Teleport 로그

Teleport 로그를 Panther 콘솔에 연결하기

개요

Panther는 수집을 지원합니다 Teleport 클러스터 이벤트 감사 로그 을 통해 AWS S3 데이터 전송 옵션.

Teleport 로그를 Panther에 온보딩하는 방법

Teleport 로그를 Panther에 온보딩하려면 Teleport를 구성하여 로그를 S3 버킷으로 전달하도록 설정합니다. 그런 다음 Panther에서 S3 소스를 생성합니다.

Teleport 소스를 Panther에서 다음의 어떤 데이터 전송 메커니즘을 사용하여 설정하는 것이 가능하지만, S3 버킷 소스를 사용하는 것이 권장됩니다. 이 페이지의 지침은 S3를 사용할 것을 전제로 합니다.

1단계: Teleport를 구성하여 로그를 Panther로 내보내기

Teleport를 구성하여 Panther가 가져올 수 있는 S3 버킷으로 로그를 내보내도록 설정하는 방법은 두 가지가 있습니다:

• (권장) 옵션 1: 이벤트를 AWS 계정의 S3 버킷에 직접 저장합니다.

  • Teleport 문서의 지침을 따르세요 외부 감사 저장소.

• 옵션 2: Teleport 이벤트 핸들러를 구성하여 이벤트를 Fluentd로 보내고 Fluentd가 이를 S3 버킷으로 전달하도록 합니다.

  • Teleport 문서의 지침을 따르세요 Teleport 감사 이벤트를 Panther로 내보내기.

2단계: Panther에서 새 Teleport 소스 생성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. "Teleport"를 검색한 다음 해당 타일을 클릭하세요.

   • 슬라이드아웃 패널에서 전송 메커니즘 드롭다운은 AWS S3 버킷 옵션.

4. 클릭 설정 시작.

5. 으로 미리 채워집니다. 다음의 지침을 따르세요 S3 소스 로 소스 구성을 마치세요.

Panther 관리 탐지

참조 Panther 관리 규칙 Teleport용 panther-analysis GitHub 저장소.

지원되는 로그 유형

Gravitational.TeleportAudit

이 스키마는 원격 IP 주소, 시간, 세션 ID와 같은 메타데이터와 함께 성공적인 사용자 로그인과 같은 Teleport 클러스터 이벤트 감사 로그를 지원합니다. 감사 로그 유형에 대해서는 이 Teleport 문서.

를 참조하세요 Teleport 녹화된 세션 감사 로그는 지원되지 않습니다.

