> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/data-onboarding/supported-logs/sublime-security.md). # Sublime Security 로그 ## 개요 Panther는 수집을 지원합니다 [Sublime Security](https://sublime.security/) 감사 로그, 룰 일치 메시지(메시지 이벤트라고도 함), 그리고 MDM(Message Data Model) 형식의 모든 메시지를 AWS S3를 통해 Panther로 전송합니다. ## Sublime Security 로그를 Panther에 온보딩하는 방법 ### 1단계: Panther에서 Sublime Security 로그 소스 생성 1. Panther Console의 왼쪽 탐색 모음에서 **로그 소스**. 2. 클릭합니다 **새로 만들기**. 3. "Sublime Security"를 검색한 후 해당 타일을 클릭합니다. 4. 슬라이드아웃 패널의 오른쪽 상단에서 **설정 시작**.\ ![A page titled "Sublime Security" is shown. An arrow is drawn to the upper-right corner, to a button labeled "Start Setup."](/files/43272280919f85e1b14fab4bd1bb2e916c916a82) 5. 다음을 따르세요: [S3 소스 구성에 대한 Panther 문서](/ko/data-onboarding/data-transports/aws/s3.md). ### 2단계: Sublime Security 로그를 S3로 내보내기 * 로그를 S3 버킷으로 내보내는 방법은 Sublime 문서의 지침을 따르세요: * [메시지 MDM 내보내기](https://docs.sublime.security/docs/export-message-mdms) * [감사 로그 및 메시지 이벤트 내보내기](https://docs.sublime.security/docs/export-audit-logs-and-message-events) * 다음을 구성할 때 **감사 로그 및 메시지 이벤트 내보내기** 설정에서 다음을 선택하지 않았는지 확인하세요. **JSON Lines 텍스트 서식 사용** 확인란. * Panther는 로그가 다음에 표시된 형식이기를 기대합니다. [감사 로그 예시](https://docs.sublime.security/docs/export-audit-logs-and-message-events#example-audit-logs) 섹션: ```json { "events": ..., "count": 0, "start": "2023-05-03T23:55:01.06552Z", "end": "2023-05-04T00:05:00.309749667Z", "key": "sublime_platform_audit_log/2023/05/04/000500Z-LPPJKV.json" } ``` ## Panther가 관리하는 디택션 참고 [Panther가 관리하는](/ko/detections/panther-managed.md) 다음의 Sublime Security용 룰 [panther-analysis GitHub 저장소](https://github.com/panther-labs/panther-analysis/tree/main/rules/sublime_rules). ## 지원되는 로그 유형 ### Sublime.Audit ```yaml # Panther가 생성한 코드입니다; 수정하지 마세요. (@generated) 스키마: Sublime.Audit 설명: Sublime의 감사 로그 referenceURL: https://docs.sublimesecurity.com/docs/export-audit-logs-and-message-events#example-audit-logs 필드: - 이름: created_at 필수: true 설명: 감사 로그가 생성된 시간입니다. 유형: timestamp 시간 형식: - rfc3339 이벤트 시간 여부: true - name: created_by 필수: true 설명: 감사 로그를 생성한 사용자입니다. 유형: object 필드: - 이름: active 설명: 사용자가 현재 활성 상태인지 여부입니다. 유형: boolean - 이름: created_at 설명: 사용자가 생성된 시점입니다. 유형: timestamp 시간 형식: - rfc3339 - 이름: email_address 설명: 사용자의 이메일 주소입니다. 유형: string 지표: - email - 이름: first_name 설명: 사용자의 이름입니다.' 유형: string - 이름: google_oauth_user_id 설명: 사용자의 Google OAuth 사용자 ID입니다. 유형: float - 이름: id 설명: 사용자의 고유 Sublime ID입니다. 유형: string - 이름: is_enrolled 설명: 사용자가 등록되었는지 여부입니다. 유형: boolean - 이름: last_name 설명: 사용자의 성입니다.' 유형: string - 이름: microsoft_oauth_user_id 설명: 사용자의 Microsoft OAuth 사용자 ID입니다. 유형: string - 이름: role 설명: 사용자에게 할당된 역할입니다. 유형: string - 이름: 업데이트 시각 설명: 사용자가 마지막으로 업데이트된 시간입니다. 유형: timestamp 시간 형식: - rfc3339 지표: - email - 이름: data 필수: true 설명: 발생한 활동의 세부 정보입니다. 유형: object 필드: - 이름: message 설명: 고유한 메시지 ID입니다. 유형: object 필드: - 이름: external_id 설명: 외부 ID입니다. 유형: string - 이름: id 설명: 고유한 메시지 ID입니다. 유형: string - 이름: message_group 설명: 메시지 그룹의 SHA256 해시입니다. 유형: object 필드: - 이름: id 설명: 메시지 그룹의 SHA256 해시입니다. 유형: string 지표: - sha256 - 이름: request 필수: true 설명: 수행 중인 요청에 대한 구체적인 세부 정보입니다. 유형: object 필드: - 이름: query 설명: 수행 중인 쿼리의 매개변수입니다. 유형: object 필드: - 이름: attachment_md5 설명: 첨부 파일의 MD5 해시를 지정합니다. 유형: string - 이름: attachment_sha1 설명: 첨부 파일의 SHA1 해시를 지정합니다. 유형: string - 이름: attachment_sha256 설명: 첨부 파일의 SHA256 해시를 지정합니다. 