Slack 로그

Panther는 Slack에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음 Slack 로그를 가져올 수 있습니다:

• 감사 로그를 쿼리하여, 감사 로그 API.

  • 감사 로그 API는 다음을 보유한 Slack 고객만 사용할 수 있습니다, Enterprise+ 플랜.

• 접근 로그를 쿼리하여, team.accessLogs API.

  • 이 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다.

  • 참고: Slack의 속도 제한으로 인해, Panther는 사용자 또는 접근 위치 또는 접근 장치가 새로 생긴 이벤트만 가져옵니다.

• 통합 로그를 쿼리하여, team.integrationLogs API.

  • 이 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다.

접근 및 통합 로그는 Panther에서 동일한 Slack 로그 소스를 통해 수집할 수 있는 반면, 감사 로그는 별도의 Slack 로그 소스를 통해 수집되어야 합니다. 그러나 모든 세 가지 유형의 로그를 모두 수집해야 하는 경우는 드뭅니다, 왜냐하면 감사 로그 에는 접근 및 통합 로그에 나타난 모든 작업이 포함되어 있을 가능성이 높기 때문입니다.

Panther는 API를 매 1분마다 쿼리합니다. Panther가 Slack API에 접근하려면 Panther에서 새 Slack 소스를 생성하고, Slack 앱을 생성한 다음 앱 자격 증명을 Panther에 제공해야 합니다.

비디오 안내

Slack 로그를 Panther에 온보딩하는 방법을 보여주는 안내 영상

Slack 로그를 Panther에 온보딩하는 방법

Panther에서 새 Slack 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. "Slack"을 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드 아웃 패널에서, 클릭하세요 설정 시작.

5. 페이지에서 구성 화면에서 다음 필드에 대한 값을 입력합니다:

   • 이름: 소스에 대한 설명적인 이름을 입력하세요 예: 내 Slack 로그.

   • 귀하의 Slack 플랜을 선택하세요: 다음 옵션 중에서 선택:

     • Enterprise Grid (현재 Enterprise+로 알려짐): 이 옵션은 소스가 수신하도록 활성화합니다 Slack.AuditLogs.

     • Standard/Plus (현재 Pro/Business+로 알려짐): 이 옵션은 소스가 수신하도록 활성화합니다 Slack.AccessLogs 및/또는 Slack.IntegrationLogs.

6. 클릭 설정.

7. 페이지에서 자격 증명 설정 페이지, 복사 리디렉트 URL을 복사하여 안전한 곳에 저장하세요. 다음 단계에서 필요합니다.

8. 다음 단계를 진행하는 동안 이 브라우저 창을 열어 두세요.

새 Slack 앱 생성

Slack에서 로그를 가져올 수 있는 권한을 가진 Slack 앱을 생성하세요. 보안 및 가용성 상의 이유로, 우리는 새로운 Panther와만 함께 사용할 Slack 앱을 생성할 것을 권장합니다.

다음 용도로 앱을 생성할 수 있습니다:

• 감사 로그

• 접근 또는 통합 로그

감사 로그를 가져오기 위한 Slack 앱 생성 방법

아래 지침을 따라 감사 로그를 Panther 계정으로 가져오는 Slack 앱을 생성하세요. 감사 로그 API는 Slack Enterprise+ 플랜 만 해당 고객에게 제공됩니다.

접근 또는 통합 로그를 가져오려면, 다음 섹션을 참조하세요: 접근 또는 통합 로그를 가져오기 위한 Slack 앱 생성 방법.

1. 모니터링하려는 Enterprise에 속한 Slack 워크스페이스에 로그인하세요. 모니터링하려는 Enterprise에 속한 워크스페이스에 로그인하세요.

   • 다음으로 로그인해야 합니다, 소유자 조직의 소유자로 로그인해야 합니다.

2. Enterprise의 모든 워크스페이스를 표시하는 화면에서, 모니터링하려는 워크스페이스에서 Slack에서 실행 을 클릭하세요.

3. 로 이동하세요 Slack 앱 을 클릭하고 새 앱 생성을 클릭한 다음 처음부터.

   • 를 클릭하세요 앱 이름을 입력하세요 예: Panther 모니터링.

   • 이전에 로그인한 워크스페이스를 선택하세요.

