Windows 이벤트 로그

Windows 이벤트 로그를 HTTPS를 통해 Panther로 직접 스트리밍하세요

개요

Panther는 Windows Event Logs를 수집하는 것을 지원하며, 이를 위한 HTTP 소스를 통해 전달된 후, Fluent Bit.

Panther에 Windows Event Logs를 온보딩하는 방법

1단계: Panther에서 새 Windows Event Logs 소스 만들기

Panther Console의 왼쪽 탐색 모음에서 클릭 로그 소스.
클릭합니다 새로 만들기.
“Windows Event Logs”를 검색한 다음 해당 타일을 클릭합니다.
- 슬라이드아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운에는 다음이 미리 채워집니다 HTTP 옵션.
클릭합니다 설정 시작.
Panther의 HTTP 소스 구성 지침을 따르세요, 5단계부터 시작합니다.
- 설정할 때 인증 방식 소스에는 다음 사용을 권장합니다 공유 비밀.
- 이 소스로 전송되는 페이로드는 모든 HTTP 소스의 페이로드 요구사항.

HTTP 소스를 만든 후 Panther Console에 HTTP Source URL이 표시됩니다. 다음 단계에서 필요하므로 이 값을 안전한 위치에 저장하세요.

2단계: Windows에서 Fluent Bit 구성하기

다음을 따르세요. Fluent Bit 시작하기 안내 Fluent Bit을 서비스로 설치합니다.
다음을 생성합니다 Fluent Bit 구성 파일. 다음을 참조하세요: 아래 예시 를 통해 System 및 Security 로그 스트리밍 또는 Sysmon 로그 스트리밍 구성 방법을 확인하세요.
- 다음을 사용해야 합니다 winevtlog. 다른 모듈은 더 이상 사용되지 않으며 작동하지 않습니다.
- Windows Server 2012를 사용하는 경우, Use_ANSI True 가 필요할 수 있습니다.
- 1단계에서 JSON 을 HTTP Source의 스트림 유형에서 OUTPUT 섹션으로 선택한 경우, Format 값으로 json_lines.
새 구성 파일의 경로를 전달하여 Fluent Bit을 시작합니다.
- 컴퓨터가 시작될 때마다 Fluent Bit을 데몬으로 실행하려면 다음을 따르세요. Windows Service 지침.

Fluent Bit 구성 파일 예시

System 및 Security Logs 수집

Fluent Bit 구성 파일에서 다음을 구성하세요:

[INPUT] 변수:
- Channels: 다음으로 설정하세요 System,Security
[OUTPUT] 변수:
- 호스트: Panther URL을 입력합니다.
  - 예: logs.instance-name.runpanther.net
- URI: 이 프로세스의 1단계에서 생성된 HTTP Source 수집 URL의 끝부분을 다음으로 시작하는 값으로 입력합니다 /http/.
  - 예: /http/cb015ee4-543c-4489-9f4b-testaa16d7a
- 헤더: 1단계에서 Panther Console의 HTTP 소스를 구성할 때 생성한 헤더 이름과 생성한 비밀값을 입력합니다.
- 이름: 다음으로 설정 http.
- TLS: 다음으로 설정 켜기.
- 포트: 다음으로 설정 443.

[SERVICE]
    Flush 5
    Daemon 끔
    Log_Level info

[INPUT]
    Name         winevtlog
    Channels     System,Security
    Interval_Sec 1
    DB           winevtlog.sqlite

[OUTPUT]
    Name         http
    Match        *
    Host         logs.instance-name.runpanther.net
    Port         443
    URI          /http/cb015ee4-543c-4489-9f4b-testaa16d7a
    Header       x-sender-header {YOUR_SECRET_HERE}
    Format       json_lines
    TLS          켬
    TLS.Verify   켬

Sysmon Logs 수집

구성 sysmon.exe 다음 지침을 따라 SwiftOnSecurity의 가이드.
- 이 프로세스는 Fluent Bit이 Panther로 전송할 Windows Event Logs를 생성합니다.
Fluent Bit 구성 파일에서 다음을 구성하세요:
- [INPUT] 변수:
  - Channels: 다음으로 설정하세요 Microsoft-Windows-Sysmon/Operational
- [OUTPUT] 변수:
  - 호스트: Panther URL을 입력합니다.
    예: logs.instance-name.runpanther.net
  - URI: 이 프로세스의 1단계에서 생성된 HTTP Source 수집 URL의 끝부분을 다음으로 시작하는 값으로 입력합니다 /http/.
    예: /http/cb015ee4-543c-4489-9f4b-testaa16d7a
  - 헤더: 1단계에서 Panther Console의 HTTP 소스를 구성할 때 생성한 헤더 이름과 생성한 비밀값을 입력합니다.
  - 이름: 다음으로 설정 http.
  - TLS: 다음으로 설정 켜기.
  - 포트: 다음으로 설정 443.