스키마: Gravitational.TeleportAudit
설명: Teleport는 원격 IP 주소, 시간 및 세션 ID와 같은 메타데이터와 함께 성공적인 사용자 로그인과 같은 이벤트를 기록합니다.
참고URL: https://goteleport.com/docs/admin-guide/#audit-log
필드:
  - name: event
    required: true
    설명: 이벤트 유형
    type: string
  - name: code
    required: true
    설명: 이벤트 코드
    type: string
  - 이름: time
    required: true
    설명: 이벤트 타임스탬프
    type: timestamp
    timeFormats:
      - rfc3339
    isEventTime: true
  - name: uid
    설명: 이벤트 고유 ID
    type: string
  - name: user
    설명: Teleport 사용자 이름(이벤트 유형이 'user.login'인 경우)
    type: string
  - name: user_kind
    설명: Teleport 사용자 종류
    type: bigint
  - name: namespace
    설명: 서버 네임스페이스. 이 필드는 향후 사용을 위해 예약되어 있습니다.
    type: string
  - name: server_id
    설명: 고유 서버 ID.
    type: string
  - name: sid
    설명: 세션 ID. 세션 재생에 사용될 수 있습니다.
    type: string
    지표:
      - trace_id
  - name: ei
    설명: 이벤트 숫자 ID
    type: string
  - name: login
    설명: OS 로그인
    type: string
  - name: addr_local
    설명: SSH 노드의 주소
    이름 변경:
      원본: addr.local
    type: string
    지표:
      - net_addr
  - name: addr_remote
    설명: 연결한 클라이언트(사용자)의 주소
    이름 변경:
      원본: addr.remote
    type: string
    지표:
      - net_addr
  - name: size
    설명: 터미널 크기
    type: string
  - name: success
    설명: 인증 성공(이벤트 유형이 'auth'인 경우)
    유형: 불리언
  - name: error
    설명: 인증 오류(이벤트 유형이 'auth')
    type: string
  - name: command
    설명: 실행된 명령(이벤트 유형이 'exec')
    type: string
  - name: exitCode
    설명: 명령의 종료 코드(이벤트 유형이 'exec')
    유형: 정수
  - name: exitError
    설명: 명령의 종료 오류(이벤트 유형이 'exec')
    type: string
  - name: pid
    설명: 명령의 프로세스 ID
    type: bigint
  - name: ppid
    설명: 부모 프로세스의 프로세스 ID
    type: bigint
  - name: cgroup_id
    설명: 컨트롤 그룹 ID
    type: bigint
  - name: return_code
    설명: 명령의 반환 코드
    유형: 정수
  - name: program
    설명: 명령 이름
    type: string
  - name: argv
    설명: 명령에 전달된 인수
    type: array
    element:
      type: string
  - name: path
    설명: 실행 파일 경로 또는 SCP 동작 대상 파일 경로 (scp, session.command)
    type: string
  - name: len
    설명: SCP 대상 파일 크기 (scp)
    type: bigint
  - name: action
    설명: SCP 동작 (scp)
    type: string
  - name: method
    설명: 사용된 로그인 방법 (user.login)
    type: string
  - name: attributes
    설명: 사용자 로그인 속성 (user.login)
    유형: JSON
  - name: roles
    설명: 새 사용자의 역할 (user.create)
    type: array
    element:
      type: string
  - name: connector
    설명: 사용자를 생성한 커넥터 (user.create)
    유형: JSON
  - name: expires
    설명: 만료 날짜
    type: timestamp
    timeFormats:
      - rfc3339
  - name: name
    설명: 사용자 또는 서비스 이름 (github.created, user.create, user.update)
    type: string
  - name: tx
    설명: 전송된 바이트 수
    type: bigint
  - name: rx
    설명: 수신된 바이트 수
    type: bigint
  - name: server_labels
    설명: 서버 라벨
    유형: JSON
  - name: server_hostname
    설명: 서버 호스트 이름
    type: string
    지표:
      - 호스트 이름
  - name: server_addr
    설명: 서버 호스트 이름
    type: string
    지표:
      - net_addr
  - name: session_start
    설명: 세션 시작 타임스탬프
    type: timestamp
    timeFormats:
      - rfc3339
  - name: session_stop
    설명: 세션 종료 타임스탬프
    type: timestamp
    timeFormats:
      - rfc3339
  - name: interactive
    설명: 세션이 대화형이었는지 여부
    유형: 불리언
  - name: enhanced_recording
    설명: 향상된 녹화가 활성화되었는지 여부
    유형: 불리언
  - name: participants
    설명: 세션에 참여한 사용자들
    type: array
    element:
      type: string
  - name: dst_addr
    설명: 목적지 IP 주소
    type: string
    지표:
      - ip
  - name: src_addr
    설명: 출발지 IP 주소
    type: string
    지표:
      - ip
  - name: dst_port
    설명: 목적지 포트
    유형: 정수
  - name: version
    설명: 이벤트 버전
    유형: 정수
  - name: cluster_name
    설명: Teleport 클러스터 이름
    type: string
  - name: db_name
    설명: 데이터베이스/스키마 이름
    type: string
  - name: db_protocol
    설명: 데이터베이스 프로토콜
    type: string
  - name: db_query
    설명: 쿼리 텍스트
    type: string
  - name: db_query_parameters
    설명: 쿼리 매개변수 (준비된 문장용)
