Slack 로그

Panther는 Slack에서 로그를 직접 가져올 수 있습니다

개요

Panther는 다음 Slack 로그를 가져올 수 있습니다:

• 감사 로그, 다음을 쿼리하여 Audit Logs API.

  • Audit Logs API는 다음을 보유한 Slack 고객에게만 제공됩니다: Enterprise+ 플랜.

• 액세스 로그, 다음을 쿼리하여 team.accessLogs API.

  • 이 API는 모든 유료 Slack 플랜.

  • 참고: Slack의 속도 제한으로 인해 Panther는 사용자, 액세스 위치 또는 액세스 기기가 새로워진 이벤트만 가져옵니다.

• 통합 로그, 다음을 쿼리하여 team.integrationLogs API.

  • 이 API는 모든 유료 Slack 플랜에서 사용할 수 있습니다.

액세스 및 통합 로그는 Panther의 동일한 Slack 로그 소스를 통해 수집할 수 있지만, 감사 로그는 별도의 Slack 로그 소스를 통해 수집해야 합니다. 그러나 세 가지 로그 유형을 모두 수집할 필요는 없을 가능성이 높습니다. 왜냐하면 감사 로그는 액세스 및 통합 로그에 표시된 모든 작업을 포함할 가능성이 높기 때문입니다.

Panther는 1분마다 API를 쿼리합니다. Panther가 Slack API에 액세스할 수 있도록 하려면 Panther에서 새 Slack 소스를 만들고, Slack App을 생성한 다음, 앱 자격 증명을 Panther에 제공해야 합니다.

동영상 안내

Slack 로그를 Panther에 온보딩하는 방법을 보여주는 안내 동영상

Panther에 Slack 로그를 온보딩하는 방법

Panther에서 새 Slack 소스 만들기

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. "Slack"을 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 다음을 클릭합니다 설정 시작.

5. 다음 페이지에서 구성 화면에서 다음 필드에 값을 입력합니다:

   • 이름: 소스에 대한 설명적인 이름을 입력합니다. 예: 내 Slack 로그.

   • 다음을 선택하세요: Slack 플랜: 다음 옵션 중에서 선택합니다:

     • Enterprise Grid (현재는 Enterprise+로 알려짐): 이 옵션은 소스가 다음을 수신하도록 허용합니다: Slack.AuditLogs.

     • Standard/Plus (현재는 Pro/Business+로 알려짐): 이 옵션은 소스가 다음을 수신하도록 허용합니다: Slack.AccessLogs 및/또는 Slack.IntegrationLogs.

6. 클릭합니다 설정.

7. 다음 페이지에서 자격 증명 설정 페이지에서 복사 리디렉션 URL을 복사하여 안전한 곳에 저장합니다. 다음 단계에서 필요합니다.

8. 다음 단계를 진행하는 동안 이 브라우저 창을 열어 둡니다.

새 Slack App 생성

Slack에서 로그를 가져올 권한이 있는 Slack 앱을 생성합니다. 보안 및 가용성상의 이유로, 다음과 같은 새 새 Panther와 함께만 사용할 Slack App을 만드는 것을 권장합니다.

다음을 위한 앱을 만들 수 있습니다:

• 감사 로그

• 액세스 또는 통합 로그

감사 로그를 가져오기 위한 Slack App 생성 방법

아래 지침에 따라 감사 로그를 Panther 계정으로 가져오는 Slack 앱을 생성합니다. Audit Logs API는 다음을 보유한 고객에게 제공됩니다: Slack Enterprise+ 플랜 전용.

액세스 또는 통합 로그를 가져오려면 다음 섹션을 참조하세요: 액세스 또는 통합 로그를 가져오기 위한 Slack App 생성 방법.

1. 모니터링하려는 Enterprise에 속한 Slack 워크스페이스에 로그인합니다. 모니터링하려는 Enterprise에 속한.

   • 다음 계정으로 로그인해야 합니다: owner 조직의

2. Enterprise의 모든 워크스페이스가 표시된 화면에서 다음을 클릭합니다: Slack에서 실행 모니터링하려는 워크스페이스에서

3. 다음으로 이동하세요 Slack 앱 을 클릭한 다음 새 앱 만들기, 그런 다음 처음부터.

   • 다음을 입력합니다: 앱 이름 예: Panther 모니터링.

