Tailscale 로그

Panther는 webhook을 통해 Tailscale 로그를 직접 수신하는 것을 지원합니다

개요

Panther가 Tailscale을 수집합니다 구성 감사 와 네트워크 플로우 구성하여 로그 Tailscale 로그 스트리밍 이벤트를 Panther에 전송하려면 HTTP 소스.

인 필드는 연결 연산에 사용할 수 없습니다. 로그 스트리밍 Tailscale에서 Panther로 Tailscale 로그를 수집하려면 다음이 필요합니다, 귀하의 계정에는 Enterprise Tailscale 플랜.

Tailscale 로그를 Panther에 온보딩하는 방법

Tailscale 로그를 Panther에 온보딩하려면 먼저 Panther에서 새 로그 소스를 생성한 다음 Tailscale을 구성하여 이벤트를 Panther HTTP 엔드포인트로 전송합니다.

사전 요구 사항

• 이 프로세스를 성공적으로 완료하려면 귀하의 Tailscale 사용자는 다음 역할 중 하나를 가져야 합니다: 소유자(Owner), 관리자(Admin), 네트워크 관리자(Network admin), 또는 IT 관리자(IT admin).

• Tailscale은 로그 유형당 하나의 스트리밍 대상(예: Panther, Splunk, Elasticsearch)만 지원합니다. 현재 다른 소스로 스트리밍 중인 경우 먼저 이전 소스를 비활성화해야 합니다.

1단계: Panther에서 새 Tailscale 로그 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하세요 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. “Tailscale”을 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드 아웃 패널에서 전송 메커니즘 우측 상단의 드롭다운은 미리 채워진 상태일 것입니다 HTTP 옵션.

4. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 설정 시작.

5. Panther의 HTTP 소스 구성에 대한 지침을 따르세요5단계부터 시작하여.

   • 다음을 사용해야 합니다 Bearer 인증. 이것은 Tailscale이 Panther와 통합할 때 지원하는 인증 방식입니다.

   • 이 소스로 전송된 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

2단계: Tailscale에서 새 로그 스트림 생성

1. Tailscale 관리자 콘솔에 로그인합니다.

2. 화면 상단의 탐색 바에서 클릭합니다 로그.

3. 에서 구성 로그인 경우 JSON 로그를 업로드했다면 클릭하세요 스트리밍 시작.

4. 에서 대상 선택SNS 주제 Panther그런 다음 다음 필드에 대한 값을 입력합니다:

   • URL: 1단계에서 받은 HTTP 소스 URL을 입력합니다.

   • 토큰: 1단계에서 받은 Bearer 토큰을 입력합니다. "Bearer"라는 단어는 포함하지 말고 토큰만 붙여넣으세요.

5. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 스트리밍 시작.

지원되는 로그 유형

Tailscale.Audit

스키마: Tailscale.Audit
설명: Tailscale 감사 로그 스트림의 이벤트 로그
참조 URL: https://tailscale.com/kb/1255/log-streaming/#configuration-audit-log-streaming
필드:
  - 이름: time
    required: true
    설명: 이벤트가 Tailscale 제어 서버에서 생성된 타임스탬프
    type: timestamp
    timeFormats:
      - unix
    isEventTime: true
  - name: event
    required: true
    설명: 로그 이벤트와 관련된 필드 모음
    type: object
    필드:
      - name: deferredAt
        설명: 속도 제한된 이벤트가 나중에 기록되도록 대기열에 추가된 시점의 타임스탬프
        type: timestamp
        timeFormats:
          - rfc3339
      - name: eventGroupID
        설명: 원자적으로 발생한 하나 이상의 감사 이벤트에 할당된 불투명 식별자
        type: string
      - name: origin
        required: true
        설명: 이벤트를 생성한 작업의 발신자
        type: string
      - name: actor
        required: true
        설명: 작업을 발생시킨 사람
        type: object
        필드:
          - 이름: id
            설명: 행위자의 식별자
            type: string
            지표:
              - actor_id
          - 이름: type
            설명: 행위자의 유형
            type: string
          - name: loginName
            설명: 행위자의 로그인 이름
            type: string
            지표:
              - 이메일
          - name: displayName
            type: string
          allowContains: ["critical", "warning"]
            type: array
            element:
              type: string
      - name: target
        required: true
        설명: 이 이벤트의 작업 대상 객체
        type: object
        필드:
          - 이름: id
            설명: 대상의 ID
            type: string
          - 이름: name
            설명: 대상의 이름
            type: string
          - 이름: type
            설명: 대상의 유형
            type: string
          - name: property
            설명: 대상에서 변경된 속성
            type: string
      - 이름: action
        required: true
        설명: 대상에 대해 수행된 작업의 유형
        type: string
      - name: old
        설명: 이벤트 이전의 이전 값
        유형: json
      - name: new
        설명: 이벤트 이후의 새 값
        유형: json
      - name: actionDetails
        설명: 이벤트에 대한 추가 정보
        type: string
      - name: error
        설명: 작업이 완료되지 못한 이유
        type: string
  - name: fields
    설명: 추가 기록된 필드 데이터를 포함하는 객체
    type: object
    필드:
      - name: recorded
        설명: 이벤트가 Tailscale의 로깅 서비스에 의해 기록된 시점의 타임스탬프
        type: timestamp
        timeFormats:
          - rfc3339