    유형: JSON
  - name: db_service
    설명: 데이터베이스 서비스 이름
    type: string
  - name: db_uri
    설명: 데이터베이스 서버 엔드포인트
    type: string
    지표:
      - url
  - name: db_user
    설명: 데이터베이스 계정 이름
    type: string
    지표:
      - username
  - name: desktop_addr
    설명: 데스크톱 주소
    type: string
  - name: desktop_name
    설명: 데스크톱 이름
    type: string
  - name: desktop_labels
    설명: 이 이벤트의 데스크톱과 관련된 키/값 쌍
    유형: JSON
  - name: file_path
    설명: 공유 디렉터리 루트로부터의 상대 경로
    type: string
  - name: directory_name
    설명: 접근한 디렉터리 이름
    type: string
  - name: directory_id
    설명: 접근한 디렉터리의 ID
    type: string
  - name: lock
    설명: 잠금 객체
    유형: JSON
  - name: bot_instance_id
    설명: 봇 인스턴스 ID
    type: string
  - name: bot_name
    설명: 봇 이름
    type: string
  - name: reviewer
    설명: 요청의 검토자
    type: string
  - name: proposed_state
    설명: 요청의 원하는 상태
    type: string
  - name: state
    설명: 요청의 실제 상태
    type: string
  - name: trusted_device
    설명: 사용자의 신뢰된 기기에 관한 정보. 인증 시 등록되고 등록된 기기가 사용되어야 합니다.
    유형: JSON
  - name: with_mfa
    설명: WithMFA는 이 세션을 시작하는 데 사용된 MFA 장치의 UUID입니다.
    type: string
  - name: impersonator
    설명: Impersonator는 이 사용자를 가장하여 행동하는 사용자의 사용자 이름입니다
    type: string
  - name: aws_role_arn
    설명: AWS 역할 ARN
    type: string
    지표:
      - aws_arn
  - name: access_requests
    설명: 접근 요청의 ID들
    유형: JSON
  - name: forwarded_by
    설명: ForwardedBy는 메타데이터가 노드 자체에 의해 전송되었는지 또는 다른 노드가 대신 전송했는지를 알려줍니다
    type: string
  - name: proto
    설명: Protocol은 캡처된 프로토콜을 지정합니다
    type: string
  - name: user_agent
    설명: UserAgent는 이벤트를 시도한 클라이언트 유형을 식별합니다.
    type: string
  - name: kubernetes_cluster
    설명: 쿠버네티스 클러스터 이름
    type: string
  - name: kubernetes_users
    설명: 쿠버네티스 사용자 이름 목록
    유형: JSON
  - name: kubernetes_groups
    설명: 쿠버네티스 그룹 목록
    유형: JSON
  - name: kubernetes_labels
    설명: 세션이 발생한 쿠버네티스 클러스터의 라벨(정적 및 동적)
    유형: JSON
  - name: kubernetes_pod_name
    설명: 쿠버네티스 포드 이름
    type: string
  - name: kubernetes_pod_namespace
    설명: 쿠버네티스 포드의 네임스페이스
    type: string
  - name: kubernetes_container_name
    설명: 쿠버네티스 포드 내 컨테이너 이름
    type: string
  - name: kubernetes_container_image
    설명: 쿠버네티스 포드 내 컨테이너의 이미지
    type: string
  - name: kubernetes_node_name
    설명: 쿠버네티스 포드를 실행하는 노드 이름
    type: string
  - name: initial_command
    설명: 이 세션을 시작하는 데 사용된 명령
    유형: JSON
  - name: session_recording
    설명: 세션 녹화 유형
    type: string
  - name: ci
    설명: 청크 인덱스
    type: string
  - name: bytes
    설명: 세션에 기록된 바이트 수
    type: string
  - name: ms
    설명: 세션 시작 이후의 지연(밀리초)
    type: string
  - name: offset
    설명: 세션 파일 시작부터의 바이트 오프셋
    type: string
  - name: length
    설명: 전송/수신된 바이트 수
    type: string
  - name: reason
    설명: 이벤트의 사유
    type: string
  - name: max
    설명: 최대값
    type: string
  - name: flags
    설명: 이 이벤트와 관련하여 전달된 플래그들
    유형: JSON
  - name: operation
    설명: 수행된 네트워크 작업을 나타냄
    유형: JSON
  - name: mfa_device
    설명: 로그인 중 사용된 MFA 장치
    유형: JSON
  - name: updated_by
    설명: 리소스를 수정한 사용자를 나타냄
    type: string
    지표:
      - username
  - name: ttl
    설명: 생존 시간(Time to live)
    type: string
  - name: id
    설명: 접근 요청 ID
    type: string
  - name: delegator
    설명: Teleport 플러그인이 신원(identity)을 나타내기 위해 사용함
    type: string
  - name: annotations
    설명: Annotations는 승인/거부 중 플러그인이 제공하는 선택적 속성 집합입니다
    유형: JSON
  - name: resource_ids
    설명: 접근이 요청되는 리소스들의 집합
    유형: JSON
  - name: cluster
    설명: 클러스터 이름
    type: string
  - name: kind
    설명: 리소스 종류
    type: string
  - name: addr
    설명: 포트 포워딩 대상 주소
    type: string
  - name: working_directory
    설명: 이벤트의 현재 디렉터리
    type: string
  - name: target_path
    설명: 파일의 경로
    type: string
  - name: request_path
    설명: 원시 요청 URL 경로
    type: string
  - name: verb
    설명: HTTP 메서드
    type: string
  - name: resource_api_group
    설명: 리소스 API 그룹
    type: string
  - name: resource_namespace