   • 이전에 로그인한 워크스페이스를 선택합니다.

   

   "Create a Slack App" 양식에는 "Panther monitoring"이 입력된 App Name 필드가 표시됩니다. "Development Slack Workspace"라는 레이블의 드롭다운 메뉴가 있습니다. 페이지 하단에는 회색 "Create App" 버튼이 있습니다.
4. 클릭합니다 앱 만들기.

   • 앱은 선택한 워크스페이스에 생성되며, 나중에 전체 Enterprise 조직을 모니터링할 수 있습니다.

5. 왼쪽 사이드바 메뉴에서 다음을 클릭합니다: OAuth 및 권한.

6. 아래로 스크롤하여 다음으로 이동합니다: 리디렉션 URL 섹션.

7. 클릭합니다 추가 한 다음 다음을 입력합니다: 리디렉션 URL 이 문서의 이전 섹션에서 Panther Console에서 복사한 URL입니다.

8. 클릭합니다 URL 저장.

9. 아래로 스크롤하여 다음으로 이동합니다: 사용자 토큰 범위 섹션에서 다음을 추가합니다: auditlogs:read 범위.

10. 왼쪽 사이드바에서 다음으로 이동합니다: 설정 > 배포 관리.

11. 라는 제목의 섹션에서 "다른 워크스페이스와 앱 공유", 다음 옵션을 활성화합니다:

    • 기능 및 기능 활성화

    • OAuth 리디렉션 URL 추가

    • 하드코딩된 정보 제거

    • 기능에 HTTPS 사용

12. 클릭합니다 공개 배포 활성화.

    • 참고: 이렇게 해도 Slack App이 다른 조직에서 액세스 가능해지는 것은 아닙니다. Slack은 다음을 가져오기 위해 이 설정을 요구합니다: 감사 로그는.

13. 왼쪽 사이드바에서 다음으로 이동합니다: 설정 > 기본 정보.

14. 다음 앱 자격 증명 섹션에서 다음을 복사합니다: Client ID 및 Client Secret.

15. 다음 아래의 단계를 따릅니다: Panther에서 Slack 온보딩 완료 이 과정을 완료합니다.

액세스 또는 통합 로그를 가져오기 위한 Slack App 생성 방법

Access Logs 및 Integration Logs API는 모든 유료 Slack 플랜에서 사용할 수 있습니다.

감사 로그를 가져오려면 이전 섹션을 참조하세요: 감사 로그를 가져오기 위한 Slack App 생성 방법.

1. 모니터링하려는 Enterprise에 속한 Slack 워크스페이스에 로그인합니다. 모니터링하려는.

   • 다음 계정으로 로그인해야 합니다: owner 조직의

2. 워크스페이스가 표시된 화면에서 다음을 클릭합니다: Slack에서 실행 모니터링하려는 워크스페이스에서

3. 다음으로 이동하세요 Slack 앱 을 클릭한 다음 새 앱 만들기, 그런 다음 처음부터.

   • 다음을 입력합니다: 앱 이름 예: Panther 모니터링.

   • 이전에 로그인한 워크스페이스를 선택합니다.

   

   "Create a Slack App" 양식에는 "Panther monitoring"이 입력된 App Name 필드가 표시됩니다. "Development Slack Workspace"라는 레이블의 드롭다운 메뉴가 있습니다. 페이지 하단에는 회색 "Create App" 버튼이 있습니다.
4. 클릭합니다 앱 만들기.

   • 앱은 선택한 워크스페이스에 생성됩니다.

5. 왼쪽 사이드바 메뉴에서 다음을 클릭합니다: OAuth 및 권한.

6. 아래로 스크롤하여 다음으로 이동합니다: 리디렉션 URL 섹션.

7. 클릭합니다 추가 한 다음 다음을 입력합니다: 리디렉션 URL 이 문서의 이전 섹션에서 Panther Console에서 복사한 URL입니다.

8. 클릭합니다 URL 저장.

9. 라는 제목의 섹션으로 아래로 스크롤합니다: 범위 > 사용자 토큰 범위. 다음을 추가합니다: admin 범위는 Slack API 문서에 명시된 다음과 같습니다: 액세스 및 통합 로그.

10. 왼쪽 사이드바에서 다음으로 이동합니다: 설정 > 기본 정보.

