Wiz 로그

Panther는 Wiz API에서 로그를 직접 가져오는 것을 지원합니다

개요

Panther는 가져올 수 있습니다 Wiz 감사, 문제및 취약성 발견 로그를 쿼리하여 Wiz API.

Wiz 로그를 Panther에 온보딩하는 방법

전제 조건

• 이 통합을 설정하는 사용자는 Wiz 테넌트에 액세스할 수 있어야 하며 서비스 계정을 생성할 수 있는 권한(예: 글로벌 관리자).

1단계: Wiz API 엔드포인트 URL 가져오기

Wiz GraphQL API에는 단일 엔드포인트가 있습니다 (https://api.<TENANT_DATA_CENTER>.app.wiz.io/graphql), 여기서 <TENANT_DATA_CENTER> 는 귀하의 테넌트가 속한 Wiz 지역 데이터 센터입니다. 예: us1, us2, eu1 또는 eu2. 수행하는 작업에 관계없이 엔드포인트는 동일합니다.

GraphQL 엔드포인트를 가져오려면:

1. Wiz 콘솔의 오른쪽 상단에서 사용자 아이콘을 클릭한 다음 > 사용자 설정 (또는 이 직접 링크).

2. 왼쪽에서 클릭합니다 테넌트 (또는 이 직접 링크).

3. 다음을 복사합니다 API 엔드포인트 URL 그리고 다음 단계에서 필요하므로 안전한 위치에 저장하세요.

2단계: Wiz에서 서비스 계정 생성

1. Wiz 대시보드에서 다음으로 이동합니다 설정 > 액세스 관리 > 서비스 계정.

2. 클릭 서비스 계정 추가.

3. 에서 새 서비스 계정 양식에서 필드를 작성합니다:

   • 이름: 서비스 계정에 대한 설명적인 이름을 제공하세요(예:) Panther 통합.

   • 유형: 선택 사용자 지정 통합(GraphQL API).

   • 프로젝트 (선택 사항): 이 서비스 계정이 액세스할 하나 이상의 프로젝트를 선택합니다.

     • 하나 이상의 프로젝트를 선택하면 감사 로그를 쿼리할 수 없다는 점에 유의하세요.

   • API 범위:

     • 선택 read:resources.

     • 다음에 나열된 범위들을 선택하세요 서비스 계정에 필요한 API 범위 아래 표에서 Panther로 수집하려는 Wiz 로그 유형에 대한 범위를 선택하세요.

4. 클릭 서비스 계정 추가.

5. 다음을 복사합니다 클라이언트 비밀및 다음 단계에서 필요하므로 안전한 위치에 저장하세요. 이 단계를 지나면 이 값을 다시 볼 수 없습니다.

6. 다음을 복사합니다 클라이언트 ID및 다음 단계에서 필요하므로 안전한 위치에 저장하세요.

서비스 계정에 필요한 API 범위

로그 유형	쿼리에 필요한 범위	참고
감사	admin:audit	이 권한은 서비스 계정에 대해 하나 이상의 프로젝트 를 선택하지 않은 경우에만 표시됩니다
문제	read:issues
VulnerabilityFinding	read:vulnerabilities

3단계: Panther에서 새 Wiz 로그 소스 생성

1. Panther 콘솔의 왼쪽 탐색 표시줄에서 클릭합니다 구성 > 로그 소스.

2. 클릭 새로 만들기.

3. "Wiz"를 검색한 다음 해당 타일을 클릭하세요.

4. 슬라이드아웃 패널의 오른쪽 상단에서 클릭합니다 설정 시작.\

   
5. 화면에서 양식을 작성합니다: 구성 : 소스에 대한 설명적인 이름을 입력하세요. 예:

   • 이름내 Wiz 로그 프로젝트 ID.

   • (선택 사항): 로그를 가져오려는 프로젝트의 ID를 입력하세요. 이 필드를 비워두면 Panther는 모든 프로젝트의 로그를 가져옵니다. Wiz 콘솔에서 특정 프로젝트의 ID를 찾으려면: 프로젝트 행의 오른쪽에서 점 세 개 아이콘을 클릭한 다음 >

     1. 클릭 설정 > 프로젝트.