    설명: 리소스 네임스페이스
    type: string
  - name: resource_kind
    설명: 리소스 API 종류
    type: string
  - name: resource_name
    설명: 리소스 API 이름
    type: string
  - name: response_code
    설명: HTTP 응답 코드
    type: string
  - name: app_uri
    설명: 애플리케이션 엔드포인트
    type: string
    지표:
      - url
  - name: app_public_addr
    설명: 구성된 애플리케이션 공개 주소.
    type: string
    지표:
      - url
  - name: app_labels
    설명: 구성된 애플리케이션 라벨.
    유형: JSON
  - name: app_name
    설명: 구성된 애플리케이션 이름
    type: string
  - name: public_addr
    설명: 공개 주소
    type: string
    지표:
      - url
  - name: session_chunk_id
    설명: 생성된 세션의 ID
    type: string
  - name: status_code
    설명: HTTP 응답 코드
    type: string
  - name: raw_query
    설명: 인코딩된 쿼리 값
    type: string
  - name: aws_region
    설명: 요청된 AWS 리전
    type: string
  - name: aws_service
    설명: 요청된 AWS 서비스
    type: string
  - name: aws_host
    설명: 요청된 AWS 호스트
    type: string
  - name: db_labels
    설명: 데이터베이스 리소스 라벨
    유형: JSON
  - name: db_aws_region
    설명: AWS 호스팅 데이터베이스의 AWS 리전
    type: string
  - name: db_aws_redshift_cluster_id
    설명: Redshift 데이터베이스의 클러스터 ID
    type: string
  - name: db_gcp_project_id
    설명: GCP 호스팅 데이터베이스의 프로젝트 ID
    type: string
  - name: db_gcp_instance_id
    설명: GCP 호스팅 데이터베이스의 인스턴스 ID
    type: string
  - name: statement_name
    설명: 준비된 문장의 이름
    type: string
  - name: query
    설명: 준비된 문장 쿼리
    type: string
  - name: portal_name
    설명: 대상 포털의 이름
    type: string
  - name: parameters
    설명: 매개변수
    유형: JSON
  - name: function_oid
    설명: 호출된 함수의 객체 ID
    type: string
  - name: function_args
    설명: 형식화된 함수 인수
    유형: JSON
  - name: windows_desktop_service
    설명: 서비스 이름
    type: string
  - name: windows_domain
    설명: 액티브 디렉터리 도메인
    type: string
  - name: windows_user
    설명: Windows 사용자 이름
    type: string
  - name: mfa_device_name
    설명: 사용자가 지정한 MFA 장치 이름
    type: string
  - name: mfa_device_uuid
    설명: MFA 장치의 UUID
    type: string
  - name: mfa_device_type
    설명: MFA 장치 유형
    type: string
  - name: target
    설명: 대상
    유형: JSON
  - name: recorded
    설명: 세션이 녹화되었는지 여부
    유형: 불리언
  - name: cert_type
    설명: 사용된 인증서 유형
    type: string
  - name: identity
    설명: 요청과 연관된 신원
    유형: JSON
  - name: unknown_event
    설명: 알 수 없는 이벤트
    type: string
  - name: unknown_code
    설명: 알 수 없는 코드
    type: string
  - name: data
    설명: 알 수 없는 이벤트의 직렬화된 JSON
    type: string
  - name: url
    설명: 이벤트 데이터가 업로드된 세션의 URL
    type: string
  - name: search_as_roles
    설명: 검색이 수행된 역할 목록
    유형: JSON
  - name: resource_type
    설명: 검색 대상 리소스의 유형
    type: string
  - name: labels
    설명: 검색에 사용된 라벨 기반 매처
    유형: JSON
  - name: predicate_expression
    설명: 검색에 사용된 조건 목록
    유형: JSON
  - name: search_keywords
    설명: 리소스 필드 값과 일치시키기 위해 사용된 검색 키워드 목록
    유형: JSON
  - name: statement_id
    설명: 준비된 문장의 ID
    type: string
  - name: parameter_id
    설명: 매개변수의 ID
    type: string
  - name: data_size
    설명: 데이터 크기
    type: string
  - name: rows_count
    설명: 가져올 행 수
    type: string
  - name: schema_name
    설명: 스키마 이름
    type: string
  - name: process_id
    설명: 연결의 프로세스 ID
    type: string
  - name: subcommand
    설명: 서브커맨드의 문자열 표현
    type: string
  - name: proc_name
    설명: RPC SQL Server 프로시저 이름
    type: string
  - name: category
    설명: 주어진 요청에서 접근되는 API 범주를 나타냄
    유형: JSON
  - name: upgrade_window_start
    설명: 업그레이드 기간 시작 시간
    type: string
  - name: kube_labels
    설명: 구성된 쿠버네티스 클러스터 라벨
    유형: JSON
  - name: command_id
    설명: 실행된 SSH 명령의 ID
    type: string
  - name: instance_id
    설명: 실행된 EC2 인스턴스의 ID
    type: string
  - name: exit_code
    설명: 명령에서 발생한 종료 코드
    type: string
  - name: status
    설명: 명령의 상태
    type: string
  - name: account_id
    설명: 명령을 실행한 AWS 계정의 ID
    type: string
    지표:
      - aws_account_id
  - name: region
    설명: 명령이 실행된 AWS 리전
    type: string