Tailscale 로그

Panther는 웹후크를 통해 Tailscale 로그를 직접 수신하는 것을 지원합니다

개요

Panther가 Tailscale을 수집합니다 구성 감사 와 네트워크 흐름 다음을 구성하여 로그 Tailscale 로그 스트리밍 이벤트를 Panther에 게시하려면 HTTP 소스.

을(를) 사용하려면 로그 스트리밍 Tailscale에서 Panther로 Tailscale 로그를 수집하려면 다음이 필요합니다: 당신은 Enterprise Tailscale 플랜.

Tailscale 로그를 Panther에 온보딩하는 방법

Tailscale 로그를 Panther에 온보딩하려면 먼저 Panther에서 새 로그 소스를 만든 다음 Tailscale을 구성하여 이벤트를 Panther HTTP 엔드포인트로 전송해야 합니다.

전제 조건

• 이 프로세스를 성공적으로 완료하려면 귀하의 Tailscale 사용자가 다음 역할 중 하나를 가져야 합니다: 소유자(Owner), 관리자(Admin), 네트워크 관리자(Network admin) 또는 IT 관리자(IT admin).

• Tailscale은 로그 유형당 하나의 스트리밍 대상(예: Panther, Splunk, Elasticsearch)만 지원합니다. 현재 다른 대상으로 스트리밍 중인 경우 먼저 이전 소스를 비활성화해야 합니다.

단계 1: Panther에서 새 Tailscale 로그 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하세요 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. “Tailscale”을 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운은 미리 채워져 있습니다 HTTP 옵션.

4. 클릭 설정 시작.

5. Panther의 HTTP 소스 구성에 대한 지침을(를) 따르십시오. 5단계에서 시작합니다.

   • 다음을 사용해야 합니다 Bearer 인증. 이것은 Tailscale이 Panther와 통합할 때 지원하는 인증 방법입니다.

   • 이 소스로 전송되는 페이로드는 모든 HTTP 소스에 대한 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

단계 2: Tailscale에서 새 로그 스트림 생성

1. Tailscale 관리자 콘솔에 로그인합니다.

2. 화면 상단의 탐색 표시줄에서 클릭합니다 Logs.

3. 아래 구성 로그활성화되어 있다면, 클릭하세요 스트리밍 시작.

4. 아래 대상 선택에서, 선택하십시오 팬서그런 다음 다음 필드에 대한 값을 제공합니다:

   • URL: 1단계에서 받은 HTTP 소스 URL을 입력하십시오.

   • 토큰: 1단계에서 받은 Bearer 토큰을 입력하십시오. "Bearer"라는 단어를 포함하지 말고 토큰만 붙여넣으십시오.

5. 클릭 스트리밍 시작.

지원되는 로그 유형

Tailscale.Audit

스키마: Tailscale.Audit
설명: Tailscale 감사 로그 스트림의 이벤트 로그
참조 URL: https://tailscale.com/kb/1255/log-streaming/#configuration-audit-log-streaming
필드:
  - 이름: time
    required: true
    설명: 이벤트가 Tailscale 제어 서버에서 생성된 시각의 타임스탬프
    type: timestamp
    timeFormats:
      - unix
    isEventTime: true
  - name: event
    required: true
    설명: 로그 이벤트와 관련된 필드 모음
    type: object
    필드:
      - 이름: deferredAt
        설명: 속도 제한된 이벤트가 나중에 기록되도록 대기열에 추가된 시각의 타임스탬프
        type: timestamp
        timeFormats:
          - rfc3339
      - 이름: eventGroupID
        설명: 원자적으로 발생한 하나 이상의 감사 이벤트에 할당된 불투명 식별자
        type: string
      - 이름: origin
        required: true
        설명: 이벤트를 생성한 작업의 발신자
        type: string
      - 이름: actor
        required: true
        설명: 작업을 유발한 사람
        type: object
        필드:
          - 이름: id
            설명: 행위자의 식별자
            type: string
            지표:
              - actor_id
          - 이름: type
            설명: 행위자 유형
            type: string
          - 이름: loginName
            설명: 행위자의 로그인 이름
            type: string
            지표:
              - 이메일
          - 이름: displayName
            type: string
          allowContains: ["critical", "warning"]
            type: array
            element:
              type: string
      - name: target
        required: true
        설명: 이 이벤트의 작업 대상 객체
        type: object
        필드:
          - 이름: id
            설명: 대상의 ID
            type: string
          - 이름: name
            설명: 대상의 이름
            type: string
          - 이름: type
            설명: 대상의 유형
            type: string
          - 이름: property
            설명: 대상에서 변경된 속성
            type: string
      - 이름: action
        required: true
        설명: 대상에 대해 수행된 작업의 유형
        type: string
      - 이름: old
        설명: 이벤트 이전의 이전 값
        유형: json
      - 이름: new
        설명: 이벤트 이후의 새로운 값
        유형: json
      - 이름: actionDetails
        설명: 이벤트에 대한 추가 정보
        type: string
      - 이름: error
        설명: 작업이 완료되지 못한 이유
        type: string
  - 이름: fields
    설명: 추가로 기록된 필드 데이터를 포함하는 객체
    type: object
    필드:
      - 이름: recorded
        설명: 이벤트가 Tailscale의 로깅 서비스에 의해 기록된 시각의 타임스탬프
        type: timestamp
        timeFormats:
          - rfc3339

Tailscale.Network

스키마: Tailscale.Network
설명: Tailscale 네트워크 로그 스트림의 이벤트 로그
참조 URL: https://tailscale.com/kb/1255/log-streaming/#network-flow-log-streaming
필드:
    - 이름: time
      required: true
      설명: 이벤트가 Tailscale 클라이언트에서 생성된 시각의 타임스탬프
      type: timestamp
      timeFormats:
        - unix
      isEventTime: true
    - name: event
      required: true
      설명: 여러 하위 필드를 포함하는 주요 이벤트 객체
      type: object
      필드:
        - 이름: nodeId
          설명: 테일넷(tailnet) 내 노드와 연결된 ID
          type: string
        - name: start
          설명: 네트워크 통계의 창(window) 시작 타임스탬프(포함)
          type: timestamp
          timeFormats:
            - rfc3339
        - 이름: end
          설명: 네트워크 통계의 창(window) 종료 타임스탬프(포함)
          type: timestamp
          timeFormats:
            - rfc3339
        - 이름: virtualTraffic
          설명: 테일넷 내 노드 간 트래픽에 대한 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - 이름: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - 이름: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - 이름: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - 이름: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - 이름: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - 이름: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - 이름: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - 이름: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
        - 이름: subnetTraffic
          설명: 서브넷 라우트에서 노드와 외부 간 트래픽에 대한 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - 이름: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - 이름: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - 이름: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - 이름: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - 이름: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - 이름: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - 이름: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - 이름: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
        - 이름: exitTraffic
          설명: 이그저트 노드를 통한 트래픽에 대한 집계된 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - 이름: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - 이름: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - 이름: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - 이름: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - 이름: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - 이름: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - 이름: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - 이름: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
        - 이름: physicalTraffic
          설명: 물리 계층에서의 트래픽에 대한 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - 이름: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - 이름: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - 이름: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - 이름: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - 이름: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - 이름: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - 이름: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - 이름: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
    - 이름: fields
      설명: 추가로 기록된 필드 데이터를 포함하는 객체
      type: object
      필드:
        - 이름: recorded
          설명: 이벤트가 Tailscale의 로깅 서비스에 의해 기록된 시각의 타임스탬프
          type: timestamp
          timeFormats:
            - rfc3339