   

   "Slack 앱 생성" 양식에 앱 이름 필드가 표시되며, 그 안에 "Panther monitoring"이 적혀 있습니다. "개발 Slack 워크스페이스"라는 드롭다운 메뉴가 있습니다. 페이지 하단에는 회색의 "앱 생성" 버튼이 있습니다.
4. 클릭 앱 생성.

   • 앱은 선택한 워크스페이스에 생성되며 이후 전체 Enterprise 조직을 모니터링할 수 있게 됩니다.

5. 왼쪽 사이드바 메뉴에서 OAuth & 권한.

6. 을 클릭하세요 아래로 스크롤하여 섹션.

7. 클릭 리디렉트 URL 을 추가하고 리디렉트 URL 에 이전 섹션에서 Panther 콘솔에서 복사한 값을 입력하세요.

8. 클릭 URL 저장.

9. 을 클릭하세요 사용자 토큰 범위 섹션에. 다음 범위를 추가하세요, auditlogs:read 권한.

10. 왼쪽 사이드바에서, 설정 > 배포 관리

11. 으로 이동하세요.섹션 제목 "앱을 다른 워크스페이스와 공유

    • "에서 다음 옵션을 활성화하세요:

    • 기능 및 기능 활성화

    • OAuth 리디렉트 URL 추가

    • 하드코딩된 정보 제거

12. 클릭 기능에 HTTPS 사용.

    • 공개 배포 활성화 참고: 감사 로그.

13. 왼쪽 사이드바에서, 설정 > 이것은 Slack 앱을 다른 조직에서 접근할 수 있도록 만드는 것은 아닙니다. Slack은 다음을 가져오기 위해 이 설정을 요구합니다,.

14. 다음 기본 정보 앱 자격 증명 섹션에서, 다음을 복사하세요, 와 클라이언트 ID.

15. 클라이언트 시크릿 이 프로세스를 완료하려면 Panther에서 Slack 온보딩 마무리하기

아래 단계를 따르세요.

접근 또는 통합 로그를 가져오기 위한 Slack 앱 생성 방법

접근 로그 및 통합 로그 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다. 감사 로그를 가져오기 위한 Slack 앱 생성 방법.

1. 모니터링하려는 Enterprise에 속한 Slack 워크스페이스에 로그인하세요. 감사 로그를 가져오려면 이전 섹션을 참조하세요:

   • 다음으로 로그인해야 합니다, 소유자 조직의 소유자로 로그인해야 합니다.

2. 모니터링하려는 워크스페이스에서 Slack에서 실행 을 클릭하세요.

3. 로 이동하세요 Slack 앱 을 클릭하고 새 앱 생성을 클릭한 다음 처음부터.

   • 를 클릭하세요 앱 이름을 입력하세요 예: Panther 모니터링.

   • 이전에 로그인한 워크스페이스를 선택하세요.

   

   "Slack 앱 생성" 양식에 앱 이름 필드가 표시되며, 그 안에 "Panther monitoring"이 적혀 있습니다. "개발 Slack 워크스페이스"라는 드롭다운 메뉴가 있습니다. 페이지 하단에는 회색의 "앱 생성" 버튼이 있습니다.
4. 클릭 앱 생성.

   • 앱은 선택한 워크스페이스에 생성됩니다.

5. 왼쪽 사이드바 메뉴에서 OAuth & 권한.

6. 을 클릭하세요 아래로 스크롤하여 섹션.

7. 클릭 리디렉트 URL 을 추가하고 리디렉트 URL 에 이전 섹션에서 Panther 콘솔에서 복사한 값을 입력하세요.

8. 클릭 URL 저장.

9. 아래로 스크롤하여 제목이 있는 섹션으로 이동하세요, 범위 > 사용자 토큰 범위. 다음 권한을 추가하세요, admin 범위, Slack API 문서에 표시된 대로 접근 와 통합 로그.

10. 왼쪽 사이드바에서, 설정 > 이것은 Slack 앱을 다른 조직에서 접근할 수 있도록 만드는 것은 아닙니다. Slack은 다음을 가져오기 위해 이 설정을 요구합니다,.

11. 다음 기본 정보 앱 자격 증명 섹션에서, 다음을 복사하세요, 와 클라이언트 ID.

