> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/socradar.md). # SOCRadar 로그 ## 개요 Panther는 HTTP 웹훅을 통해 [SOCRadar](https://socradar.io/) 보안 인시던트를 실시간으로 수집할 수 있습니다. SOCRadar는 딥 웹 및 다크 웹 모니터링, 디지털 리스크 보호, 공격 표면 관리, 위협 인텔리전스를 포함한 사이버 위협에 대한 포괄적인 가시성을 제공하는 확장 위협 인텔리전스 플랫폼입니다. ## SOCRadar 로그를 Panther에 온보딩하는 방법 ### 1단계: Panther에 새로운 SOCRadar 소스 생성 1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**. 2. 클릭합니다 **새로 만들기.** 3. "SOCRadar"를 검색한 다음 해당 타일을 클릭하세요. 4. 오른쪽 상단에서 다음을 클릭하세요: **설정 시작**. 5. 다음 **기본 정보** 섹션에서 다음 필드를 입력하세요: * **이름**: 소스의 설명이 잘 드러나는 이름을 입력하세요. * **스키마 - 선택 사항**: 다음 값으로 미리 채워져 있어야 합니다. `SOCRadar.Incidents`. 6. 선호하는 인증 방법을 선택하세요. * **기본**: 사용자 이름과 비밀번호 값을 입력하세요. * 비밀번호 값은 안전하게 저장해야 합니다. Panther Console에는 표시되지 않습니다. * **Bearer**: Bearer 토큰을 입력하세요. 입력하는 값에 "Bearer"를 포함하지 마세요. * Bearer 토큰 값은 안전하게 저장해야 합니다. Panther Console에는 표시되지 않습니다. 7. 클릭합니다 **설정**. 8. 검증 화면으로 이동합니다. 다음 단계에서 SOCRadar를 구성하는 동안 이 화면을 열어 둔 상태로 유지하세요. * 다음 값을 기록해 두세요. **HTTP 소스 URL**. 다음 단계에서 이 값이 필요합니다. ### 2단계: SOCRadar에서 웹훅 구성 {% hint style="info" %} 안내는 SOCRadar 요금제에 따라 달라질 수 있습니다. {% endhint %} 1. 다음에 로그인하세요. [SOCRadar 플랫폼](https://platform.socradar.com/). 2. 다음으로 이동합니다: **설정** > **Integrations** 또는 **알림**. 3. 웹훅 또는 HTTP 알림 옵션을 선택하세요. 4. 다음 세부 정보로 새 웹훅 통합을 생성하세요: * **Webhook URL**: 1단계의 URL을 붙여넣으세요. * **인증**: 선택한 방법(Basic 또는 Bearer 토큰)에 따라 구성하세요. * **이벤트 유형**: Panther로 전송하려는 인시던트 유형을 선택하세요. 5. 웹훅 구성을 저장하세요. 6. 가능한 경우 SOCRadar의 테스트 기능을 사용해 웹훅 연결을 테스트하세요. {% hint style="warning" %} SOCRadar의 내장 테스트 기능을 사용해 테스트 이벤트를 보내면 Panther에서 분류에 실패합니다. 이는 예상된 동작입니다. SOCRadar가 보내는 테스트 이벤트는 일반 SOCRadar 인시던트 이벤트의 구조와 일치하지 않기 때문입니다. SOCRadar의 실제 인시던트는 올바르게 분류됩니다. {% endhint %} ## 지원되는 로그 유형 ### SOCRadar.Incidents SOCRadar 보안 인시던트는 다크 웹 발견, 자격 증명 인텔리전스, 피싱 디택션, 공격 표면 모니터링, 규정 준수 추적 등 다양한 위협에 대한 가시성을 제공합니다. 참조: [SOCRadar 인시던트 대응 문서](https://socradar.io/incident-response/) ```yaml 스키마: SOCRadar.Incidents description: | 다크 웹 발견, 자격 증명 인텔리전스를 포함한 SOCRadar 보안 인시던트 피싱 디택션 및 위협 경보. referenceURL: https://socradar.io/incident-response/ 필드: - 이름: alarm_id 필수: true 설명: 보안 인시던트 또는 알람의 고유 식별자 유형: string - 이름: alarm_asset 설명: 주요 영향을 받은 자산 또는 엔터티 이름 유형: string - 이름: alarm_assignees 설명: 이 인시던트에 할당된 사용자 또는 팀 목록 유형: array 요소: 유형: string - 이름: alarm_related_assets 설명: 이 인시던트와 관련된 추가 자산 유형: array 요소: 유형: string - 이름: alarm_related_entities 설명: 인시던트와 연관된 관련 엔터티 또는 IOC 유형: array 요소: 유형: object 필드: - 이름: key 설명: 엔터티 유형(예: 도메인, IP, 이메일) 유형: string - 이름: value 설명: 엔터티 값 유형: string 지표: - domain - ip - email - url - 호스트 이름 - 이름: alarm_risk_level 필수: true 설명: 인시던트의 위험 심각도 수준 유형: string - 이름: alarm_text 필수: true 설명: 보안 인시던트의 상세 설명 및 맥락 유형: string - 이름: alarm_response 설명: 권장 대응 조치 및 복구 단계 유형: string - 이름: alarm_type_details 설명: 상세 알람 분류 및 규정 준수 정보 유형: object 필드: - 이름: alarm_compliance_list 설명: 관련 규정 준수 프레임워크 및 통제 목록 유형: array 요소: 유형: json - 이름: alarm_default_mitigation_plan 설명: 이 알람 유형에 대한 기본 완화 단계 유형: string - 이름: alarm_default_risk_level 설명: 이 알람 범주의 기본 위험 수준 유형: string - 이름: alarm_디택션_and_analysis 설명: 디택션 방법론 및 분석 가이드 유형: string - 이름: alarm_generic_title 설명: 알람의 일반 제목/범주 유형: string - 이름: alarm_main_type 설명: 인시던트의 주요 범주 유형: string - 이름: alarm_sub_type 설명: 하위 범주 분류 유형: string - 이름: alarm_post_incident_analysis 설명: 인시던트 후 분석 가이드 유형: string - 이름: approved_by 설명: 인시던트를 승인한 사용자 또는 시스템 유형: string - 이름: content 설명: 인시던트 유형에 따라 달라지는 기술 세부 정보 유형: object 필드: - 이름: content_preview 설명: 디텍션된 콘텐츠의 미리보기 또는 발췌문 유형: string - name: source 설명: 콘텐츠가 발견된 소스 플랫폼 또는 시스템 유형: string - 이름: matched_asset 설명: 디텍션 기준에 일치한 자산 유형: array 요소: 유형: string - 이름: compromised_domains 설명: 침해되었거나 언급된 도메인 이름 유형: string 지표: - domain - 이름: compromised_emails 설명: 침해되었거나 노출된 이메일 주소 유형: string 지표: - email - 이름: compromised_ips 설명: 침해되었거나 악성인 IP 주소 유형: string 지표: - ip - 이름: credential_details 설명: 침해된 자격 증명의 세부 정보 유형: array 요소: 유형: json - 이름: phishing_domain 설명: 디텍션된 피싱 또는 사칭 도메인 유형: string 지표: - domain - 이름: phishing_keyword 설명: 피싱 도메인을 디택션하는 데 사용된 키워드 유형: string - 이름: content_link 설명: 소스 콘텐츠로 연결되는 URL 링크 유형: string 지표: - url - 이름: dns_information 설명: 도메인의 DNS 레코드 정보 유형: object 필드: - 이름: a_record 설명: A 레코드 IP 주소 유형: string 지표: - ip - 이름: mx_record 설명: MX 레코드 값 유형: string - 이름: ns_record 설명: NS 레코드 값 유형: string - 이름: ip_address 설명: 인시던트와 관련된 IP 주소 유형: string 지표: - ip - 이름: ssl_information 설명: SSL 인증서 정보 유형: object 필드: - 이름: not_after 설명: SSL 인증서 만료일 유형: timestamp - 이름: not_before 설명: SSL 인증서 시작일 유형: timestamp - 이름: website_information 설명: 웹사이트 상태 및 스크린샷 정보 유형: object 필드: - 이름: screenshot 설명: 웹사이트의 스크린샷 URL 유형: string - 이름: website_status 설명: 웹사이트의 현재 상태(Active, Passive 등) 유형: string - 이름: whois_information 설명: WHOIS 등록 정보 유형: object 필드: - 이름: address 설명: 등록자 주소 유형: string - 이름: creation_date 설명: 도메인 생성일 유형: timestamp - 이름: expiration_date 설명: 도메인 만료일 유형: timestamp - 이름: registrant 설명: 도메인 등록자 이름 유형: string - 이름: registrar 설명: 도메인 등록기관 유형: string - 이름: malware_family 설명: 식별된 멀웨어 패밀리 유형: string - 이름: username 설명: 인시던트와 연관된 사용자 이름 유형: string 지표: - username - 이름: matched_query 설명: 이 콘텐츠와 일치한 검색 쿼리 유형: string - 이름: tags 설명: 콘텐츠와 연관된 태그 유형: array 요소: 유형: string - 이름: date 필수: true 설명: 인시던트가 생성된 시각 유형: timestamp 이벤트 시간 여부: true - 이름: extra 설명: 추가 메타데이터 또는 사용자 정의 필드 유형: array 요소: 유형: json - 이름: history 설명: 인시던트의 변경 기록 및 감사 추적 유형: array 요소: 유형: object 필드: - 이름: action_taken_by 설명: 작업을 수행한 사용자 유형: string - 이름: action_type 설명: 수행된 작업 유형 유형: string - 이름: date 설명: 작업의 타임스탬프 유형: timestamp - 이름: description 설명: 작업 설명 유형: string - 이름: is_approved 설명: 인시던트가 승인되었는지 여부 유형: boolean - 이름: last_notification_date 설명: 마지막으로 전송된 알림의 타임스탬프 유형: timestamp - name: notes 설명: 인시던트에 대한 추가 메모 또는 মন্তব্য 유형: array 요소: 유형: json - 이름: notification_id 설명: 관련된 알림 식별자 유형: string - 이름: status 필수: true 설명: 인시던트의 현재 상태(OPEN, CLOSED, ON_HOLD) 유형: string - 이름: tags 설명: 인시던트 분류 태그 유형: array 요소: 유형: string ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/data-onboarding/supported-logs/socradar.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.