Tracebit 로그

Tracebit 로그를 Panther 콘솔에 연결

개요

Panther가 수집하는 Tracebit Tracebit가 Panther의 HTTP 엔드포인트로 알러트를 전송하도록 구성하여 알러트 로그를 수집합니다.

Tracebit는 잠재적인 침입을 탐지하기 위해 조직의 클라우드 인프라 전반에 카나리 리소스를 유지합니다. Tracebit의 알러트 로그에는 카나리 리소스에서의 활동과 카나리 자격 증명의 사용에 대한 정보가 포함됩니다.

Tracebit 로그를 Panther에 온보딩하는 방법

1단계: Panther에 새 Tracebit 소스 만들기

1. Panther Console의 왼쪽 탐색 모음에서 클릭 로그 소스.

2. 클릭합니다 새로 만들기.

3. "Tracebit"를 검색한 다음 해당 타일을 클릭합니다.

4. 슬라이드아웃 패널에서 다음을 클릭합니다 설정 시작.

   
5. 다음을 따르세요: HTTP 소스를 구성하기 위한 Panther의 지침, 5단계부터 시작합니다.

   • 설정 중에 구성 페이지에서 다음을 사용해야 합니다 HMAC 인증; 이는 Tracebit이 지원하는 유일한 인증 방법입니다.

     • 다음 헤더 이름 다음과 연결된 비밀 키 값 값으로 고정됩니다 X-Tracebit-Signature-256, 그리고 해시 알고리즘 값으로 고정됩니다 SHA 256.

     • 를 생성하고 비밀 키 값 다음 단계에서 필요하므로 안전한 위치에 저장하세요.

   • 이 소스로 전송되는 페이로드는 모든 HTTP 소스의 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

2단계: Tracebit에서 Panther 통합 만들기

1. Tracebit 콘솔에서 Integrations 페이지.

2. 클릭합니다 Panther.

3. 다음 HTTP 로그 소스 URL 필드에 다음을 붙여넣으세요 HTTP 소스 URL 이전 단계에서 Panther에서 생성한 것을 입력하세요.

4. 다음 HMAC SHA256 공유 시크릿 필드에 다음을 붙여넣으세요 비밀 키 값 이전 단계에서 Panther에서 생성한 것을 입력하세요.

5. 클릭합니다 저장.