12. 클라이언트 시크릿 이 프로세스를 완료하려면 Panther에서 Slack 온보딩 마무리하기

Panther에서 Slack 온보딩 마무리하기

1. Panther 콘솔로 돌아가세요.

2. "자격 증명 설정" 페이지에서 Slack의 클라이언트 ID를 Client ID 필드에 붙여넣고 Slack의 클라이언트 시크릿을 클라이언트 ID 필드에 붙여넣으세요.

3. 클릭 설정.

4. 클릭 소스 저장.

5. 페이지에서 설정 확인 화면에서, 클릭하세요 액세스 허용.

   • 앱을 설치하기 위한 Slack 페이지로 리디렉션됩니다.

   • 감사 로그의 경우, 앱을 반드시 Enterprise 조직 와 에 설치해야 하며 특정 워크스페이스에

6. 클릭 설치하지 마세요!

7. 허용. 설정. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 탐지 팩(Detection Packs).

   • 설정은 이벤트가 처리되지 않을 때 경고 트리거 기본값은 예. 데이터가 일정 기간 이후 로그 소스에서 흐르지 않으면 알림을 받으므로 이 설정을 활성화된 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

공개 배포 활성화 Panther 콘솔에서, 클릭하세요

• 다음과 같은 경우 통합에 제한이 발생합니다:

• 앱을 조직에 설치한 사용자의 계정이 비활성화된 경우

앱이 삭제되었거나, 액세스 토큰이 취소되었거나, 앱 자격 증명이 교체된 경우

Panther의 내장된 Panther 제작 탐지.

지원되는 로그 유형

Slack.AccessLogs

Github의 panther-analysis에 있는 Slack용 규칙 공개 배포 활성화 Slack 워크스페이스 사용자의 접근 로그. Slack의 속도 제한으로 인해 Panther는 사용자 또는 접근 위치 또는 접근 장치가 새로 생긴 이벤트만 가져옵니다. Panther는 이벤트의, date_last count

참조: 필드를 업데이트하지 않습니다.'

접근 로그에 대한 Slack 문서.
파서:
    원본:
        스키마: Slack.AccessLogs
이름: Slack.AccessLogs
설명: 'Slack 워크스페이스 사용자의 접근 로그입니다. 참고: Slack의 속도 제한으로 인해 Panther는 사용자 또는 접근 위치 또는 접근 장치가 새로 생긴 이벤트만 가져옵니다. Panther는 이벤트의 `date_last`, `count` 필드를 업데이트하지 않습니다.'
필드:
    - 이름: user_id
      required: true
      참조 URL: https://api.slack.com/methods/team.accessLogs
      type: string
    - 이름: username
      설명: Slack에 접근하는 사용자의 id.
      type: string
      지표:
        - username
    설명: Slack에 접근하는 사용자의 사용자 이름.
      required: true
      - 이름: date_first
      type: timestamp
      시간 형식: unix
    설명: 이 사용자, IP 주소 및 사용자 에이전트 조합에 대한 첫 번째 접근 로그 항목의 Unix 타임스탬프.
      required: true
      - 이름: date_last
      type: timestamp
      시간 형식: unix
      isEventTime: true
    - 이름: count
      required: true
      설명: '이 사용자, IP 주소 및 사용자 에이전트 조합에 대한 가장 최근 접근 로그 항목의 Unix 타임스탬프. 참고: Panther는 이 필드가 Slack API에서 업데이트되더라도 이 필드를 업데이트하지 않습니다.'
      type: bigint
    - 이름: ip
      required: true
      설명: '해당 조합에 대한 접근 로그 항목의 총 수. 참고: Panther는 이 필드가 Slack API에서 업데이트되더라도 이 필드를 업데이트하지 않습니다.'
      type: string
      지표:
        - ip
    - name: user_agent
      설명: Slack에 접근하는 데 사용된 장치의 IP 주소.
      type: string
    - 이름: isp
      설명: 브라우저 또는 클라이언트 애플리케이션에서 보고된 사용자 에이전트 문자열.
      type: string
    - 이름: country
      설명: IP 주소를 소유한 인터넷 서비스 제공업체에 대한 추정치.
      type: string
    - 이름: region
      설명: IP 주소를 소유한 인터넷 서비스 제공업체에 대한 추정치.
      type: string

Slack.AuditLogs

설명: IP 주소를 기반으로 접근이 발생한 위치에 대한 추정치.