유형: string - 이름: created_at[gte] 설명: 이 시간 이후에 생성된 결과만 반환하도록 지정합니다. 유형: timestamp 시간 형식: - rfc3339 - 이름: created_at[lte] 설명: 이 시간 이전에 생성된 결과만 반환하도록 지정합니다. 유형: timestamp 시간 형식: - rfc3339 - 이름: fetch_all_ids 설명: 모든 ID를 가져올지 여부를 지정합니다. 유형: boolean - 이름: file_name 설명: 반환할 결과의 파일 이름을 지정합니다. 유형: string - 이름: from 설명: 반환할 발신자 이메일 주소를 지정합니다. 유형: string 지표: - email - 이름: limit 설명: 반환할 최대 결과 수를 지정합니다. 유형: bigint - 이름: mailbox 설명: 결과를 반환할 사서함을 지정합니다. 유형: string - 이름: message_id 설명: 반환할 메시지 ID를 지정합니다. 유형: string - 이름: offset 설명: 반환할 결과의 오프셋을 지정합니다. 유형: bigint - 이름: subject 설명: 반환할 이메일 제목 줄을 지정합니다. 유형: string - 이름: to 설명: 반환할 수신자 이메일 주소를 지정합니다. 유형: string - 이름: limit_size 설명: 크기를 제한할지 여부를 지정합니다. 유형: boolean - 이름: authentication_method 설명: 사용자가 인증된 방식입니다. 유형: string - name: body 설명: 요청 본문입니다. 유형: string - 이름: id 필수: true 설명: 수행 중인 요청의 고유 ID입니다. 유형: string - 이름: ip 설명: 요청이 발생한 IP 주소 유형: string 지표: - ip - 이름: method 설명: 요청의 HTTP 메서드입니다. 유형: string - 이름: path 설명: 요청의 URL 경로입니다. 유형: string - 이름: user_agent 설명: 요청을 수행하는 사용자 에이전트입니다. 유형: string - 이름: id 설명: 감사 로그의 고유 ID입니다. 유형: string - 이름: type 설명: 기록 중인 활동 유형입니다. 유형: string ``` ### Sublime.MessageEvent ```yaml # Panther가 생성한 코드입니다; 수정하지 마세요. (@generated) 스키마: Sublime.MessageEvent 설명: Sublime의 메시지 이벤트 referenceURL: https://docs.sublimesecurity.com/docs/export-audit-logs-and-message-events#example-message-events 필드: - 이름: created_at 필수: true 설명: 플래그 지정된 메시지 이벤트의 타임스탬프입니다. 유형: timestamp 시간 형식: - rfc3339 이벤트 시간 여부: true - 이름: data 필수: true 설명: 플래그 지정된 메시지 이벤트에 대한 추가 정보입니다. 유형: object 필드: - 이름: flagged_룰s 필수: true 설명: 플래그 지정된 룰 목록입니다. 유형: array 요소: 유형: object 필드: - 이름: attack_types 설명: 룰에서 디택션한 공격 유형입니다. 유형: array 요소: 유형: string - 이름: 디택션_methods 설명: 룰이 문제를 디택션한 방식입니다. 유형: array 요소: 유형: string - 이름: id 설명: 플래그 지정된 룰의 ID입니다. 유형: string - 이름: label 설명: 플래그 지정된 룰의 레이블입니다. 유형: string - 이름: name 설명: 플래그 지정된 룰의 이름입니다. 유형: string - 이름: severity 설명: 룰 탐지 결과의 심각도입니다. 유형: string - 이름: tags 설명: 플래그 지정된 룰의 태그입니다. 유형: array 요소: 유형: string - 이름: tactics_and_techniques 설명: 이 룰 탐지 결과에 매핑된 전술 및 기법입니다. 유형: array 요소: 유형: string - 이름: message 설명: 플래그 지정된 룰과 관련된 엔터티의 고유 식별자입니다. 유형: object 필드: - 이름: canonical_id 설명: SHA256 해시인 정규 ID입니다. 유형: string 지표: - sha256 - 이름: external_id 설명: 메시지의 외부 ID입니다. 유형: string - 이름: id 설명: 메시지의 ID입니다. 유형: string - 이름: landed_in_spam 설명: 메시지가 스팸 받은편지함으로 이동했는지 여부입니다. 유형: boolean - 이름: mailbox 설명: 메시지가 발신된 사서함의 ID입니다. 유형: object 필드: - 이름: external_id 설명: 외부 ID입니다. 유형: string - 이름: id 설명: 고유한 메시지 ID입니다. 유형: string - 이름: message_source_id 설명: 메시지 소스의 ID입니다. 유형: string - 이름: triggered_actions 설명: 플래그 지정된 룰에 의해 트리거된 작업입니다. 유형: json - 이름: type 필수: true 설명: 플래그 지정되는 메시지 유형입니다. 유형: string ``` ### Sublime.MDM ```yaml # Panther가 생성한 코드입니다; 수정하지 마세요. (@generated) 스키마: Sublime.MDM 설명: Sublime의 메시지 데이터 모델 로그 referenceURL: https://docs.sublimesecurity.com/docs/mdm 필드: - 이름: _errors 유형: array 요소: 유형: object 필드: - 이름: field 유형: string - 이름: message 유형: string - 이름: type 유형: string - 이름: _meta 필수: true 유형: object 필드: - 이름: canonical_id 유형: string 지표: - sha256 - 이름: created_at 유형: timestamp 시간 형식: - rfc3339 - 이름: effective_at 유형: timestamp 시간 형식: - rfc3339 - 이름: id 유형: string - 이름: attachments 유형: array 요소: 유형: object 필드: - 이름: content_id 유형: string - 이름: content_transfer_encoding 유형: string - 이름: content_type 유형: string - 이름: file_extension 유형: string - 이름: