Sophos 로그

Sophos 로그를 Panther 콘솔에 연결하기

개요

Panther는 일반적인 방법을 통해 Sophos 로그 수집을 지원합니다 데이터 전송 옵션: Amazon Web Services(AWS) S3 및 SQS를 통한 Fastly 로그 수집을 지원합니다.

Sophos 로그를 Panther에 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭하세요.

4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음 해당 방법을 구성하기 위한 Panther의 지침을 따르세요:

   • AWS SQS

   • AWS S3 버킷

5. Sophos를 구성하여 로그를 Data Transport 소스로 푸시하도록 설정합니다.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법은 Sophos 설명서를 참조하세요.

지원되는 로그 유형

Sophos.Central

Sophos Central 이벤트.

참고: Central API 이벤트에 대한 Sophos 문서.

schema: Sophos.Central
description: Sophos Central 이벤트
referenceURL: https://support.sophos.com/support/s/article/KB-000038307?language=en_US
필드:
    - name: endpoint_id
      required: true
      description: 이벤트와 연결된 엔드포인트 ID
      type: string
    - name: endpoint_type
      required: true
      description: 엔드포인트 유형
      type: string
    - name: customer_id
      description: 고객 ID
      type: string
    - 이름: severity
      description: 이벤트 심각도
      type: string
    - name: source_info
      description: 엔드포인트의 소스 IP
      type: object
      필드:
        - 이름: ip
          description: 엔드포인트의 첫 번째 IPv4 주소
          type: string
          지표:
            - ip
    - 이름: name
      description: 위협 이름 또는 기타 이벤트 세부정보
      type: string
    - 이름: id
      required: true
      description: 이벤트의 고유 식별자
      type: string
    - 이름: type
      required: true
      description: 이벤트 유형
      type: string
    - name: group
      description: 이벤트 카테고리
      type: string
    - name: end
      required: true
      description: 엔드포인트에서 이벤트가 발생한 시간
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    - name: rt
      description: 이벤트가 Sophos Central로 업로드된 시간
      type: timestamp
      timeFormats:
        - rfc3339
    - name: dhost
      description: 이벤트의 소스 호스트
      type: string
    - name: suser
      description: 로그인한 사용자
      type: string
      지표:
        - username
    - name: datastream
      description: 이벤트 유형을 구분하기 위한 알러트 또는 이벤트
      type: string
    - name: duid
      description: 문서화되지 않은 필드
      type: string
    - name: threat
      description: 위협 이름
      type: string
    - name: detection_identity_name
      description: 디텍션 이름
      type: string
    - name: filePath
      description: 위협의 경로
      type: string
    - name: user
      description: 문서화되지 않은 필드지만 사용자와 동일해야 함
      type: string
    - name: rule
      description: DLP 룰
      type: string
    - name: user_action
      description: DLP 사용자 액션
      type: string
    - name: app_name
      description: DLP 애플리케이션 이름
      type: string
    - 이름: action
      description: DLP 액션
      type: string
    - name: file_type
      description: DLP 파일 유형
      type: string
    - name: file_size
      description: DLP 파일 크기
      type: bigint
    - name: file_path
      description: DLP 파일 경로
      type: string
    - name: appSha256
      description: 가능하면 위협과 관련된 애플리케이션의 SHA 256 해시
      type: string
      지표:
        - sha256
    - name: appCerts
      description: 가능하면 위협과 관련된 애플리케이션의 인증서 정보
      type: array
      element:
        type: object
        필드:
            - name: signer
              description: PUA 애플리케이션 인증서 서명자
              type: string
            - name: thumbprint
              description: PUA 애플리케이션 인증서 썸프린트
              type: string
    - name: origin
      description: 디텍션의 발생 구성 요소
      type: string
    - name: core_remedy_items
      description: 정리되거나 복원된 항목의 세부정보
      type: object
      필드:
        - name: items
          description: 복구(또는 치료) 목록
          type: array
          element:
            type: object
            필드:
                - 이름: type
                  description: 항목 유형
                  type: string
                - 이름: result
                  description: 치료 결과
                  type: string
                - name: descriptor
                  description: 파일 경로
                  type: string
                - name: processPath
                  description: 문서화되지 않은 필드
                  type: string
        - name: totalItems
          description: 치료(또는 복구) 수
          유형: int