SOCRadar 로그

Panther는 webhook을 통해 SOCRadar 위협 인텔리전스를 수집하는 것을 지원합니다

개요

Panther는 HTTP 웹훅을 통해 SOCRadar 보안 인시던트를 실시간으로 수집할 수 있습니다. SOCRadar는 딥 웹 및 다크 웹 모니터링, 디지털 리스크 보호, 공격 표면 관리, 위협 인텔리전스를 포함한 사이버 위협에 대한 포괄적인 가시성을 제공하는 확장 위협 인텔리전스 플랫폼입니다.

SOCRadar 로그를 Panther에 온보딩하는 방법

1단계: Panther에 새로운 SOCRadar 소스 생성

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. "SOCRadar"를 검색한 다음 해당 타일을 클릭하세요.

4. 오른쪽 상단에서 다음을 클릭하세요: 설정 시작.

5. 다음 기본 정보 섹션에서 다음 필드를 입력하세요:

   • 이름: 소스의 설명이 잘 드러나는 이름을 입력하세요.

   • 스키마 - 선택 사항: 다음 값으로 미리 채워져 있어야 합니다. SOCRadar.Incidents.

6. 선호하는 인증 방법을 선택하세요.

   • 기본: 사용자 이름과 비밀번호 값을 입력하세요.

     • 비밀번호 값은 안전하게 저장해야 합니다. Panther Console에는 표시되지 않습니다.

   • Bearer: Bearer 토큰을 입력하세요. 입력하는 값에 "Bearer"를 포함하지 마세요.

     • Bearer 토큰 값은 안전하게 저장해야 합니다. Panther Console에는 표시되지 않습니다.

7. 클릭합니다 설정.

8. 검증 화면으로 이동합니다. 다음 단계에서 SOCRadar를 구성하는 동안 이 화면을 열어 둔 상태로 유지하세요.

   • 다음 값을 기록해 두세요. HTTP 소스 URL. 다음 단계에서 이 값이 필요합니다.

2단계: SOCRadar에서 웹훅 구성

안내는 SOCRadar 요금제에 따라 달라질 수 있습니다.

1. 다음에 로그인하세요. SOCRadar 플랫폼.

2. 다음으로 이동합니다: 설정 > Integrations 또는 알림.

3. 웹훅 또는 HTTP 알림 옵션을 선택하세요.

4. 다음 세부 정보로 새 웹훅 통합을 생성하세요:

   • Webhook URL: 1단계의 URL을 붙여넣으세요.

   • 인증: 선택한 방법(Basic 또는 Bearer 토큰)에 따라 구성하세요.

   • 이벤트 유형: Panther로 전송하려는 인시던트 유형을 선택하세요.

5. 웹훅 구성을 저장하세요.

6. 가능한 경우 SOCRadar의 테스트 기능을 사용해 웹훅 연결을 테스트하세요.

SOCRadar의 내장 테스트 기능을 사용해 테스트 이벤트를 보내면 Panther에서 분류에 실패합니다. 이는 예상된 동작입니다. SOCRadar가 보내는 테스트 이벤트는 일반 SOCRadar 인시던트 이벤트의 구조와 일치하지 않기 때문입니다. SOCRadar의 실제 인시던트는 올바르게 분류됩니다.

지원되는 로그 유형

SOCRadar.Incidents

SOCRadar 보안 인시던트는 다크 웹 발견, 자격 증명 인텔리전스, 피싱 디택션, 공격 표면 모니터링, 규정 준수 추적 등 다양한 위협에 대한 가시성을 제공합니다.