file_name 유형: string - 이름: file_type 유형: string - 이름: md5 유형: string - 이름: raw 유형: string - name: sha1 유형: string 지표: - sha1 - 이름: sha256 유형: string 지표: - sha256 - 이름: size 유형: bigint - name: body 유형: object 필드: - 이름: ips 유형: array 요소: 유형: object 필드: - 이름: ip 유형: string 지표: - ip - 이름: plain 유형: object 필드: - 이름: content_transfer_encoding 유형: string - 이름: charset 유형: string - 이름: raw 유형: string - 이름: links 유형: array 요소: 유형: object 필드: - 이름: mismatched 유형: boolean - 이름: display_url 유형: object 필드: - 이름: password 유형: string - 이름: fragment 유형: string - 이름: username 유형: string 지표: - username - 이름: query_params 유형: string - 이름: path 유형: string - name: domain 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: scheme 유형: string - 이름: url 유형: string 지표: - url - 이름: display_text 유형: string - 이름: href_url 유형: object 필드: - 이름: password 유형: string - 이름: username 유형: string - 이름: rewrite 유형: object 필드: - 이름: encoders 유형: array 요소: 유형: string - 이름: original 유형: string 지표: - url - 이름: fragment 유형: string - 이름: query_params 유형: string - 이름: path 유형: string - name: domain 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: scheme 유형: string - 이름: url 유형: string 지표: - url - 이름: html 유형: object 필드: - 이름: content_transfer_encoding 유형: string - 이름: charset 유형: string - 이름: display_text 유형: string - 이름: inner_text 유형: string - 이름: raw 유형: string - 이름: current_thread 유형: object 필드: - 이름: text 유형: string - 이름: external 필수: true 유형: object 필드: - 이름: created_at 유형: timestamp 시간 형식: - rfc3339 이벤트 시간 여부: true - 이름: message_id 유형: string - 이름: route_type 유형: string - 이름: spam 유형: boolean - 이름: headers 필수: true 유형: object 필드: - 이름: x_sender 유형: object 필드: - name: domain 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: in_reply_to 유형: string 지표: - email - 이름: references 유형: array 요소: 유형: string 지표: - email - 이름: reply_to 유형: array 요소: 유형: object 필드: - 이름: display_name 유형: string - 이름: email 유형: object 필드: - name: domain 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string 지표: - sha256 - 이름: mailer 유형: string - 이름: ips 유형: array 요소: 유형: object 필드: - 이름: ip 유형: string 지표: - ip - 이름: auth_summary 유형: object 필드: - 이름: dmarc 유형: object 필드: - 이름: pass 유형: boolean - 이름: details 유형: object 필드: - 이름: action 유형: string - 이름: disposition 유형: string - 이름: 정책 유형: string - 이름: sub_policy 유형: string - 이름: from 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: verdict 유형: string - 이름: received_hop 유형: bigint - 이름: spf 유형: object 필드: - 이름: error 유형: boolean - 이름: pass 유형: boolean - 이름: details 유형: object 필드: - 이름: client_ip 유형: object 필드: - 이름: ip 유형: string 지표: - ip - 이름: server 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: description 유형: string - 이름: designator 유형: string - 이름: verdict 유형: string - 이름: received_hop 유형: bigint - 이름: delivered_to 유형: object 필드: - name: domain 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: domains 유형: array 요소: 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: return_path 유형: object 필드: - name: domain 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: date 유형: timestamp 시간 형식: - rfc3339 - 이름: date_original_offset 유형: bigint - 이름: hops 유형: array 요소: 유형: object 필드: - 이름: received_spf 유형: object 필드: - 이름: client_ip 유형: object 필드: - 이름: ip 유형: string 지표: - ip - 이름: description 유형: string - 이름: designator 유형: string - 이름: server 