지원되는 로그 유형

Tracebit.알러트

schema: Tracebit.알러트
description: Tracebit의 알러트 로그
referenceURL: https://tracebit.com
필드:
    - name: discriminator
      필수: true
      description: 로그의 유형.
      유형: object
      필드:
        - 이름: type
          필수: true
          description: 로그의 유형.
          유형: string
          검증:
            allow:
                - tracebit_알러트_log
        - name: subtype
          description: 로그의 하위 유형. 예: canary_resource_accessed, canary_credential_used
          유형: string
    - 이름: id
      필수: true
      description: 알러트 로그의 고유 식별자.
      유형: string
    - 이름: 알러트_id
      필수: true
      description: 알러트의 고유 식별자입니다. 단일 알러트에 대해 여러 개의 알러트 로그가 있을 수 있습니다.
      유형: string
    - name: tracebit_portal_url
      description: Tracebit 포털의 알러트 URL.
      유형: string
    - 이름: timestamp
      필수: true
      description: 알러트 로그가 발생한 시각.
      유형: timestamp
      시간 형식:
        - rfc3339
      이벤트 시간 여부: true
    - name: provider
      description: 카나리 또는 카나리 자격 증명의 제공자.
      유형: string
    - 이름: message
      description: 알러트 로그에 대한 설명.
      유형: string
    - 이름: severity
      description: 알러트 로그의 심각도.
      유형: string
    - name: canary_credential
      description: 알러트를 유발한 데 사용된 카나리 자격 증명입니다. 이는 카나리 자격 증명 알러트에만 표시됩니다.
      유형: object
      필드:
        - 이름: name
          description: 카나리 자격 증명의 이름.
          유형: string
        - 이름: type
          description: 카나리 자격 증명의 유형.
          유형: string
        - name: issued_at
          description: 카나리 자격 증명이 발급된 시각.
          유형: timestamp
          시간 형식:
            - rfc3339
        - name: expires_at
          description: 카나리 자격 증명이 만료되는 시각.
          유형: timestamp
          시간 형식:
            - rfc3339
        - 이름: labels
          description: 카나리 자격 증명과 연결된 레이블.
          유형: array
          요소:
            유형: object
            필드:
                - 이름: name
                  description: 레이블의 이름.
                  유형: string
                - 이름: value
                  설명: 레이블의 값.
                  유형: string
        - 이름: aws
          설명: 카나리 자격 증명의 AWS 관련 세부 정보.
          유형: object
          필드:
            - 이름: access_key_id
              설명: AWS 액세스 키 ID.
              유형: string
    - 이름: canary
      설명: 알러트를 유발한 데 사용된 리소스입니다. 이는 카나리 리소스 알러트에만 존재합니다.
      유형: object
      필드:
        - 이름: tracebit_id
          설명: Tracebit에서의 카나리 고유 식별자.
          유형: string
        - 이름: provider_id
          설명: 공급자 내 카나리 리소스의 고유 식별자.
          유형: string
        - 이름: provider_account_id
          설명: 공급자에서 카나리 계정의 고유 식별자.
          유형: string
        - 이름: name
          설명: 카나리 리소스의 이름.
          유형: string
        - 이름: type
          설명: 카나리 리소스의 유형.
          유형: string
        - 이름: aws
          설명: 카나리 리소스의 AWS 관련 세부 정보.
          유형: object
          필드:
            - 이름: account_id
              설명: AWS 계정 ID.
              유형: string
              지표:
                - aws_account_id
            - 이름: account_name
              설명: AWS 계정 이름.
              유형: string
            - 이름: arn
              설명: 리소스의 ARN.
              유형: string
              지표:
                - aws_arn
        - 이름: okta
          설명: 카나리 리소스의 Okta 관련 세부 정보.
          유형: object
          필드:
            - name: domain
              설명: Okta 도메인.
              유형: string
              지표:
                - domain
            - 이름: organization_id
              설명: Okta 조직 ID.
              유형: string
        - 이름: azure
          설명: 카나리 리소스의 Azure 관련 세부 정보.
          유형: object
          필드:
            - 이름: subscription_id
              설명: Azure 구독 ID.
              유형: string
            - 이름: subscription_name
              설명: Azure 구독 이름.
              유형: string
            - 이름: resource_id
              설명: Azure 리소스 ID.
              유형: string
    - 이름: principal
      설명: 알러트를 트리거한 주체.
      유형: object
      필드:
        - 이름: id
          설명: 주체의 고유 식별자.
          유형: string
          지표:
            - actor_id
            - email
        - 이름: aws
          설명: 주체의 AWS 관련 세부 정보.
          유형: object
          필드:
            - 이름: arn
              설명: 주체의 ARN.
              유형: string
              지표:
                - aws_arn
            - 이름: type
              설명: 주체의 유형.
              유형: string
            - 이름: account_id
              설명: 주체의 AWS 계정 ID.
              유형: string
              지표:
                - aws_account_id
            - 이름: username
              설명: 주체의 사용자 이름.
              유형: string
              지표:
                - username
        - 이름: okta
          설명: 주체(액터)의 Okta 관련 세부 정보.
          유형: object
          필드:
            - 이름: id
              설명: 액터의 ID.
              유형: string
            - 이름: type
              설명: 액터의 유형입니다. 예: User.
              유형: string
            - 이름: alternate_id
              설명: 액터의 대체 ID.
              유형: string
              지표:
                - email
                - actor_id
        - 이름: azure
          설명: 주체의 Azure 관련 세부 정보.
          유형: object
          필드:
            - name: app_id
              설명: Azure 애플리케이션 ID.
              유형: string
            - name: tenant_id
              설명: Azure 테넌트 ID.
              유형: string
        - 이름: google_cloud
          설명: 주체의 Google Cloud 관련 세부 정보.
          유형: object
          필드:
            - 이름: federated_identity_type
              설명: 연합 ID 유형입니다.
              유형: string
            - 이름: federated_identity_pool
              설명: 연합 ID 풀입니다.
              유형: string
            - 이름: federated_identity_subject
              설명: 연합 ID 주체입니다.
              유형: string
    - 이름: event
      설명: 알러트 로그를 트리거한 이벤트입니다.
      유형: object
      필드:
        - 이름: id
          설명: 이벤트의 고유 식별자입니다.
          유형: string
        - 이름: operation
          설명: 이벤트에서 수행된 작업입니다.
          유형: string
        - 이름: request
          설명: 이벤트를 트리거한 요청입니다.
          유형: object
          필드:
            - 이름: user_agent
              설명: 이벤트를 트리거한 요청이 이루어진 에이전트입니다.
              유형: object
              필드:
                - 이름: raw
                  설명: 원본 사용자 에이전트 문자열입니다.
                  유형: string
                - 이름: label
                  설명: 사용자 에이전트의 레이블입니다.
                  유형: string
            - 이름: ip
              설명: 요청이 이루어진 IP 주소입니다.
              유형: string
              지표:
                - ip
        - 이름: resources
          설명: 이벤트에 관련된 리소스입니다.
          유형: array
          요소:
            유형: object
            필드:
                - 이름: id
                  설명: 리소스의 고유 식별자입니다.
                  유형: string
                - 이름: type
                  설명: 리소스의 유형입니다.
                  유형: string