     2. 프로젝트 ID . ID가 클립보드에 복사됩니다.모니터링할 로그 유형을 선택하세요

   • : 모든 Wiz 로그 유형이 미리 채워집니다.설정

6. 클릭 자격 증명 설정.

7. 화면에서 양식을 작성합니다: 페이지에서 양식을 작성합니다: 토큰 URL

   • : Wiz API 토큰 URL을 입력하세요. 이 값은 Wiz 계정의 ID 공급자에 따라 다릅니다:Amazon Cognito: 다음을 입력하세요

     • https://auth.app.wiz.io/oauth/token Auth0: 다음을 입력하세요.

     • https://auth.wiz.io/oauth/token Wiz는 2022년 12월에 Auth0를 ID 공급자로서의 지원을 종료했음을 참고하세요..

       • API 엔드포인트

   • : Wiz에서 가져온를 입력하세요. API 엔드포인트 URL 귀하가 Wiz에서 생성한

   • 클라이언트 ID를 입력하세요. 클라이언트 ID 를 입력하세요.

   • 클라이언트 비밀: 다음을 입력하세요 클라이언트 비밀 를 입력하세요.

8. 클릭 자격 증명 설정. 성공 화면으로 이동합니다:\

   

   • 선택적으로 하나 이상의 탐지 팩.

   • 을(를) 활성화할 수 있습니다 다음 설정은 이벤트가 처리되지 않을 때 경고를 트리거합니다 설정의 기본값은 예입니다. 데이터가 일정 기간 이후에 로그 소스에서 유입되지 않으면 경고를 받으므로 이 옵션을 활성화된 상태로 두는 것을 권장합니다. 시간 간격은 기본값이 24시간으로 구성 가능 합니다.\

     

Panther 관리 탐지

다음을 참조하세요 Panther 관리 Wiz용 규칙은 panther-analysis GitHub 리포지토리.

지원되는 로그 유형

Wiz.Audit

감사 로그는 로그인, 로그아웃 및 사용자 업데이트와 같은 Wiz의 주요 이벤트를 기록합니다. 감사 로그는 잠재적으로 의심스러운 활동을 조사하거나 오류를 진단하고 문제를 해결하는 데 주로 사용됩니다.

참조: https://win.wiz.io/reference/audit-log

스키마: Wiz.Audit
설명: 감사 로그는 로그인, 로그아웃 및 사용자 업데이트와 같은 Wiz의 주요 이벤트를 기록합니다. 감사 로그는 잠재적으로 의심스러운 활동을 조사하거나 오류를 진단하고 문제를 해결하는 데 주로 사용됩니다.
참조 URL: https://win.wiz.io/reference/audit-log
필드:
    - 이름: id
      필수: 예
      설명: 감사 로그 항목의 고유 식별자입니다.
      유형: 문자열
    - 이름: action
      필수: 예
      설명: 수행된 작업입니다.
      유형: 문자열
    - 이름: requestId
      설명: 요청의 고유 식별자입니다.
      유형: 문자열
    - 이름: status
      설명: 감사 로그 이벤트의 상태입니다.
      유형: 문자열
    - 이름: timestamp
      필수: 예
      설명: 이벤트의 타임스탬프입니다.
      유형: 타임스탬프
      시간 형식:
        - rfc3339
      isEventTime: true
    - 이름: actionParameters
      설명: 작업과 관련된 매개변수입니다.
      유형: json
    - 이름: userAgent
      설명: 사용자 에이전트 문자열입니다.
      유형: 문자열
    - 이름: sourceIP
      설명: 소스 IP 주소입니다.
      유형: 문자열
      지표:
        - ip
    - 이름: serviceAccount
      설명: 작업과 연관된 서비스 계정입니다.
      유형: 객체
      필드:
        - 이름: id
          필수: 예
          설명: 서비스 계정의 ID입니다.
          유형: 문자열
          지표:
            - actor_id
        - 이름: name
          설명: 서비스 계정의 이름입니다.
          유형: 문자열
    - 이름: user
      설명: 해당되는 경우 작업과 연관된 사용자입니다.
      유형: 객체
      필드:
        - 이름: id
          필수: 예
          설명: 사용자의 ID입니다.
          유형: 문자열
          지표:
            - actor_id
        - 이름: name
          설명: 사용자의 이름입니다.
          유형: 문자열
          지표:
            - 사용자 이름

