앱 생성 방법

접속 로그와 통합 로그 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다. 감사 로그를 가져오기 위한 Slack 앱 생성 방법.

1. 모니터링하려는 Enterprise에 속한 Slack 작업공간에 로그인하세요. 감사 로그를 가져오려면 이전 섹션을 참조하세요:

   • 다음으로 로그인해야 합니다: 소유자 조직의

2. 모니터링하려는 작업공간. Slack에서 실행 를 클릭하세요.

3. 로 이동합니다 Slack 앱 를 클릭하고 새 앱 생성을 클릭한 다음 처음부터.

   • 다음 항목을 입력하세요 앱 이름 예: Panther 모니터링.

   • 이전에 로그인한 작업공간을 선택하세요.

   

   "Slack 앱 생성" 양식에는 앱 이름 필드가 있으며 그 안에 "Panther monitoring"이 적혀 있습니다. "개발용 Slack 작업공간"이라는 드롭다운 메뉴가 있습니다. 페이지 하단에 회색 "앱 생성" 버튼이 있습니다.
4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 앱 생성.

   • 선택한 작업공간에 앱이 생성됩니다.

5. 왼쪽 사이드바 메뉴에서 OAuth 및 권한.

6. 을 클릭하세요. 아래로 스크롤하여 섹션의 명령을 실행하세요.

7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 리디렉트 URL 을 추가하고 리디렉트 URL 을 이전 섹션의 Panther 콘솔에서 복사한 값을 입력하세요.

8. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. URL 저장.

9. 아래로 스크롤하여 범위 > 사용자 토큰 범위섹션을 찾으세요. 다음을 추가하세요, admin 범위, Slack API 문서의 지침에 따라 Access 와 Integration 로그.

10. 왼쪽 사이드바에서 설정 > 기본 정보.

11. 일반 구성 앱 자격증명 섹션에서, 클라이언트 ID 와 클라이언트 시크릿.

12. 을 복사하세요. 이 프로세스를 완료하려면 Panther에서 Slack 온보딩 마무리

Panther에서 Slack 온보딩 마무리

1. Panther 콘솔로 돌아가세요.

2. "자격증명 설정" 페이지에서 Slack의 클라이언트 ID를 클라이언트 ID 필드에 붙여넣고 Slack의 클라이언트 시크릿을 클라이언트 시크릿 필드에 붙여넣으세요.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정.

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 소스 저장.

5. 페이지에서 설정 확인 화면에서 액세스 허용.

   • 을 클릭하세요.

   • 앱 설치를 위한 Slack 페이지로 리디렉션됩니다. 감사 로그의 경우, 반드시 앱을 와 Enterprise 조직 에 설치하세요,

6. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 특정 작업공간에

7. 설치하지 마세요! 설정. 성공 화면으로 이동합니다:

   

   • 성공 화면으로 이동됩니다: 선택적으로 하나 이상의.

   • 사용자를 사용할 것이며, 가 활성화될 수 있습니다 "이벤트가 처리되지 않을 때 알러트를 트리거" 설정의 기본값은예

     

참고: 허용.

• Panther 콘솔에서

• 을 클릭하세요.

다음의 경우 통합에 제한이 발생할 수 있습니다:

Panther의 내장된 앱을 조직에 설치한 사용자의 계정이 비활성화된 경우.

지원되는 로그 유형

Slack.AccessLogs

앱이 삭제되었거나 액세스 토큰이 취소되었거나 앱 자격증명이 교체된 경우 참고: Panther 제작 디텍션 GitHub의 panther-analysis에 있는 Slack용 룰, Slack 작업공간 사용자의 접속 로그. Slack의 속도 제한으로 인해 Panther는 사용자 또는 접속 위치 또는 접속 기기가 새로워진 이벤트만 가져옵니다. Panther는 이벤트의

참고: date_last

count
파서:
    네이티브:
        필드를 업데이트하지 않습니다.'
접속 로그에 대한 Slack 문서.
스키마: Slack.AccessLogs
필드:
    - 이름: user_id
      required: true
      이름: Slack.AccessLogs
      type: string
    - 이름: username
      설명: 'Slack 작업공간 사용자의 접속 로그. 참고: Slack의 속도 제한으로 인해 Panther는 사용자 또는 접속 위치 또는 접속 기기가 새로워진 이벤트만 가져옵니다. Panther는 이벤트의 `date_last`, `count` 필드를 업데이트하지 않습니다.'
      type: string
      지표:
        - username
    참고 URL: https://api.slack.com/methods/team.accessLogs
      required: true
      설명: Slack에 접속하는 사용자의 id.
      type: timestamp
      시간형식: unix
    설명: Slack에 접속하는 사용자의 사용자 이름.
      required: true
      - 이름: date_first
      type: timestamp
      시간형식: unix
      isEventTime: true
    - 이름: count
      required: true
      설명: 이 사용자, IP 주소 및 사용자 에이전트 조합에 대한 첫 번째 접속 로그 항목의 유닉스 타임스탬프.
      type: bigint
    - 이름: ip
      required: true
      - 이름: date_last
      type: string
      지표:
        - ip
    - name: user_agent
      설명: '이 사용자, IP 주소 및 사용자 에이전트 조합에 대한 가장 최근 접속 로그 항목의 유닉스 타임스탬프. 참고: Slack API에서 이 필드가 업데이트되더라도 Panther는 이 필드를 업데이트하지 않습니다.'
      type: string
    - name: isp
      설명: '해당 조합에 대한 총 접속 로그 항목 수. 참고: Slack API에서 이 필드가 업데이트되더라도 Panther는 이 필드를 업데이트하지 않습니다.'
      type: string
    - 이름: country
      설명: Slack에 접속하는 데 사용된 기기의 IP 주소.
      type: string
    - 이름: region
      설명: Slack에 접속하는 데 사용된 기기의 IP 주소.
      type: string