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: verdict 유형: string - 이름: authentication_results 유형: object 필드: - 이름: dmarc 유형: string - 이름: dmarc_details 유형: object 필드: - 이름: action 유형: string - 이름: disposition 유형: string - 이름: 정책 유형: string - 이름: sub_policy 유형: string - 이름: from 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: verdict 유형: string - 이름: dkim 유형: string - 이름: dkim_details 유형: array 요소: 유형: object 필드: - name: domain 유형: string - 이름: instance 유형: string - 이름: selector 유형: string - 이름: 시그니처 유형: string - 이름: type 유형: string - 이름: instance 유형: bigint - 이름: server 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: subdomain 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: spf 유형: string - 이름: spf_details 유형: object 필드: - 이름: client_ip 유형: object 필드: - 이름: ip 유형: string 지표: - ip - 이름: description 유형: string - 이름: designator 유형: string 지표: - email - 이름: server 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: verdict 유형: string - 이름: type 유형: string - 이름: received 유형: object 필드: - 이름: link 유형: object 필드: - 이름: raw 유형: string - 이름: mailbox 유형: object 필드: - 이름: raw 유형: string 지표: - email - 이름: additional 유형: object 필드: - 이름: raw 유형: string 지표: - email - name: source 유형: object 필드: - 이름: raw 유형: string 지표: - ip - 이름: id 유형: object 필드: - 이름: raw 유형: string 지표: - email - 이름: protocol 유형: object 필드: - 이름: raw 유형: string - 이름: server 유형: object 필드: - 이름: raw 유형: string 지표: - ip - name: time 유형: timestamp 시간 형식: - rfc3339 - 이름: zone_offset 유형: bigint - 이름: 시그니처 유형: object 필드: - 이름: version 유형: bigint - 이름: instance 유형: string - 이름: algorithm 유형: string - 이름: body_hash 유형: string - name: domain 유형: string - 이름: headers 유형: string - 이름: selector 유형: string - 이름: 시그니처 유형: string - 이름: type 유형: string - 이름: fields 유형: array 요소: 유형: object 필드: - 이름: name 유형: string - 이름: position 유형: bigint - 이름: value 유형: string 지표: - email - ip - 이름: index 유형: bigint - 이름: message_id 유형: string 지표: - email - 이름: mailbox 필수: true 유형: object 필드: - 이름: email 유형: object 필드: - name: domain 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: recipients 필수: true 유형: object 필드: - 이름: bcc 유형: array 요소: 유형: object 필드: - 이름: email 유형: object 필드: - name: domain 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: cc 유형: array 요소: 유형: object 필드: - 이름: display_name 유형: string 지표: - email - 이름: email 유형: object 필드: - name: domain 유형: object 필드: - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: to 유형: array 요소: 유형: object 필드: - 이름: display_name 유형: string 지표: - email - 이름: email 유형: object 필드: - name: domain 유형: object 필드: - 이름: subdomain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - name: domain 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string 지표: - sha256 - 이름: sender 필수: true 유형: object 필드: - 이름: display_name 유형: string 지표: - email - 이름: email 유형: object 필드: - name: domain 유형: object 필드: - 이름: subdomain 유형: string - name: domain 유형: string - 이름: root_domain 유형: string - 이름: sld 유형: string - 이름: tld 유형: string - 이름: valid 유형: boolean - 이름: email 유형: string 지표: - email - 이름: local_part 유형: string - 이름: subject 유형: object 필드: - 이름: subject 유형: string - 이름: type 필수: true 유형: object 필드: - 이름: inbound 유형: boolean ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/data-onboarding/supported-logs/sublime-security.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.