11. 다음 앱 자격 증명 섹션에서 다음을 복사합니다: Client ID 및 Client Secret.

12. 다음 아래의 단계를 따릅니다: Panther에서 Slack 온보딩 완료 이 과정을 완료합니다.

Panther에서 Slack 온보딩을 완료합니다

1. Panther Console로 돌아갑니다.

2. "자격 증명 설정" 페이지에서 Slack의 Client ID를 Client ID 필드에 붙여넣고, Slack의 Client Secret을 다음에 붙여넣습니다: Client Secret 필드.

3. 클릭합니다 설정.

4. 클릭합니다 소스 저장.

5. 다음 페이지에서 설정 확인 화면에서 다음을 클릭합니다: 액세스 허용.

   • 앱을 설치하기 위해 Slack 페이지로 리디렉션됩니다.

   • Audit Logs의 경우, 반드시 다음에 설치하세요: Enterprise 조직 및 아닌 특정 워크스페이스가 아니라!

6. 클릭합니다 허용합니다.

7. Panther Console에서 다음을 클릭합니다: 설정. 성공 화면으로 이동합니다:

   

   • 선택적으로 하나 이상의 디택션 팩.

   • 다음 이벤트가 처리되지 않으면 알러트를 발생시키기 설정의 기본값은 예. 일정 시간 후 로그 소스에서 데이터 흐름이 중단되면 알러트를 받게 되므로 이 설정을 켠 상태로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.

     

참고: 다음의 경우 통합에 제한이 발생합니다:

• 조직에 앱을 설치한 사용자의 계정이 비활성화된 경우

• 앱이 삭제되었거나, 액세스 토큰이 취소되었거나, 앱 자격 증명이 교체된 경우

Panther가 만든 탐지

Panther의 내장 GitHub의 panther-analysis에 있는 Slack 규칙을 참조하세요..

지원되는 로그 유형

Slack.AccessLogs

Slack 워크스페이스의 사용자에 대한 액세스 로그. 참고: Slack의 속도 제한으로 인해 Panther는 사용자, 액세스 위치 또는 액세스 기기가 새로워진 이벤트만 가져옵니다. Panther는 이벤트의 `date_last`, `count` 필드를 업데이트하지 않습니다. date_last, count 이벤트의 필드.'

참조: 액세스 로그에 대한 Slack 문서.

스키마: Slack.AccessLogs
파서:
    네이티브:
        이름: Slack.AccessLogs
설명: 'Slack 워크스페이스의 사용자에 대한 액세스 로그. 참고: Slack의 속도 제한으로 인해 Panther는 사용자, 액세스 위치 또는 액세스 기기가 새로워진 이벤트만 가져옵니다. Panther는 이벤트의 `date_last`, `count` 필드를 업데이트하지 않습니다.'
참조 URL: https://api.slack.com/methods/team.accessLogs
필드:
    - 이름: user_id
      필수: true
      설명: Slack에 액세스하는 사용자의 ID.
      유형: string
    - 이름: username
      설명: Slack에 액세스하는 사용자의 사용자 이름.
      유형: string
      지표:
        - username
    - 이름: date_first
      필수: true
      설명: 이 사용자, IP 주소 및 사용자 에이전트 조합에 대한 첫 번째 액세스 로그 항목의 Unix 타임스탬프.
      유형: timestamp
      시간 형식: unix
    - 이름: date_last
      필수: true
      설명: 이 사용자, IP 주소 및 사용자 에이전트 조합에 대한 가장 최근 액세스 로그 항목의 Unix 타임스탬프. 참고: Slack API에서 업데이트되더라도 Panther는 이 필드를 업데이트하지 않습니다.
      유형: timestamp
      시간 형식: unix
      이벤트 시간 여부: true
    - 이름: count
      필수: true
      설명: 해당 조합에 대한 액세스 로그 항목의 총 개수. 참고: Slack API에서 업데이트되더라도 Panther는 이 필드를 업데이트하지 않습니다.
      유형: bigint
    - 이름: ip
      필수: true
      설명: Slack에 액세스하는 데 사용된 기기의 IP 주소.
      유형: string
      지표:
        - ip
    - 이름: user_agent
      설명: 브라우저 또는 클라이언트 애플리케이션에서 보고된 사용자 에이전트 문자열.
      유형: string
    - name: isp
      설명: IP 주소를 소유한 인터넷 서비스 제공업체로 추정되는 값.
      유형: string
    - 이름: country
      설명: IP 주소를 기반으로 액세스가 시작된 위치에 대한 추정.
      유형: string
    - 이름: region
      설명: IP 주소를 기반으로 액세스가 시작된 위치에 대한 추정.
      유형: string

Slack.AuditLogs

Slack 감사 로그는 Enterprise 조직에서 사용자가 수행하는 작업을 보여줍니다.

