Sophos 로그

Sophos 로그를 Panther Console에 연결하기

개요

Panther는 일반적인 방식을 통해 Sophos 로그를 수집하는 것을 지원합니다 데이터 전송 옵션: Amazon Web Services(AWS) S3 및 SQS.

Sophos 로그를 Panther에 온보딩하는 방법

이 로그를 Panther에 연결하려면:

1. Panther Console의 왼쪽 탐색 모음에서 구성하세요. > 로그 소스.

2. 을 클릭한 다음 새로 만들기.

3. 온보딩하려는 로그 유형을 검색한 다음 해당 타일을 클릭합니다.

4. 이 통합에 사용할 데이터 전송 방법을 선택한 다음, 해당 방법을 구성하기 위한 Panther의 지침을 따르세요:

   • AWS SQS

   • AWS S3 버킷

5. Data Transport 소스로 로그를 푸시하도록 Sophos를 구성합니다.

   • 선택한 Data Transport 소스로 로그를 푸시하는 방법에 대한 지침은 Sophos 문서를 참조하세요.

지원되는 로그 유형

Sophos.Central

Sophos Central 이벤트.

참조: Central API 이벤트에 대한 Sophos 문서.

schema: Sophos.Central
description: Sophos Central 이벤트
referenceURL: https://support.sophos.com/support/s/article/KB-000038307?language=en_US
fields:
    - name: endpoint_id
      required: true
      description: 이벤트와 연결된 엔드포인트 ID
      type: string
    - name: endpoint_type
      required: true
      description: 엔드포인트 유형
      type: string
    - name: customer_id
      description: 고객 ID
      type: string
    - name: severity
      description: 이벤트의 심각도
      type: string
    - name: source_info
      description: 엔드포인트의 소스 IP
      type: object
      fields:
        - name: ip
          description: 엔드포인트의 첫 번째 IPv4 주소
          type: string
          indicators:
            - ip
    - 이름: name
      description: 위협 이름 또는 기타 이벤트 세부 정보
      type: string
    - name: id
      required: true
      description: 이벤트의 고유 식별자
      type: string
    - name: type
      required: true
      description: 이벤트 유형
      type: string
    - name: group
      description: 이벤트 카테고리
      type: string
    - name: end
      required: true
      description: 엔드포인트에서 이벤트가 발생한 시간
      type: timestamp
      timeFormats:
        - rfc3339
      isEventTime: true
    - name: rt
      description: 이벤트가 Sophos Central에 업로드된 시간
      type: timestamp
      timeFormats:
        - rfc3339
    - name: dhost
      description: 이벤트의 소스 호스트
      type: string
    - name: suser
      description: 로그인한 사용자
      type: string
      indicators:
        - username
    - name: datastream
      description: 이벤트 유형을 구분하기 위한 알러트 또는 이벤트
      type: string
    - name: duid
      description: 문서화되지 않은 필드
      type: string
    - name: threat
      description: 위협의 이름
      type: string
    - name: 디택션_identity_name
      description: 디택션의 이름
      type: string
    - name: filePath
      description: 위협의 경로
      type: string
    - 이름: user
      description: 문서화되지 않은 필드이지만 User와 동일해야 합니다
      type: string
    - name: 룰
      description: DLP 룰
      type: string
    - name: user_action
      description: DLP 사용자 작업
      type: string
    - 이름: app_name
      description: DLP 애플리케이션 이름
      type: string
    - 이름: 동작
      description: DLP 작업
      type: string
    - name: file_type
      description: DLP 파일 유형
      type: string
    - name: file_size
      description: DLP 파일 크기
      type: bigint
    - 이름: file_path
      description: DLP 파일 경로
      type: string
    - name: appSha256
      description: 사용 가능한 경우, 위협과 연결된 애플리케이션의 SHA 256 해시
      type: string
      indicators:
        - sha256
    - name: appCerts
      description: 사용 가능한 경우, 위협과 연결된 애플리케이션의 인증서 정보
      type: array
      element:
        type: object
        fields:
            - name: signer
              description: PUA 앱 인증서 서명자
              type: string
            - name: thumbprint
              description: PUA 앱 인증서 지문
              type: string
    - name: origin
      description: 디택션의 발생 구성 요소
      type: string
    - name: core_remedy_items
      description: 정리되거나 복원된 항목의 세부 정보
      type: object
      fields:
        - name: items
          description: 조치 목록
          type: array
          element:
            type: object
            fields:
                - name: type
                  description: 항목 유형
                  type: string
                - name: result
                  description: 조치 결과
                  type: string
                - name: descriptor
                  description: 파일 경로
                  type: string
                - name: processPath
                  description: 문서화되지 않은 필드
                  type: string
        - name: totalItems
          description: 조치 개수
          유형: int