Wiz.Issues

문제 로그는 취약성 발견 및 보안 사고와 같은 이슈와 관련된 Wiz의 주요 이벤트를 기록합니다. 이는 보안 취약점 및 사고를 추적, 관리 및 수정하는 데 사용됩니다.

참조: https://win.wiz.io/reference/issues-query

스키마: Wiz.Issues
설명: 문제 로그는 취약성 발견 및 보안 사고와 같은 이슈와 관련된 Wiz의 주요 이벤트를 기록합니다. 이는 보안 취약점 및 사고를 추적, 관리 및 수정하는 데 사용됩니다.
참조 URL: https://win.wiz.io/reference/issues-query
필드:
    - 이름: id
      필수: 예
      설명: 이슈의 고유 식별자입니다.
      유형: 문자열
    - 이름: sourceRule
      설명: 이슈의 출처 규칙입니다.
      유형: json
    - 이름: createdAt
      필수: 예
      설명: 이슈의 생성 타임스탬프입니다.
      유형: 타임스탬프
    - 이름: updatedAt
      설명: 이슈의 마지막 업데이트 타임스탬프입니다.
      유형: 타임스탬프
    - 이름: dueAt
      설명: 이슈의 마감 타임스탬프입니다.
      유형: 타임스탬프
    - 이름: type
      설명: 이슈의 유형입니다.
      유형: 문자열
    - 이름: resolvedAt
      설명: 이슈가 해결된 시점의 타임스탬프입니다.
      유형: 타임스탬프
    - 이름: statusChangedAt
      설명: 이슈의 상태가 변경된 시점의 타임스탬프입니다.
      유형: 타임스탬프
    - 이름: projects
      설명: 이슈와 관련된 프로젝트들입니다.
      유형: 배열
      요소:
        유형: 객체
        필드:
            - 이름: id
              설명: 프로젝트의 고유 식별자입니다.
              유형: 문자열
            - 이름: name
              설명: 프로젝트의 이름입니다.
              유형: 문자열
            - 이름: slug
              설명: 프로젝트의 슬러그입니다.
              유형: 문자열
            - 이름: businessUnit
              description: 프로젝트의 비즈니스 유닛.
              유형: 문자열
            - name: riskProfile
              description: 프로젝트의 위험 프로필.
              유형: json
    - 이름: status
      description: 이슈의 상태.
      유형: 문자열
    - name: severity
      description: 이슈의 심각도.
      유형: 문자열
    - name: entitySnapshot
      description: 이슈와 관련된 엔터티 스냅샷.
      유형: 객체
      필드:
        - 이름: id
          description: 엔터티 스냅샷의 고유 식별자.
          유형: 문자열
        - 이름: type
          description: 엔터티 스냅샷의 유형.
          유형: 문자열
        - name: nativeType
          description: 엔터티 스냅샷의 고유(네이티브) 유형.
          유형: 문자열
        - 이름: name
          description: 엔터티 스냅샷의 이름.
          유형: 문자열
        - 이름: status
          description: 엔터티 스냅샷의 상태.
          유형: 문자열
        - name: cloudPlatform
          description: 엔터티 스냅샷의 클라우드 플랫폼.
          유형: 문자열
        - name: cloudProviderURL
          description: 엔터티 스냅샷의 클라우드 제공자 URL.
          유형: 문자열
        - name: providerId
          description: 엔터티 스냅샷의 제공자 ID.
          유형: 문자열
        - name: region
          description: 엔터티 스냅샷의 리전.
          유형: 문자열
        - name: resourceGroupExternalId
          description: 리소스 그룹의 외부 ID.
          유형: 문자열
        - name: subscriptionExternalId
          description: 구독의 외부 ID.
          유형: 문자열
        - name: subscriptionName
          description: 구독의 이름.
          유형: 문자열
        - name: subscriptionTags
          description: 구독의 태그.
          유형: json
        - name: tags
          description: 엔터티 스냅샷의 태그.
          유형: json
        - name: externalId
          description: 엔터티 스냅샷의 외부 ID.
          유형: 문자열
    - name: serviceTickets
      description: 이슈와 연결된 서비스 티켓.
      유형: json
    - name: notes
      description: 이슈와 관련된 추가 메모.
      유형: json