참조: 감사 로그에 대한 Slack 문서.

스키마: Slack.AuditLogs
파서:
    네이티브:
        이름: Slack.AuditLogs
설명: Slack 감사 로그는 Enterprise 조직에서 사용자가 수행하는 작업을 보여줍니다.
참조 URL: https://api.slack.com/enterprise/audit-logs
필드:
    - 이름: id
      필수: true
      설명: 이벤트 ID
      유형: string
    - 이름: date_create
      필수: true
      설명: 이벤트 생성 타임스탬프
      유형: timestamp
      시간 형식: unix
      이벤트 시간 여부: true
    - 이름: action
      필수: true
      설명: 수행된 작업입니다. https://api.slack.com/enterprise/audit-logs#audit_logs_actions 참조
      유형: string
    - name: actor
      필수: true
      설명: 행위자는 항상 워크스페이스의 사용자이며 W123AB456과 같은 사용자 ID로 식별됩니다.
      유형: object
      필드:
        - 이름: type
          필수: true
          설명: 행위자의 유형(항상 사용자)
          유형: string
        - 이름: user
          설명: 사용자에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 사용자의 ID(작업을 수행한 사용자가 없으면 'USLACKUSER')
              유형: string
            - 이름: name
              설명: 사용자의 표시 이름
              유형: string
              지표:
                - username
            - 이름: email
              설명: 사용자의 이메일
              유형: string
              지표:
                - email
            - 이름: team
              설명: 사용자의 팀
              유형: string
    - name: entity
      필수: true
      설명: 엔터티는 행위자가 작업을 수행한 대상이며 해당 항목의 Slack ID가 됩니다.
      유형: object
      필드:
        - 이름: type
          필수: true
          설명: 작업의 영향을 받은 항목 유형(user,channel,file,app,workspace,enterprise,message,workflow)
          유형: string
        - 이름: user
          설명: 영향을 받은 사용자에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 사용자의 ID(작업을 수행한 사용자가 없으면 'USLACKUSER')
              유형: string
            - 이름: name
              설명: 사용자의 표시 이름
              유형: string
              지표:
                - username
            - 이름: email
              설명: 사용자의 이메일
              유형: string
              지표:
                - email
            - 이름: team
              설명: 사용자의 팀
              유형: string
        - 이름: channel
          설명: 영향을 받은 채널에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 채널 ID
              유형: string
            - 이름: name
              설명: 채널 이름
              유형: string
            - 이름: privacy
              설명: 채널의 프라이버시 모드
              유형: string
            - 이름: is_shared
              설명: 채널이 공유되는지 여부
              유형: boolean
            - 이름: is_org_shared
              설명: 채널이 조직에서 공유되는지 여부
              유형: boolean
            - 이름: teams_shared_with
              설명: 채널이 공유된 팀
              유형: array
              요소:
                유형: string
        - 이름: file
          설명: 영향을 받은 파일에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 파일 ID
              유형: string
            - 이름: name
              설명: 파일 이름
              유형: string
            - 이름: title
              설명: 파일 제목
              유형: string
            - 이름: filetype
              설명: 파일 형식
              유형: string
        - 이름: app
          설명: 영향을 받은 앱에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 앱 ID
              유형: string
            - 이름: name
              설명: 앱 이름
              유형: string
            - 이름: is_distributed
              설명: 앱이 배포되었는지 여부
              유형: boolean
            - 이름: is_directory_approved
              설명: 앱이 승인된 앱 디렉터리에 있는지 여부
              유형: boolean
            - 이름: scopes
              설명: 앱에 필요한 OAuth2 범위
              유형: array
              요소:
                유형: string
        - 이름: workspace
          설명: 영향을 받은 워크스페이스에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 워크스페이스 ID
              유형: string
            - 이름: name
              설명: 워크스페이스 이름
              유형: string
            - name: domain
              설명: 워크스페이스 도메인
              유형: string
        - 이름: enterprise
          설명: 영향을 받은 Enterprise에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: Enterprise ID
              유형: string
            - 이름: name
              설명: Enterprise 이름
              유형: string
            - name: domain
              설명: Enterprise 도메인
              유형: string
        - 이름: workflow
          설명: 영향을 받은 워크플로에 대한 정보
          유형: object
          필드:
            - 이름: id
              필수: true
              설명: 워크플로 ID
              유형: string
            - 이름: name
              설명: 워크플로 이름
              유형: string
        - 이름: message
          설명: 영향을 받은 메시지에 대한 정보
          유형: object
          필드:
            - 이름: team
              설명: 메시지가 게시된 팀
              유형: string
            - 이름: channel
              설명: 메시지가 게시된 채널
              유형: string
            - 이름: timestamp
              설명: 메시지의 타임스탬프
              유형: string
    - 이름: context
      필수: true
      설명: 컨텍스트는 행위자가 엔터티에 대해 작업을 수행한 위치입니다. 항상 적절한 ID를 가진 워크스페이스 또는 Enterprise 중 하나입니다.
      유형: object
      필드:
        - 이름: ua
          설명: 작업에 사용된 사용자 에이전트
          유형: string
        - 이름: ip_address
          설명: 작업이 수행된 IP 주소
          유형: string
          지표:
            - ip
        - 이름: location
          설명: 행위자가 엔터티에 대해 작업을 수행한 위치입니다.
          유형: object
          필드:
            - 이름: type
              필수: true
              설명: 위치 유형입니다. 항상 워크스페이스 또는 Enterprise 중 하나입니다.
              유형: string
            - 이름: id
              필수: true
              설명: 위치 ID
              유형: string
            - name: domain
              설명: 위치 도메인
              유형: string
            - 이름: name
              설명: 위치 이름
              유형: string
    - 이름: details
      설명: 감사 로그 이벤트에 대한 추가 세부 정보
      유형: json

