Sophos 로그

Sophos 로그를 Panther 콘솔에 연결

개요

Panther는 일반적인 방식을 통해 Sophos 로그 수집을 지원합니다 데이터 전송 옵션: Amazon Web Services(AWS) S3 및 SQS.

Sophos 로그를 Panther에 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 클릭합니다 새로 만들기.

3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭합니다.

4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음, Panther의 해당 방법 구성 지침을 따르세요:

   • AWS SQS

   • AWS S3 버킷

5. Sophos가 Data Transport 소스로 로그를 푸시하도록 구성합니다.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Sophos 설명서를 참조하세요.

지원되는 로그 유형

Sophos.Central

Sophos Central 이벤트.

참조: Central API 이벤트에 대한 Sophos 설명서.

schema: Sophos.Central
description: Sophos Central 이벤트
referenceURL: https://support.sophos.com/support/s/article/KB-000038307?language=en_US
필드:
    - name: endpoint_id
      필수: true
      description: 이벤트와 연결된 엔드포인트 ID
      유형: string
    - name: endpoint_type
      필수: true
      description: 엔드포인트 유형
      유형: string
    - name: customer_id
      description: 고객 ID
      유형: string
    - 이름: severity
      description: 이벤트의 심각도
      유형: string
    - name: source_info
      description: 엔드포인트의 소스 IP
      유형: object
      필드:
        - 이름: ip
          description: 엔드포인트의 첫 번째 IPv4 주소
          유형: string
          지표:
            - ip
    - 이름: name
      description: 위협 이름 또는 기타 이벤트 세부 정보
      유형: string
    - 이름: id
      필수: true
      description: 이벤트의 고유 식별자
      유형: string
    - 이름: type
      필수: true
      description: 이벤트 유형
      유형: string
    - name: group
      description: 이벤트 카테고리
      유형: string
    - name: end
      필수: true
      description: 엔드포인트에서 이벤트가 발생한 시간
      유형: timestamp
      시간 형식:
        - rfc3339
      이벤트 시간 여부: true
    - name: rt
      description: 이벤트가 Sophos Central에 업로드된 시간
      유형: timestamp
      시간 형식:
        - rfc3339
    - name: dhost
      description: 이벤트의 소스 호스트
      유형: string
    - name: suser
      description: 로그인한 사용자
      유형: string
      지표:
        - username
    - name: datastream
      description: 이벤트 유형을 구분하기 위한 알러트 또는 이벤트
      유형: string
    - name: duid
      description: 문서화되지 않은 필드
      유형: string
    - name: threat
      description: 위협 이름
      유형: string
    - name: 디택션_identity_name
      description: 디택션 이름
      유형: string
    - name: filePath
      description: 위협의 경로
      유형: string
    - 이름: user
      description: 문서화되지 않은 필드이지만 사용자와 동일해야 함
      유형: string
    - name: 룰
      description: DLP 룰
      유형: string
    - name: user_action
      description: DLP 사용자 작업
      유형: string
    - 이름: app_name
      description: DLP 애플리케이션 이름
      유형: string
    - 이름: action
      description: DLP 작업
      유형: string
    - name: file_type
      description: DLP 파일 유형
      유형: string
    - name: file_size
      description: DLP 파일 크기
      유형: bigint
    - 이름: file_path
      description: DLP 파일 경로
      유형: string
    - name: appSha256
      description: 사용 가능한 경우 위협과 연결된 애플리케이션의 SHA 256 해시
      유형: string
      지표:
        - sha256
    - name: appCerts
      description: 사용 가능한 경우 위협과 연결된 애플리케이션의 인증서 정보
      유형: array
      요소:
        유형: object
        필드:
            - name: signer
              description: PUA 앱 인증서 서명자
              유형: string
            - name: thumbprint
              description: PUA 앱 인증서 지문
              유형: string
    - name: origin
      description: 디택션의 발생 구성 요소
      유형: string
    - name: core_remedy_items
      description: 정리되거나 복원된 항목의 세부 정보
      유형: object
      필드:
        - name: items
          description: 조치 목록
          유형: array
          요소:
            유형: object
            필드:
                - 이름: type
                  description: 항목 유형
                  유형: string
                - 이름: result
                  description: 조치 결과
                  유형: string
                - name: descriptor
                  description: 파일 경로
                  유형: string
                - name: processPath
                  description: 문서화되지 않은 필드
                  유형: string
        - name: totalItems
          description: 조치 수
          유형: int