참조: SOCRadar 인시던트 대응 문서

스키마: SOCRadar.Incidents
description: |
    다크 웹 발견, 자격 증명 인텔리전스를 포함한 SOCRadar 보안 인시던트
    피싱 디택션 및 위협 경보.
referenceURL: https://socradar.io/incident-response/
필드:
    - 이름: alarm_id
      필수: true
      설명: 보안 인시던트 또는 알람의 고유 식별자
      유형: string
    - 이름: alarm_asset
      설명: 주요 영향을 받은 자산 또는 엔터티 이름
      유형: string
    - 이름: alarm_assignees
      설명: 이 인시던트에 할당된 사용자 또는 팀 목록
      유형: array
      요소:
        유형: string
    - 이름: alarm_related_assets
      설명: 이 인시던트와 관련된 추가 자산
      유형: array
      요소:
        유형: string
    - 이름: alarm_related_entities
      설명: 인시던트와 연관된 관련 엔터티 또는 IOC
      유형: array
      요소:
        유형: object
        필드:
          - 이름: key
            설명: 엔터티 유형(예: 도메인, IP, 이메일)
            유형: string
          - 이름: value
            설명: 엔터티 값
            유형: string
            지표:
              - domain
              - ip
              - email
              - url
              - 호스트 이름
    - 이름: alarm_risk_level
      필수: true
      설명: 인시던트의 위험 심각도 수준
      유형: string
    - 이름: alarm_text
      필수: true
      설명: 보안 인시던트의 상세 설명 및 맥락
      유형: string
    - 이름: alarm_response
      설명: 권장 대응 조치 및 복구 단계
      유형: string
    - 이름: alarm_type_details
      설명: 상세 알람 분류 및 규정 준수 정보
      유형: object
      필드:
        - 이름: alarm_compliance_list
          설명: 관련 규정 준수 프레임워크 및 통제 목록
          유형: array
          요소:
            유형: json
        - 이름: alarm_default_mitigation_plan
          설명: 이 알람 유형에 대한 기본 완화 단계
          유형: string
        - 이름: alarm_default_risk_level
          설명: 이 알람 범주의 기본 위험 수준
          유형: string
        - 이름: alarm_디택션_and_analysis
          설명: 디택션 방법론 및 분석 가이드
          유형: string
        - 이름: alarm_generic_title
          설명: 알람의 일반 제목/범주
          유형: string
        - 이름: alarm_main_type
          설명: 인시던트의 주요 범주
          유형: string
        - 이름: alarm_sub_type
          설명: 하위 범주 분류
          유형: string
        - 이름: alarm_post_incident_analysis
          설명: 인시던트 후 분석 가이드
          유형: string
    - 이름: approved_by
      설명: 인시던트를 승인한 사용자 또는 시스템
      유형: string
    - 이름: content
      설명: 인시던트 유형에 따라 달라지는 기술 세부 정보
      유형: object
      필드:
        - 이름: content_preview
          설명: 디텍션된 콘텐츠의 미리보기 또는 발췌문
          유형: string
        - name: source
          설명: 콘텐츠가 발견된 소스 플랫폼 또는 시스템
          유형: string
        - 이름: matched_asset
          설명: 디텍션 기준에 일치한 자산
          유형: array
          요소:
            유형: string
        - 이름: compromised_domains
          설명: 침해되었거나 언급된 도메인 이름
          유형: string
          지표:
            - domain
        - 이름: compromised_emails
          설명: 침해되었거나 노출된 이메일 주소
          유형: string
          지표:
            - email
        - 이름: compromised_ips
          설명: 침해되었거나 악성인 IP 주소
          유형: string
          지표:
            - ip
        - 이름: credential_details
          설명: 침해된 자격 증명의 세부 정보
          유형: array
          요소:
            유형: json
        - 이름: phishing_domain
          설명: 디텍션된 피싱 또는 사칭 도메인
          유형: string
          지표:
            - domain
        - 이름: phishing_keyword
          설명: 피싱 도메인을 디택션하는 데 사용된 키워드
          유형: string
        - 이름: content_link
          설명: 소스 콘텐츠로 연결되는 URL 링크
          유형: string
          지표:
            - url
        - 이름: dns_information
          설명: 도메인의 DNS 레코드 정보
          유형: object
          필드:
            - 이름: a_record
              설명: A 레코드 IP 주소
              유형: string
              지표:
                - ip
            - 이름: mx_record
              설명: MX 레코드 값
              유형: string
            - 이름: ns_record
              설명: NS 레코드 값
              유형: string
        - 이름: ip_address
          설명: 인시던트와 관련된 IP 주소
          유형: string
          지표:
            - ip
        - 이름: ssl_information
          설명: SSL 인증서 정보
          유형: object
          필드:
            - 이름: not_after
              설명: SSL 인증서 만료일
              유형: timestamp
            - 이름: not_before
              설명: SSL 인증서 시작일
              유형: timestamp
        - 이름: website_information
          설명: 웹사이트 상태 및 스크린샷 정보
          유형: object
          필드:
            - 이름: screenshot
              설명: 웹사이트의 스크린샷 URL
              유형: string
            - 이름: website_status
              설명: 웹사이트의 현재 상태(Active, Passive 등)
              유형: string
        - 이름: whois_information
          설명: WHOIS 등록 정보
          유형: object
          필드:
            - 이름: address
              설명: 등록자 주소
              유형: string
            - 이름: creation_date
              설명: 도메인 생성일
              유형: timestamp
            - 이름: expiration_date
              설명: 도메인 만료일
              유형: timestamp
            - 이름: registrant
              설명: 도메인 등록자 이름
              유형: string
            - 이름: registrar
              설명: 도메인 등록기관
              유형: string
        - 이름: malware_family
          설명: 식별된 멀웨어 패밀리
          유형: string
        - 이름: username
          설명: 인시던트와 연관된 사용자 이름
          유형: string
          지표:
            - username
        - 이름: matched_query
          설명: 이 콘텐츠와 일치한 검색 쿼리
          유형: string
        - 이름: tags
          설명: 콘텐츠와 연관된 태그
          유형: array
          요소:
            유형: string
    - 이름: date
      필수: true
      설명: 인시던트가 생성된 시각
      유형: timestamp
      이벤트 시간 여부: true
    - 이름: extra
      설명: 추가 메타데이터 또는 사용자 정의 필드
      유형: array
      요소:
        유형: json
    - 이름: history
      설명: 인시던트의 변경 기록 및 감사 추적
      유형: array
      요소:
        유형: object
        필드:
          - 이름: action_taken_by
            설명: 작업을 수행한 사용자
            유형: string
          - 이름: action_type
            설명: 수행된 작업 유형
            유형: string
          - 이름: date
            설명: 작업의 타임스탬프
            유형: timestamp
          - 이름: description
            설명: 작업 설명
            유형: string
    - 이름: is_approved
      설명: 인시던트가 승인되었는지 여부
      유형: boolean
    - 이름: last_notification_date
      설명: 마지막으로 전송된 알림의 타임스탬프
      유형: timestamp
    - name: notes
      설명: 인시던트에 대한 추가 메모 또는 মন্তব্য
      유형: array
      요소:
        유형: json
    - 이름: notification_id
      설명: 관련된 알림 식별자
      유형: string
    - 이름: status
      필수: true
      설명: 인시던트의 현재 상태(OPEN, CLOSED, ON_HOLD)
      유형: string
    - 이름: tags
      설명: 인시던트 분류 태그
      유형: array
      요소:
        유형: string