Slack.IntegrationLogs

통합이 추가, 수정 및 제거될 때를 포함한 팀의 통합 활동 로그.

참조: 통합 로그에 대한 Slack 문서.

스키마: Slack.IntegrationLogs
파서:
    네이티브:
        이름: Slack.IntegrationLogs
설명: 통합이 추가, 수정 및 제거될 때를 포함한 팀의 통합 활동 로그.
참조 URL: https://api.slack.com/methods/team.integrationLogs
필드:
    - 이름: user_id
      필수: true
      설명: 작업을 수행하는 사용자의 ID.
      유형: string
    - name: user_name
      설명: 작업을 수행하는 사용자의 사용자 이름.
      유형: string
      지표:
        - username
    - 이름: service_id
      설명: 이 로그가 나타내는 서비스의 ID.
      유형: string
    - 이름: service_type
      설명: 이 로그가 나타내는 서비스 유형.
      유형: string
    - name: app_id
      설명: 이 로그가 나타내는 앱 ID.
      유형: string
    - 이름: app_type
      설명: 이 로그가 나타내는 앱 유형.
      유형: string
    - 이름: date
      필수: true
      설명: 작업이 발생한 날짜.
      유형: timestamp
      시간 형식: unix
      이벤트 시간 여부: true
    - 이름: change_type
      필수: true
      설명: 이 작업의 유형(added, removed, enabled, disabled, updated).
      유형: string
    - 이름: scope
      설명: 이 작업에 사용된 범위.
      유형: string
    - 이름: channel
      설명: 관련 채널.
      유형: string
    - 이름: reason
      설명: 비활성화 작업의 사유이며, 이 이벤트가 해당 작업을 가리킬 경우 채워집니다.
      유형: string
    - 이름: rss_feed
      설명: 이 로그 항목이 RSS 피드이면 참입니다. 참인 경우 RSS 피드 관련 필드가 더 제공됩니다.
      유형: boolean
    - 이름: rss_feed_change_type
      설명: RSS 피드의 변경 유형.
      유형: string
    - 이름: rss_feed_title
      설명: RSS 피드의 제목.
      유형: string
    - 이름: rss_feed_url
      설명: RSS 피드의 URL.
      유형: string