Sysdig 로그

Panther는 Sysdig에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 다음을 쿼리하여 Sysdig 감사 로그를 가져올 수 있습니다 Sysdig 감사 REST API.

Panther는 특히 모니터링합니다 Sysdig 플랫폼 감사 Sysdig 플랫폼 자체의 사용을 감사하고 보고하기 위한 이벤트입니다.

Panther에서 로그 소스로 Sysdig를 설정하려면 Sysdig API 키를 얻어야 하며 API에 대한 액세스를 제공하기 위해 해당 키를 Panther에 전달해야 합니다.

Sysdig 로그를 Panther에 온보딩하는 방법

1단계: Sysdig Secure API 키 받기

1. 조직의 Sysdig 계정에 로그인하고 설정 페이지로 이동합니다.

2. 왼쪽 사이드바에서 클릭합니다 사용자 프로필.

3. 아래로 스크롤하여 "Sysdig Secure API"를 찾습니다. 토큰 값을 복사하여 다음 단계에서 필요하므로 안전한 장소에 보관하세요.

2단계: Panther에서 새 Sysdig 로그 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 구성 > 로그 소스.

2. 를 클릭하세요 새로 만들기(Create New).

3. “Sysdig”를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 클릭합니다 설정 시작.

5. 다음 화면에서 소스에 대한 설명 이름을 입력합니다. 예: 내 Sysdig 로그.

6. 를 클릭하세요 설정.

7. 에 있는 자격 증명 페이지에서 양식을 작성하세요:

   • 호스트: Sysdig 계정의 호스팅 지역을 선택하세요.

   • API 키: 이전에 Sysdig 계정에서 복사한 API 키를 붙여넣으세요.

   
8. 를 클릭하세요 설정. 성공 화면으로 이동됩니다:\

   

   • 선택적으로 하나 이상의 항목을 활성화할 수 있습니다 탐지 팩.

   • 와 같이 반환할 수 있습니다(스타일 취향에 따라). 이벤트가 처리되지 않을 때 경고 트리거 설정은 기본값으로 예로 설정됩니다. 데이터가 일정 기간 후에 로그 소스에서 흐르지 않으면 경고를 받으므로 이 설정을 그대로 두는 것을 권장합니다. 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

지원되는 로그 유형

Sysdig.Audit

스키마: Sysdig.Audit
파서:
    네이티브:
        이름: Sysdig.Audit
설명: 엔드포인트 액세스를 추적하는 로그
참조URL: https://docs.sysdig.com/en/docs/administration/sysdig-platform-audit
"p_parse_time": "2022-04-04T16:12:41.059224Z",
필드:
    - 이름: id
      필수: 예
      설명: 로그의 고유 식별자
      유형: 문자열
    - 이름: cursor
      설명: 이 이벤트를 가리키는 커서
      유형: 문자열
    - 이름: timestamp
      필수: 예
      설명: 로그의 타임스탬프
      유형: 타임스탬프
      시간형식: rfc3339
      isEventTime: true
    - 이름: originator
      설명: 이 로그가 발생한 곳
      유형: 문자열
    - name: customerId
      필수: 예
      설명: 작업을 수행한 고객
      유형: 정수(빅인트)
    - 이름: category
      설명: 로그의 카테고리
      유형: 문자열
    - name: source
      설명: 항상 auditTrail
      유형: 문자열
    - 이름: name
      설명: 로그의 이름
      유형: 문자열
    - 이름: description
      설명: 로그의 설명
      유형: 문자열
    - 이름: severity
      설명: Sysdig가 분류한 심각도
      유형: 정수(빅인트)
    - 이름: content
      필수: 예
      설명: 실제 동작(액션) 그 자체
      유형: 객체
      필드:
        - name: customerId
          필수: 예
          설명: 작업을 수행한 고객
          유형: 정수(빅인트)
        - 이름: entityId
          설명: 동작이 발생한 엔터티의 ID
          유형: 문자열
        - 이름: entityPayload
          설명: 동작의 페이로드
          유형: 문자열
        - 이름: entityType
          설명: 동작이 발생한 엔터티의 유형
          유형: 문자열
        - 이름: queryString
          설명: 요청에 전송된 쿼리
          유형: 문자열
        - 이름: requestMethod
          필수: 예
          설명: HTTP 메서드
          유형: 문자열
        - 이름: requestUri
          필수: 예
          설명: 액세스한 엔드포인트
          유형: 문자열
        - 이름: responseStatusCode
          필수: 예
          설명: HTTP 상태 코드
          유형: 정수(빅인트)
        - 이름: teamId
          설명: 사용자의 팀 ID
          유형: 정수(빅인트)
        - 이름: timestampNs
          설명: 나노초 단위의 로그 타임스탬프
          유형: 타임스탬프
          시간형식: unix_ns
        - name: userId
          설명: 사용자의 ID
          유형: 정수(빅인트)
        - 이름: userOriginIP
          설명: 사용자의 IP
          유형: 문자열
          지표:
            - ip
    - 이름: labels
      필수: 예
      설명: 로그에 적용되는 라벨
      유형: 객체
      필드:
        - 이름: entityType
          필수: 예
          설명: 엔터티의 유형
          유형: 문자열