Thinkst Canary 로그

Thinkst Canary 로그를 Panther 콘솔에서 연결하기

개요

Panther가 수집하는 Thinkst Canary 알러트 로그는 웹훅을 구성하여 이벤트를 Panther의 HTTP 소스.

Thinkst Canary의 허니팟과 허니토큰은 몇 분 만에 배포할 수 있으며, 몇 번의 클릭만으로 Panther에 연결할 수 있습니다. Panther에서는 Canary 알러트를 다른 보안 이벤트와 상관 분석하여 중앙 집중식 위협 디택션, 간소화된 인시던트 대응, 그리고 네트워크 보안 태세 전반에 대한 향상된 가시성을 구현할 수 있습니다.

Thinkst Canary 로그를 Panther에 온보딩하는 방법

1단계: Panther에 새 Thinkst Canary 소스 만들기

이 로그를 Panther에 연결하려면:

1. Panther Console의 왼쪽 탐색 모음에서 다음을 클릭합니다. 구성 > 로그 소스.

2. 다음을 클릭합니다. 새로 만들기.

3. “Thinkst Canary”를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널의 오른쪽 상단 모서리에서 다음을 클릭합니다. 설정 시작.

   
5. Panther의 HTTP 소스 구성 지침을 따르세요, 5단계부터 시작합니다.

   • 에 대해 인증 방법을 선택합니다. 공유 비밀 인증. 이는 Thinkst Canary가 지원하는 유일한 인증 방법입니다.

   • 이 소스에 전송되는 페이로드는 모든 HTTP 소스의 페이로드 요구 사항.

   • 의 적용을 받습니다. HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

2단계: Thinkst Canary에서 웹훅 구성

1. Thinkst Canary 콘솔의 오른쪽 상단 모서리에서 톱니바퀴 아이콘 >를 클릭합니다. 전역 설정.

2. 왼쪽 탐색 모음에서 다음을 클릭합니다. 웹훅.

3. 다음을 클릭합니다. 새 웹훅 추가.

4. 아래에서 전역 웹훅 피드에서 더하기 기호 아이콘(을 클릭합니다.+).

5. 에서 새 웹훅 추가 팝업 모달에서 다음을 클릭합니다. 일반 추가.

6. 에서 새 일반 웹훅 추가 팝업 모달에서 웹훅 필드를 구성합니다:

   • 웹훅 URL: HTTP 소스 URL 을 Panther에서 생성한 1단계.

   • 사용자 지정 요청 헤더 추가: 이 필드를 켭니다.

     • 헤더 이름과 값은 Thinkst Canary 콘솔과 Panther 사이에서만 공유해야 합니다.

   • 헤더 이름 입력 : 입력하십시오. 헤더 이름 Panther에서 입력한 1단계.

   • 헤더 값을 입력하십시오 : 입력하십시오. 공유 비밀 값 Panther에서 입력했거나 생성한 1단계.

7. 다음을 클릭합니다. 저장.

Panther에서 관리하는 탐지

참조하십시오 Panther에서 관리하는 Thinkst Canary 규칙을 다음에서 panther-analysis GitHub 저장소.

지원되는 로그 유형

ThinkstCanary.알러트

스키마: ThinkstCanary.알러트
설명: Thinkst Canary의 알러트 로그
referenceURL: https://help.canary.tools/hc/en-gb/articles/360002431478-I-want-to-integrate-my-SIEM-with-my-Canaries
필드:
    - 이름: AdditionalDetails
      유형: 배열
      요소:
        유형: 배열
        요소:
            유형: json
    - 이름: AlertType
      유형: 문자열
    - 이름: CanaryID
      유형: 문자열
    - 이름: CanaryIP
      유형: 문자열
      지표:
        - ip
    - 이름: CanaryPublicIP
      유형: 문자열
      지표:
        - ip
    - 이름: CanaryLocation
      유형: 문자열
    - 이름: CanaryName
      유형: 문자열
    - 이름: CanaryPort
      유형: 문자열
    - 이름: Description
      필수: true
      유형: 문자열
    - 이름: Flock
      유형: 문자열
    - 이름: IncidentHash
      유형: 문자열
      지표:
        - md5
    - 이름: IncidentKey
      유형: 문자열
    - 이름: Intro
      필수: true
      유형: 문자열
    - 이름: Reminder
      유형: 문자열
    - 이름: ReverseDNS
      유형: 문자열
    - 이름: MatchedAnnotations
      유형: 문자열
    - 이름: TimestampGlobalTZ
      유형: 문자열
    - 이름: Token
      유형: 문자열
    - 이름: Triggered
      유형: 문자열
    - 이름: SourceIP
      유형: 문자열
      지표:
        - ip
    - 이름: Timestamp
      필수: true
      유형: 타임스탬프
      시간 형식:
        - '%Y-%m-%d %H:%M:%S (%Z)'
      isEventTime: true