참조: Slack 감사 로그는 Enterprise 조직에서 사용자가 수행하는 작업을 보여줍니다.

감사 로그에 대한 Slack 문서.
파서:
    원본:
        스키마: Slack.AuditLogs
이름: Slack.AuditLogs
설명: Slack 감사 로그는 Enterprise 조직에서 사용자가 수행하는 작업을 보여줍니다.
필드:
    - 이름: id
      required: true
      참조 URL: https://api.slack.com/enterprise/audit-logs
      type: string
    설명: 이벤트 id
      required: true
      - 이름: date_create
      type: timestamp
      시간 형식: unix
      isEventTime: true
    - 이름: action
      required: true
      설명: 이벤트 생성 타임스탬프
      type: string
    - 이름: actor
      required: true
      설명: 수행된 작업. https://api.slack.com/enterprise/audit-logs#audit_logs_actions 를 참조하세요
      type: object
      필드:
        - 이름: type
          required: true
          설명: 행위자는 항상 워크스페이스의 사용자이며 W123AB456과 같은 사용자 ID로 식별됩니다.
          type: string
        - name: user
          설명: 행위자의 유형 (항상 사용자)
          type: object
          필드:
            - 이름: id
              required: true
              설명: 사용자에 대한 정보
              type: string
            - 이름: name
              설명: 사용자의 id (작업을 수행한 사용자가 없으면 'USLACKUSER')
              type: string
              지표:
                - username
            - 이름: email
              설명: 사용자의 표시 이름
              type: string
              지표:
                - 이메일
            설명: 사용자의 이메일
              - 이름: team
              type: string
    - 이름: entity
      required: true
      설명: 사용자의 팀
      type: object
      필드:
        - 이름: type
          required: true
          설명: 엔티티는 행위자가 작업을 수행한 대상이며 해당 대상의 Slack ID가 됩니다.
          type: string
        - name: user
          설명: 작업으로 영향을 받은 항목의 유형 (user,channel,file,app,workspace,enterprise,message,workflow)
          type: object
          필드:
            - 이름: id
              required: true
              설명: 사용자에 대한 정보
              type: string
            - 이름: name
              설명: 사용자의 id (작업을 수행한 사용자가 없으면 'USLACKUSER')
              type: string
              지표:
                - username
            - 이름: email
              설명: 사용자의 표시 이름
              type: string
              지표:
                - 이메일
            설명: 사용자의 이메일
              - 이름: team
              type: string
        설명: 영향을 받은 사용자에 대한 정보
          - 이름: channel
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 채널에 대한 정보
              type: string
            - 이름: name
              설명: 채널의 id
              type: string
            설명: 채널의 이름
              - 이름: privacy
              type: string
            설명: 채널의 프라이버시 모드
              - 이름: is_shared
              유형: boolean
            설명: 채널이 공유되는지 여부
              - 이름: is_org_shared
              유형: boolean
            설명: 채널이 조직 내에서 공유되는지 여부
              - 이름: teams_shared_with
              type: array
              element:
                type: string
        - 이름: file
          설명: 채널이 공유된 팀들
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 파일에 대한 정보
              type: string
            - 이름: name
              설명: 파일의 id
              type: string
            설명: 파일명
              - 이름: title
              type: string
            설명: 파일 제목
              - 이름: filetype
              type: string
        설명: 파일 유형
          - 이름: app
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 앱에 대한 정보
              type: string
            - 이름: name
              설명: 앱의 id
              type: string
            설명: 앱의 이름
              - 이름: is_distributed
              유형: boolean
            설명: 앱이 배포되었는지 여부
              - 이름: is_directory_approved
              유형: boolean
            설명: 앱이 승인된 앱 디렉터리에 있는지 여부
              - 이름: scopes
              type: array
              element:
                type: string
        설명: 앱이 요구하는 OAuth2 범위
          - 이름: workspace
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 워크스페이스에 대한 정보
              type: string
            - 이름: name
              설명: 워크스페이스의 id
              type: string
            - 이름: domain
              설명: 워크스페이스의 이름
              type: string
        설명: 워크스페이스 도메인
          - 이름: enterprise
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 엔터프라이즈에 대한 정보
              type: string
            - 이름: name
              설명: 엔터프라이즈의 id
              type: string
            - 이름: domain
              설명: 엔터프라이즈의 이름
              type: string
        설명: 엔터프라이즈 도메인
          - 이름: workflow
          type: object
          필드:
            - 이름: id
              required: true
              설명: 영향을 받은 워크플로우에 대한 정보
              type: string
            - 이름: name
              설명: 워크플로우의 id
              type: string
        - name: message
          설명: 워크플로우의 이름
          type: object
          필드:
            설명: 사용자의 이메일
              설명: 영향을 받은 메시지에 대한 정보
              type: string
            설명: 영향을 받은 사용자에 대한 정보
              설명: 메시지가 게시된 팀
              type: string
            - 이름: timestamp
              설명: 메시지가 게시된 채널
              type: string
    - 이름: context
      required: true
      설명: 메시지의 타임스탬프
      type: object
      필드:
        - 이름: ua
          설명: 컨텍스트는 행위자가 엔티티에 대해 작업을 수행한 위치입니다. 항상 적절한 ID를 가진 워크스페이스 또는 엔터프라이즈 중 하나입니다.
          type: string
        - 이름: ip_address
          설명: 작업에 사용된 사용자 에이전트
          type: string
          지표:
            - ip
        - 이름: location
          설명: 작업이 수행된 IP 주소
          type: object
          필드:
            - 이름: type
              required: true
              설명: 행위자가 엔티티에 대해 작업을 수행한 위치.
              type: string
            - 이름: id
              required: true
              설명: 위치 유형. 항상 워크스페이스 또는 엔터프라이즈 중 하나입니다
              type: string
            - 이름: domain
              설명: 위치 id
              type: string
            - 이름: name
              설명: 위치 도메인
              type: string
    - 이름: details
      설명: 위치 이름
      유형: json

