Thinkst Canary 로그

Thinkst Canary 로그를 Panther 콘솔에 연결하기

개요

Panther는 수집합니다 Thinkst Canary 웹훅을 구성하여 이벤트를 Panther에 게시하도록 알러트 로그 HTTP 소스.

Thinkst Canary 허니팟과 허니토큰은 몇 분 안에 배포할 수 있으며 몇 번의 클릭으로 Panther로 전송할 수 있습니다. Panther에서 Canary 알러트를 다른 보안 이벤트와 연관시켜 중앙화된 위협 디텍션, 간소화된 인시던트 대응 및 네트워크 보안 상태 전반에 걸친 향상된 가시성을 확보할 수 있습니다.

Thinkst Canary 로그를 Panther에 온보딩하는 방법

1단계: Panther에서 새로운 Thinkst Canary 소스 생성

이 로그를 Panther에 연결하려면:

1. Panther 콘솔의 왼쪽 탐색 창에서 구성 > 로그 소스.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새로 만들기.

3. “Thinkst Canary”를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드 아웃 패널의 오른쪽 상단에서 클릭 설정 시작.

   
5. Panther의 HTTP 소스 구성에 대한 지침을 따르세요5단계부터 시작하여.

   • 의 경우 인증 방법SNS 주제 공유 비밀 인증. 이것은 Thinkst Canary가 지원하는 유일한 인증 방법입니다.

   • 이 소스로 전송된 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

2단계: Thinkst Canary에서 웹훅 구성

1. Thinkst Canary 콘솔의 오른쪽 상단에서 톱니바퀴 아이콘 > 를 클릭하세요 전역 설정.

2. 샘플 로그 웹훅.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. 새 웹훅 추가.

4. 에서 전역 웹훅 피드, 더하기 아이콘(을) 클릭+).

5. 일반 구성 새 웹훅 추가 팝업 모달에서 클릭하세요 일반 추가.

6. 일반 구성 새 일반 웹훅 추가 팝업 모달에서 웹훅 필드를 구성하세요:

   • 웹후크 URL(Webhook URL): 1단계에서 Panther 콘솔에서 얻은 HTTP 소스 URL Panther에서 생성한 1단계.

   • 맞춤 요청 헤더 추가: 이 필드를 켭니다.

     • 헤더 이름과 값은 Thinkst Canary 콘솔과 Panther 사이에서만 공유되어야 합니다.

   • 헤더 이름 입력: Panther에서 이전 단계에서 생성한 헤더 이름 Panther에 입력한 1단계.

   • 헤더 값 입력: Panther에서 이전 단계에서 생성한 공유 비밀 값 Panther에서 입력했거나 생성한 1단계.

7. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. "Resource": "<secret ARN>".

Panther 관리 디텍션

참조 Panther 관리 Panther의 Thinkst Canary용 룰 panther-analysis GitHub 리포지토리.

지원되는 로그 유형

ThinkstCanary.Alert

스키마: ThinkstCanary.Alert
설명: Thinkst Canary의 알러트 로그
참조URL: https://help.canary.tools/hc/en-gb/articles/360002431478-I-want-to-integrate-my-SIEM-with-my-Canaries
필드:
    - name: AdditionalDetails
      type: array
      element:
        type: array
        element:
            유형: json
    - name: AlertType
      type: string
    - name: CanaryID
      type: string
    - name: CanaryIP
      type: string
      지표:
        - ip
    - name: CanaryPublicIP
      type: string
      지표:
        - ip
    - name: CanaryLocation
      type: string
    - name: CanaryName
      type: string
    - name: CanaryPort
      type: string
    - name: Description
      required: true
      type: string
    - name: Flock
      type: string
    - name: IncidentHash
      type: string
      지표:
        - md5
    - name: IncidentKey
      type: string
    - name: Intro
      required: true
      type: string
    - name: Reminder
      type: string
    - name: ReverseDNS
      type: string
    - name: MatchedAnnotations
      type: string
    - name: TimestampGlobalTZ
      type: string
    - name: Token
      type: string
    - name: Triggered
      type: string
    - name: SourceIP
      type: string
      지표:
        - ip
    - name: Timestamp
      required: true
      type: timestamp
      timeFormats:
        - '%Y-%m-%d %H:%M:%S (%Z)'
      isEventTime: true