[SERVICE]
    Flush 5
    Daemon 켬
    Log_Level info

[INPUT]
    Name         winevtlog
    Channels     Microsoft-Windows-Sysmon/Operational
    Interval_Sec 1
    DB           winevtlog.sqlite

[OUTPUT]
    Name         http
    Match        *
    Host         logs.instance-name.runpanther.net
    Port         443
    URI          /http/cb015ee4-543c-4489-9f4b-testaa16d7a
    Header       x-sender-header {YOUR_SECRET_HERE}
    Format       json_lines
    TLS          켬
    TLS.Verify   켬

지원되는 로그 유형

Windows.EventLogs

schema: Windows.EventLogs
description: Windows Event Logs
referenceURL: https://learn.microsoft.com/en-us/windows/win32/wes/eventschema-elements
필드:
  - 이름: ProcessID
    description: 이벤트를 생성한 프로세스를 식별합니다.
    유형: string
  - 이름: ThreadID
    description: 이벤트를 생성한 스레드를 식별합니다.
    유형: string
  - 이름: TimeCreated
    description: 이벤트가 기록된 시점을 나타내는 타임스탬프입니다.
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S %z'
    이벤트 시간 여부: true
  - 이름: EventID
    description: 공급자가 이벤트를 식별하는 데 사용한 식별자입니다.
    유형: string
  - 이름: ProviderName
    description: 이벤트를 기록한 이벤트 공급자의 이름입니다.
    유형: string
  - name: ProviderGuid
    description: 공급자를 고유하게 식별하는 전역 고유 식별자입니다.
    유형: string
  - 이름: Qualifiers
    description: 레거시 공급자는 이벤트를 식별하기 위해 32비트 숫자를 사용합니다. 이벤트가 레거시 공급자에 의해 기록된 경우, EventID 요소의 값에는 이벤트 식별자의 하위 16비트가 포함되고 Qualifier 속성에는 이벤트 식별자의 상위 16비트가 포함됩니다.
    유형: string
  - 이름: Version
    description: 이벤트 정의의 버전 번호입니다.
    유형: string
  - 이름: Level
    description: 이벤트에 정의된 심각도 수준입니다.
    유형: string
  - 이름: Task
    description: 이벤트에 정의된 작업입니다. Task와 opcode는 일반적으로 이벤트가 기록된 애플리케이션 내 위치를 식별하는 데 사용됩니다.
    유형: string
  - 이름: Opcode
    description: 이벤트에 정의된 opcode입니다. Task와 opcode는 일반적으로 이벤트가 기록된 애플리케이션 내 위치를 식별하는 데 사용됩니다.
    유형: string
  - 이름: Keywords
    description: 이벤트에 정의된 키워드의 비트마스크입니다. 키워드는 이벤트 유형을 분류하는 데 사용됩니다(예: 데이터 읽기와 관련된 이벤트).
    유형: string
  - 이름: EventRecordID
    description: 이벤트가 기록될 때 할당된 레코드 번호입니다.
    유형: string
  - 이름: ActivityID
    description: 현재 활동을 식별하는 전역 고유 식별자입니다. 이 식별자로 게시된 이벤트는 동일한 활동의 일부입니다.
    유형: string
    지표:
      - trace_id
  - 이름: RelatedActivityID
    description: 제어가 전달된 대상을 식별하는 전역 고유 식별자입니다. 관련 이벤트는 이후 이 식별자를 ActivityID 식별자로 갖게 됩니다.
    유형: string
  - 이름: Channel
    description: 이벤트가 기록된 채널입니다.
    유형: string
  - 이름: Computer
    description: 이벤트가 발생한 컴퓨터의 이름입니다.
    유형: string
    지표:
      - username
  - 이름: UserID
    description: 문자열 형식의 사용자 보안 식별자(SID)입니다.
    유형: string
    지표:
      - username
  - name: Message
    description: 이벤트의 렌더링된 메시지 문자열입니다.
    유형: string
  - name: StringInserts
    description: 임의의 이벤트별 데이터 목록입니다. fluent-bit에 의해 생성됨
    유형: json
  - name: ExtraEventData
    description: Message 필드에서 추출된 추가 키-값 쌍 맵입니다. 이는 Panther가 쉽게 구조화된 쿼리/디택션 작성을 할 수 있도록 추가한 필드입니다.
    유형: json

이전Vercel 로그 다음Wiz 로그

마지막 업데이트 5일 전

도움이 되었나요?