Tailscale.Network

스키마: Tailscale.Network
설명: Tailscale 네트워크 로그 스트림의 이벤트 로그
참조 URL: https://tailscale.com/kb/1255/log-streaming/#network-flow-log-streaming
필드:
    - 이름: time
      required: true
      설명: 이벤트가 Tailscale 클라이언트에서 생성된 시점의 타임스탬프
      type: timestamp
      timeFormats:
        - unix
      isEventTime: true
    - name: event
      required: true
      설명: 여러 하위 필드를 포함하는 주요 이벤트 객체
      type: object
      필드:
        - name: nodeId
          설명: 테일넷 내 노드에 연결된 ID
          type: string
        - name: start
          설명: 네트워크 통계 창의 시작 타임스탬프(포함)
          type: timestamp
          timeFormats:
            - rfc3339
        - name: end
          설명: 네트워크 통계 창의 종료 타임스탬프(포함)
          type: timestamp
          timeFormats:
            - rfc3339
        - name: virtualTraffic
          설명: 테일넷 내 노드 간 트래픽에 대한 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - name: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - name: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - name: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - name: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - name: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - name: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - name: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - name: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
        - name: subnetTraffic
          설명: 서브넷 라우트에서 노드와 외부 간 트래픽에 대한 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - name: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - name: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - name: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - name: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - name: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - name: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - name: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - name: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
        - name: exitTraffic
          설명: 엑시트 노드를 통한 트래픽에 대한 집계된 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - name: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - name: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - name: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - name: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - name: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - name: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - name: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - name: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
        - name: physicalTraffic
          설명: 물리 계층에서의 트래픽에 대한 연결 통계
          type: array
          element:
            type: object
            필드:
                - name: proto
                  설명: 내부 프로토콜 번호
                  type: bigint
                - name: src
                  설명: 소스 IP 주소 및 포트
                  type: string
                - name: srcIp
                  설명: 소스 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: srcPort
                  설명: 소스 포트
                  type: bigint
                - name: dst
                  설명: 대상 IP 주소 및 포트
                  type: string
                - name: dstIp
                  설명: 대상 IP 주소
                  type: string
                  지표:
                    - ip
                - 이름: dstPort
                  설명: 대상 포트
                  type: bigint
                - name: txPkts
                  설명: 창 내에서 전송된 패킷 수
                  type: bigint
                - name: txBytes
                  설명: 창 내에서 전송된 바이트 수
                  type: bigint
                - name: rxPkts
                  설명: 창 내에서 수신된 패킷 수
                  type: bigint
                - name: rxBytes
                  설명: 창 내에서 수신된 바이트 수
                  type: bigint
    - name: fields
      설명: 추가 기록된 필드 데이터를 포함하는 객체
      type: object
      필드:
        - name: recorded
          설명: 이벤트가 Tailscale의 로깅 서비스에 의해 기록된 시점의 타임스탬프
          type: timestamp
          timeFormats:
            - rfc3339