Tracebit.알러트Summary

스키마: Tracebit.알러트Summary
설명: Tracebit의 알러트 요약 로그입니다. 요약은 접근된 카나리와 발생한 지표를 포함하여 단일 알러트의 활동을 집계합니다.
referenceURL: https://tracebit.com
필드:
    - name: discriminator
      필수: true
      description: 로그의 유형.
      유형: object
      필드:
        - 이름: type
          필수: true
          description: 로그의 유형.
          유형: string
          검증:
            allow:
                - tracebit_알러트_summary
        - name: subtype
          description: 로그의 하위 유형. 예: canary_resource_accessed, canary_credential_used
          유형: string
    - 이름: 알러트_id
      필수: true
      설명: 이 요약이 설명하는 알러트의 고유 식별자입니다.
      유형: string
    - name: tracebit_portal_url
      필수: true
      description: Tracebit 포털의 알러트 URL.
      유형: string
    - 이름: timestamp
      필수: true
      설명: 알러트 요약이 생성된 시각입니다.
      유형: timestamp
      시간 형식:
        - rfc3339
      이벤트 시간 여부: true
    - 이름: start_time
      필수: true
      설명: 알러트 요약에 포함된 가장 이른 활동의 시각입니다.
      유형: timestamp
      시간 형식:
        - rfc3339
    - 이름: end_time
      설명: 알러트 요약에 포함된 가장 늦은 활동의 시각입니다.
      유형: timestamp
      시간 형식:
        - rfc3339
    - name: provider
      필수: true
      description: 카나리 또는 카나리 자격 증명의 제공자.
      유형: string
    - 이름: severity
      필수: true
      설명: 알러트의 심각도입니다.
      유형: string
    - 이름: classification
      필수: true
      설명: 알러트의 분류입니다. 예: Unclassified, TruePositive, BenignPositive.
      유형: string
    - 이름: classification_reason
      설명: 알러트 분류의 이유입니다.
      유형: string
    - 이름: ip_addresses
      필수: true
      설명: 알러트에 관련된 IP 주소들입니다.
      유형: array
      요소:
        유형: string
        지표:
            - ip
    - 이름: canaries_accessed
      설명: 알러트 동안 접근된 카나리 리소스입니다.
      유형: array
      요소:
        유형: object
        필드:
            - 이름: tracebit_id
              설명: Tracebit에서의 카나리 고유 식별자.
              유형: string
            - 이름: provider_id
              설명: 공급자 내 카나리 리소스의 고유 식별자.
              유형: string
            - 이름: provider_account_id
              설명: 공급자에서 카나리 계정의 고유 식별자.
              유형: string
            - 이름: name
              설명: 카나리 리소스의 이름.
              유형: string
            - 이름: type
              설명: 카나리 리소스의 유형.
              유형: string
            - 이름: deployed_at
              설명: 카나리 리소스가 배포된 시각입니다.
              유형: timestamp
              시간 형식:
                - rfc3339
            - 이름: aws
              설명: 카나리 리소스의 AWS 관련 세부 정보.
              유형: object
              필드:
                - 이름: account_id
                  설명: AWS 계정 ID.
                  유형: string
                  지표:
                    - aws_account_id
                - 이름: account_name
                  설명: AWS 계정 이름.
                  유형: string
                - 이름: arn
                  설명: 리소스의 ARN.
                  유형: string
                  지표:
                    - aws_arn
                - 이름: region
                  설명: 리소스의 AWS 리전입니다.
                  유형: string
            - 이름: azure
              설명: 카나리 리소스의 Azure 관련 세부 정보.
              유형: object
              필드:
                - 이름: subscription_id
                  설명: Azure 구독 ID.
                  유형: string
                - 이름: subscription_name
                  설명: Azure 구독 이름.
                  유형: string
                - 이름: resource_id
                  설명: Azure 리소스 ID.
                  유형: string
            - 이름: okta
              설명: 카나리 리소스의 Okta 관련 세부 정보.
              유형: object
              필드:
                - name: domain
                  설명: Okta 도메인.
                  유형: string
                  지표:
                    - domain
                - 이름: organization_id
                  설명: Okta 조직 ID.
                  유형: string
    - 이름: principal
      설명: 알러트를 트리거한 주체.
      유형: object
      필드:
        - 이름: id
          설명: 주체의 고유 식별자.
          유형: string
          지표:
            - actor_id
            - email
        - 이름: aws
          설명: 주체의 AWS 관련 세부 정보.
          유형: object
          필드:
            - 이름: arn
              설명: 주체의 ARN.
              유형: string
              지표:
                - aws_arn
            - 이름: type
              설명: 주체의 유형.
              유형: string
            - 이름: account_id
              설명: 주체의 AWS 계정 ID.
              유형: string
              지표:
                - aws_account_id
            - 이름: username
              설명: 주체의 사용자 이름.
              유형: string
              지표:
                - username
        - 이름: azure
          설명: 주체의 Azure 관련 세부 정보.
          유형: object
          필드:
            - name: app_id
              설명: Azure 애플리케이션 ID.
              유형: string
            - name: tenant_id
              설명: Azure 테넌트 ID.
              유형: string
        - 이름: okta
          설명: 주체(액터)의 Okta 관련 세부 정보.
          유형: object
          필드:
            - 이름: id
              설명: 액터의 ID.
              유형: string
            - 이름: type
              설명: 액터의 유형입니다. 예: User.
              유형: string
            - 이름: alternate_id
              설명: 액터의 대체 ID.
              유형: string
              지표:
                - email
                - actor_id
        - 이름: google_cloud
          설명: 주체의 Google Cloud 관련 세부 정보.
          유형: object
          필드:
            - 이름: federated_identity_type
              설명: 연합 ID 유형입니다.
              유형: string
            - 이름: federated_identity_pool
              설명: 연합 ID 풀입니다.
              유형: string
            - 이름: federated_identity_subject
              설명: 연합 ID 주체입니다.
              유형: string
    - 이름: indicators
      필수: true
      설명: 알러트에 대해 발생한 지표들입니다.
      유형: array
      요소:
        유형: object
        필드:
            - 이름: id
              설명: 지표의 고유 식별자입니다.
              유형: string
            - 이름: name
              설명: 지표의 이름입니다.
              유형: string
            - 이름: description
              설명: 지표에 대한 설명입니다.
              유형: string
            - 이름: details
              설명: 지표에 대한 추가 세부 정보입니다.
              유형: json

Tracebit.HealthCheck

스키마: Tracebit.HealthCheck
설명: Tracebit의 상태 검사입니다.
referenceURL: https://tracebit.com
필드:
    - name: discriminator
      필수: true
      설명: 로그의 클래스를 식별하기 위한 정보.
      유형: object
      필드:
        - 이름: type
          필수: true
          description: 로그의 유형.
          유형: string
          검증:
            allow:
                - health_check
        - name: subtype
          필수: true
          설명: 로그의 하위 유형.
          유형: string
    - 이름: timestamp
      필수: true
      설명: 이벤트가 발생한 시각.
      유형: timestamp
      시간 형식:
        - rfc3339
      이벤트 시간 여부: true
    - name: is_healthy
      필수: true
      설명: 통합이 정상인지 여부.
      유형: boolean