Tenable Vulnerability Management 로그

Panther Console에서 Tenable Vulnerability Management 로그 연결

개요

Panther는 다음에서 취약성 로그를 직접 가져오는 기능을 지원합니다 Tenable.

Tenable 취약성 관리 로그를 Panther에 온보딩하는 방법

Tenable 로그를 온보딩하려면 Tenable에서 API 키를 생성한 다음 Panther에서 소스를 설정합니다.

1단계: Tenable에서 API 키 생성

1. 다음에 로그인하세요 Tenable.

2. 클릭합니다 설정 > 내 계정.

3. 클릭합니다 API 키 > 생성 > 계속.

   • 다음 항목을 기록해 두세요 액세스 키 및 비밀 키, 다음 단계에서 이를 사용합니다.

2단계: Panther에서 Tenable 로그 소스 생성

1. Panther Console의 왼쪽 탐색 모음에서 클릭 로그 소스.

2. 클릭합니다 새로 만들기.

3. "Tenable Nessus"를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 다음을 클릭합니다 설정 시작.

5. 설명적인 이름을 입력한 다음 클릭합니다 설정.

6. 다음을 입력합니다 액세스 키 및 비밀 키 이전 단계에서 생성한 항목입니다.

7. 클릭합니다 설정. 성공 화면으로 이동됩니다:\

   

   • 선택적으로 하나 이상의 디택션 팩.

   • 다음 이벤트가 처리되지 않으면 알러트를 발생시키기 설정의 기본값은 예. 일정 시간이 지난 후 로그 소스에서 데이터 흐름이 멈추면 알러트를 받게 되므로 이 설정을 활성화한 상태로 두는 것을 권장합니다. 이 시간 범위는 구성 가능하며 기본값은 24시간입니다.\

     

지원되는 로그 유형

Tenable.Vulnerability

다음은 Tenable 취약성 로그 스키마를 정의합니다:

스키마: Tenable.Vulnerability
설명: Tenable.io의 취약성 로그
참조 URL: https://developer.tenable.com/reference/exports-vulns-download-chunk
필드:
  - 이름: asset
    유형: object
    설명: 스캔에서 취약성이 탐지된 자산에 대한 정보입니다.
    필드:
      - 이름: agent_uuid
        유형: string
        설명: 취약성이 발견된 스캔을 수행한 에이전트의 UUID입니다.
      - 이름: bios_uuid
        유형: string
        설명: 취약성이 발견된 자산의 BIOS UUID입니다.
      - 이름: device_type
        유형: string
        설명: 취약성이 발견된 자산의 유형입니다.
      - 이름: fqdn
        유형: string
        지표: [hostname]
        설명: 스캔에서 취약성이 발견된 자산의 정규화된 도메인 이름입니다.
      - 이름: hostname
        지표: [hostname]
        유형: string
        설명: 스캔에서 취약성이 발견된 자산의 호스트 이름입니다.
      - name: uuid
        유형: string
        설명: 스캔에서 취약성이 발견된 자산의 UUID입니다.
      - 이름: ipv6
        유형: string
        지표: [ip]
        설명: 스캔에서 취약성이 발견된 자산의 IPv6 주소입니다.
      - 이름: ipv4
        지표: [ip]
        유형: string
        설명: 스캔에서 취약성이 발견된 자산의 IPv4 주소입니다.
      - 이름: last_authenticated_results
        유형: timestamp
        시간 형식: [rfc3339]
        설명: 자격 증명을 성공적으로 사용하여 자산을 스캔한 마지막 날짜입니다.
      - 이름: last_unauthenticated_results
        유형: timestamp
        시간 형식: [rfc3339]
        설명: 자격 증명을 사용하지 않고 자산을 마지막으로 스캔한 날짜입니다
      - 이름: mac_address
        지표: [mac]
        유형: string
        설명: 스캔에서 취약성이 발견된 자산의 MAC 주소입니다.
      - 이름: netbios_name
        유형: string
        설명: 스캔에서 취약성이 발견된 자산의 NETBIOS 이름입니다.
      - 이름: netbios_workgroup
        유형: string
        설명: 스캔에서 취약성이 발견된 자산의 NETBIOS 작업 그룹입니다.
      - 이름: operating_system
        유형: json
        설명: 스캔에서 취약성이 발견된 자산의 운영 체제입니다.
      - 이름: network_id
        유형: string
        설명: 자산을 식별한 스캐너와 연결된 네트워크 객체의 ID입니다. 기본 네트워크 ID는 00000000-0000-0000-0000-000000000000입니다. 네트워크 객체에 대한 자세한 내용은 네트워크 관리를 참조하세요.
      - 이름: tracked
        유형: boolean
        설명: Tenable.io가 자산 관리 시스템에서 자산을 추적하는지 여부를 지정하는 값입니다. Tenable.io는 추적되지 않는 자산에도 스캔 결과에서 식별자를 할당하지만, 이 식별자는 자산을 새로 스캔할 때마다 변경됩니다. 이 매개변수는 PCI 유형 스캔 및 스캔에 자산을 식별할 정보가 충분하지 않은 특정 경우에 관련됩니다. 추적되지 않는 자산은 스캔 기록에는 나타나지만 워크벤치나 보고서에는 나타나지 않습니다.
  - 이름: output
    유형: string
    설명: Nessus 스캐너의 텍스트 출력입니다.
  - 이름: plugin
    유형: json
    설명: 취약성을 탐지한 플러그인에 대한 정보입니다.
  - 이름: port
    유형: json
    설명: 스캐너가 자산에 연결하는 데 사용한 포트에 대한 정보입니다.
  - 이름: recast_reason
    유형: string
    설명: Tenable.io 사용자 인터페이스에서 재분류 룰의 댓글 필드에 표시되는 텍스트입니다.
  - 이름: recast_룰_uuid
    유형: string
    설명: 플러그인에 적용되는 재분류 룰의 UUID입니다.
  - 이름: scan
    유형: json
    설명: 취약성을 탐지한 최신 스캔에 대한 정보입니다.
  - 이름: severity
    유형: string
    설명: 공통 취약성 점수 시스템(CVSS) 기본 점수를 사용하여 정의한 취약성의 심각도입니다. 가능한 값에는 info(CVSS 점수 0), low(CVSS 점수 0.1~3.9), medium(CVSS 점수 4.0~6.9), high(CVSS 점수 7.0~9.9), critical(CVSS 점수 10.0)가 포함됩니다.
  - 이름: severity_id
    유형: string
    description: |
      사용자가 취약성과 관련된 위험을 재분류할 때 할당된 심각도의 코드입니다. 가능한 값은 다음과 같습니다:
      0—취약성의 CVSS 점수는 0이며, 이는 "info" 심각도 수준에 해당합니다.
      1—취약성의 CVSS 점수는 0.1~3.9이며, 이는 "low" 심각도 수준에 해당합니다.
      2—취약성의 CVSS 점수는 4.0~6.9이며, 이는 "medium" 심각도 수준에 해당합니다.
      3—취약성의 CVSS 점수는 7.0~9.9이며, 이는 "high" 심각도 수준에 해당합니다.
      4—취약성의 CVSS 점수는 10.0이며, 이는 "critical" 심각도 수준에 해당합니다.
  - 이름: severity_default_id
    유형: string
    설명: 사용자가 취약성과 관련된 위험을 재분류하기 전에 취약성에 원래 할당된 심각도의 코드입니다. 가능한 값은 severity_id 속성과 동일합니다.
  - 이름: severity_modification_type
    유형: string
    description: |
      사용자가 취약성의 심각도에 적용한 수정 유형입니다. 가능한 값은 다음과 같습니다:
      none—수정이 수행되지 않았습니다.
      recasted—Tenable.io 사용자 인터페이스의 사용자가 취약성과 관련된 위험을 재분류했습니다.
      accepted—Tenable.io 사용자 인터페이스의 사용자가 취약성과 관련된 위험을 수락했습니다.
  - 이름: first_found
    유형: timestamp
    이벤트 시간 여부: true
    필수: true
    설명: 스캔에서 자산의 취약성을 처음 탐지한 ISO 날짜입니다.
    시간 형식:
      - rfc3339
  - 이름: last_found
    유형: timestamp
    이벤트 시간 여부: true
    필수: true
    설명: 스캔에서 자산의 취약성을 마지막으로 탐지한 ISO 날짜입니다.
    시간 형식:
      - rfc3339
  - 이름: last_fixed
    유형: timestamp
    설명: 스캔에서 자산에서 이전에 탐지된 취약성을 더 이상 탐지하지 않는 ISO 날짜입니다.
    시간 형식:
      - rfc3339
  - 이름: state
    유형: string
    description: |
      Tenable.io 상태 서비스에서 결정한 취약성의 상태입니다. 가능한 값은 다음과 같습니다:
      open—취약성이 현재 자산에 존재합니다.
      reopened—취약성이 이전에 자산에서 수정됨으로 표시되었지만 새 스캔에서 다시 탐지되었습니다.
      fixed—취약성이 자산에 존재했지만 더 이상 탐지되지 않습니다.
  - 이름: indexed
    유형: timestamp
    설명: 취약성이 Tenable.io에 인덱싱된 날짜 및 시간(Unix 시간)입니다.
    시간 형식:
      - rfc3339
      - unix