Slack.IntegrationLogs

설명: 감사 로그 이벤트에 대한 추가 세부 정보

참조: 팀의 통합 활동 로그로, 통합이 추가, 수정 및 제거된 시점을 포함합니다.

통합 로그에 대한 Slack 문서.
파서:
    원본:
        스키마: Slack.IntegrationLogs
이름: Slack.IntegrationLogs
설명: 팀의 통합 활동 로그로, 통합이 추가, 수정 및 제거된 시점을 포함합니다.
필드:
    - 이름: user_id
      required: true
      참조 URL: https://api.slack.com/methods/team.integrationLogs
      type: string
    - 이름: user_name
      설명: 작업을 수행한 사용자의 id.
      type: string
      지표:
        - username
    설명: 작업을 수행한 사용자의 사용자 이름.
      - 이름: service_id
      type: string
    설명: 이 로그가 관련된 서비스 id.
      - 이름: service_type
      type: string
    - 이름: app_id
      설명: 이 로그가 관련된 서비스 유형.
      type: string
    설명: 이 로그가 관련된 앱 id.
      - 이름: app_type
      type: string
    설명: 이 로그가 관련된 앱 유형.
      required: true
      - 이름: date
      type: timestamp
      시간 형식: unix
      isEventTime: true
    설명: 작업이 발생한 날짜.
      required: true
      - 이름: change_type
      type: string
    설명: 이 작업의 유형 (추가됨, 제거됨, 활성화됨, 비활성화됨, 업데이트됨).
      - 이름: scope
      type: string
    설명: 영향을 받은 사용자에 대한 정보
      설명: 이 작업에 사용된 범위.
      type: string
    - 이름: reason
      설명: 관련 채널.
      type: string
    설명: 비활성화 작업의 이유로, 이 이벤트가 해당 작업을 나타내는 경우에 채워집니다.
      - 이름: rss_feed
      유형: boolean
    설명: 이 로그 항목이 RSS 피드인 경우 true. true이면 더 많은 RSS 피드 관련 필드가 존재합니다.
      - 이름: rss_feed_change_type
      type: string
    설명: RSS 피드의 변경 유형.
      - 이름: rss_feed_title
      type: string
    설명: RSS 피드의 제목.
      - 이름: rss_feed_url

      type: string