Slack.AuditLogs

설명: 브라우저 또는 클라이언트 애플리케이션에서 보고된 사용자 에이전트 문자열.

참고: 설명: IP 주소를 소유한 인터넷 서비스 제공업체에 대한 추정치.

설명: IP 주소를 기반으로 접속이 시작된 위치에 대한 추정치.
파서:
    네이티브:
        Slack 감사 로그는 Enterprise 조직에서 사용자가 수행하는 작업을 보여줍니다.
감사 로그에 대한 Slack 문서.
스키마: Slack.AuditLogs
필드:
    - 이름: id
      required: true
      이름: Slack.AuditLogs
      type: string
    설명: Slack 감사 로그는 Enterprise 조직에서 사용자가 수행하는 작업을 보여줍니다.
      required: true
      참고 URL: https://api.slack.com/enterprise/audit-logs
      type: timestamp
      시간형식: unix
      isEventTime: true
    - 이름: action
      required: true
      설명: 이벤트 id
      type: string
    - name: actor
      required: true
      - 이름: date_create
      type: object
      필드:
        - 이름: type
          required: true
          설명: 이벤트 생성 타임스탬프
          type: string
        - name: user
          설명: 수행된 작업. https://api.slack.com/enterprise/audit-logs#audit_logs_actions 참조
          type: object
          필드:
            - 이름: id
              required: true
              설명: 행위자는 항상 작업공간의 사용자이며 W123AB456와 같은 사용자 ID로 식별됩니다.
              type: string
            - 이름: name
              설명: 행위자의 유형(항상 사용자)
              type: string
              지표:
                - username
            - 이름: email
              설명: 사용자에 대한 정보
              type: string
              지표:
                - 이메일
            설명: 사용자의 id(작업을 수행한 사용자가 없으면 'USLACKUSER')
              설명: 사용자의 표시 이름
              type: string
    - 이름: entity
      required: true
      설명: 사용자의 이메일
      type: object
      필드:
        - 이름: type
          required: true
          - 이름: team
          type: string
        - name: user
          설명: 사용자의 팀
          type: object
          필드:
            - 이름: id
              required: true
              설명: 행위자는 항상 작업공간의 사용자이며 W123AB456와 같은 사용자 ID로 식별됩니다.
              type: string
            - 이름: name
              설명: 행위자의 유형(항상 사용자)
              type: string
              지표:
                - username
            - 이름: email
              설명: 사용자에 대한 정보
              type: string
              지표:
                - 이메일
            설명: 사용자의 id(작업을 수행한 사용자가 없으면 'USLACKUSER')
              설명: 사용자의 표시 이름
              type: string
        설명: 엔터티는 행위자가 작업을 수행한 대상이며 그것은 해당 항목의 Slack ID가 됩니다.
          설명: 작업에 영향을 받은 항목의 유형(user,channel,file,app,workspace,enterprise,message,workflow)
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 사용자에 대한 정보
              type: string
            - 이름: name
              - 이름: channel
              type: string
            설명: 영향을 받은 채널에 대한 정보
              설명: 채널의 id
              type: string
            설명: 채널 이름
              - 이름: privacy
              유형: boolean
            설명: 채널의 프라이버시 모드
              - 이름: is_shared
              유형: boolean
            설명: 채널이 공유되는지 여부
              - 이름: is_org_shared
              type: array
              element:
                type: string
        - 이름: file
          설명: 채널이 조직 내에서 공유되는지 여부
          type: object
          필드:
            - 이름: id
              required: true
              - 이름: teams_shared_with
              type: string
            - 이름: name
              설명: 채널이 공유된 팀들
              type: string
            설명: 영향을 받은 파일에 대한 정보
              설명: 파일의 id
              type: string
            설명: 파일명
              - 이름: title
              type: string
        설명: 파일 제목
          - 이름: filetype
          type: object
          필드:
            - 이름: id
              required: true
              설명: 파일 형식
              type: string
            - 이름: name
              - 이름: app
              type: string
            설명: 영향을 받은 앱에 대한 정보
              설명: 앱의 id
              유형: boolean
            설명: 앱 이름
              - 이름: is_distributed
              유형: boolean
            설명: 앱이 배포되었는지 여부
              - 이름: is_directory_approved
              type: array
              element:
                type: string
        설명: 앱이 승인된 앱 디렉토리에 있는지 여부
          - 이름: scopes
          type: object
          필드:
            - 이름: id
              required: true
              설명: 앱이 요구하는 OAuth2 범위들
              type: string
            - 이름: name
              - 이름: workspace
              type: string
            - name: domain
              설명: 영향을 받은 작업공간에 대한 정보
              type: string
        설명: 작업공간의 id
          설명: 작업공간의 이름
          type: object
          필드:
            - 이름: id
              required: true
              설명: 작업공간 도메인
              type: string
            - 이름: name
              - 이름: enterprise
              type: string
            - name: domain
              설명: 영향을 받은 엔터프라이즈에 대한 정보
              type: string
        설명: 엔터프라이즈의 id
          설명: 엔터프라이즈의 이름
          type: object
          필드:
            - 이름: id
              required: true
              설명: 엔터프라이즈 도메인
              type: string
            - 이름: name
              - 이름: workflow
              type: string
        - name: message
          설명: 영향을 받은 워크플로우에 대한 정보
          type: object
          필드:
            설명: 사용자의 id(작업을 수행한 사용자가 없으면 'USLACKUSER')
              설명: 워크플로우의 id
              type: string
            설명: 엔터티는 행위자가 작업을 수행한 대상이며 그것은 해당 항목의 Slack ID가 됩니다.
              설명: 워크플로우의 이름
              type: string
            - 이름: timestamp
              설명: 영향을 받은 메시지에 대한 정보
              type: string
    - 이름: context
      required: true
      설명: 메시지가 게시된 팀
      type: object
      필드:
        - 이름: ua
          설명: 메시지가 게시된 채널
          type: string
        - 이름: ip_address
          설명: 메시지의 타임스탬프
          type: string
          지표:
            - ip
        - 이름: location
          설명: 컨텍스트는 행위자가 엔터티에 대해 작업을 수행한 위치입니다. 이는 항상 적절한 ID와 함께 작업공간 또는 엔터프라이즈 중 하나입니다.
          type: object
          필드:
            - 이름: type
              required: true
              설명: 작업에 사용된 사용자 에이전트
              type: string
            - 이름: id
              required: true
              설명: 작업이 수행된 IP 주소
              type: string
            - name: domain
              설명: 행위자가 엔터티에 대해 작업을 수행한 위치.
              type: string
            - 이름: name
              설명: 위치 유형. 이는 항상 작업공간 또는 엔터프라이즈 중 하나입니다
              type: string
    - 이름: details
      설명: 위치 id
      유형: json

Slack.IntegrationLogs

설명: 위치 도메인

참고: 설명: 위치 이름

설명: 감사 로그 이벤트에 대한 추가 세부사항
파서:
    네이티브:
        팀의 통합 활동 로그로, 통합이 추가, 수정 및 제거된 시점을 포함합니다.
통합 로그에 대한 Slack 문서.
스키마: Slack.IntegrationLogs
필드:
    - 이름: user_id
      required: true
      이름: Slack.IntegrationLogs
      type: string
    - 이름: user_name
      설명: 팀의 통합 활동 로그로, 통합이 추가, 수정 및 제거된 시점을 포함합니다.
      type: string
      지표:
        - username
    참고 URL: https://api.slack.com/methods/team.integrationLogs
      설명: 작업을 수행하는 사용자의 id.
      type: string
    설명: 작업을 수행하는 사용자의 사용자 이름.
      - 이름: service_id
      type: string
    - 이름: app_id
      설명: 이 로그가 관련된 서비스 id.
      type: string
    - 이름: service_type
      설명: 이 로그가 관련된 서비스 유형.
      type: string
    설명: 이 로그가 관련된 앱 id.
      required: true
      - 이름: app_type
      type: timestamp
      시간형식: unix
      isEventTime: true
    설명: 이 로그가 관련된 앱 유형.
      required: true
      - 이름: date
      type: string
    설명: 작업이 발생한 날짜.
      - 이름: change_type
      type: string
    설명: 엔터티는 행위자가 작업을 수행한 대상이며 그것은 해당 항목의 Slack ID가 됩니다.
      설명: 이 작업의 유형(추가됨, 제거됨, 활성화됨, 비활성화됨, 업데이트됨).
      type: string
    - 이름: reason
      - 이름: scope
      type: string
    설명: 이 작업에 사용된 범위.
      설명: 관련 채널.
      유형: boolean
    설명: 비활성화 작업의 사유로, 이 이벤트가 해당 작업을 가리키는 경우 채워집니다.
      - 이름: rss_feed
      type: string
    설명: 이 로그 항목이 RSS 피드인 경우 true. true이면 더 많은 RSS 피드 관련 필드가 존재합니다.
      - 이름: rss_feed_change_type
      type: string
    설명: RSS 피드의 변경 유형.
      - 이름: rss_feed_title
      type: string