Wiz.VulnerabilityFinding

Wiz에서 탐지된 보안 취약점에 대한 정보(취약점 세부사항, 영향을 받는 자산 및 수정 단계 포함)를 기록하는 취약점 발견 로그입니다.

참조: https://win.wiz.io/reference/vulnerability-finding

schema: Wiz.VulnerabilityFinding
description: Wiz에서 탐지된 보안 취약점에 대한 정보(취약점 세부사항, 영향을 받는 자산 및 수정 단계 포함)를 기록하는 취약점 발견 로그입니다.
referenceURL: https://win.wiz.io/reference/vulnerability-finding
필드:
    - 이름: id
      필수: 예
      description: 취약점 발견의 고유 식별자.
      유형: 문자열
    - name: portalUrl
      description: 취약점 발견의 포털 URL.
      유형: 문자열
      지표:
        - url
    - 이름: name
      description: 취약점의 이름.
      유형: 문자열
    - name: CVEDescription
      description: 취약점의 CVE 설명.
      유형: 문자열
    - name: CVSSSeverity
      description: 취약점의 CVSS 심각도.
      유형: 문자열
    - name: score
      description: 취약점의 점수.
      type: float
    - name: exploitabilityScore
      description: 취약점의 익스플로잇 가능성 점수.
      type: float
    - name: impactScore
      description: 취약점의 영향 점수.
      type: float
    - name: dataSourceName
      description: 취약점 발견의 데이터 소스 이름.
      유형: 문자열
    - name: hasExploit
      description: 해당 취약점에 익스플로잇이 있는지 여부를 나타냅니다.
      type: boolean
    - name: hasCisaKevExploit
      description: 해당 취약점에 CISA/KEV 익스플로잇이 있는지 여부를 나타냅니다.
      type: boolean
    - 이름: status
      description: 취약점 발견의 상태.
      유형: 문자열
    - name: vendorSeverity
      description: 취약점의 벤더 심각도.
      유형: 문자열
    - name: firstDetectedAt
      description: 취약점이 처음 탐지된 타임스탬프.
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - name: lastDetectedAt
      description: 취약점이 마지막으로 탐지된 타임스탬프.
      유형: 타임스탬프
      시간 형식:
        - rfc3339
    - 이름: resolvedAt
      description: 취약점이 해결된 타임스탬프.
      유형: 타임스탬프
    - name: description
      description: 취약점의 설명.
      유형: 문자열
    - name: remediation
      description: 취약점에 대한 수정(대응) 단계.
      유형: 문자열
    - name: detailedName
      description: 취약점의 상세 이름.
      유형: 문자열
    - name: version
      description: 취약점의 영향을 받는 버전.
      유형: 문자열
    - name: fixedVersion
      description: 취약점의 수정(패치) 버전.
      유형: 문자열
    - name: detectionMethod
      description: 취약점 탐지에 사용된 방법.
      유형: 문자열
    - name: link
      description: 취약점과 관련된 링크.
      유형: 문자열
      지표:
        - url
    - name: locationPath
      description: 취약점의 위치 경로.
      유형: 문자열
    - name: resolutionReason
      description: 취약점을 해결한 이유.
      유형: 문자열
    - name: epssSeverity
      description: 취약점의 EPSS 심각도.
      유형: 문자열
    - name: epssPercentile
      description: 취약점의 EPSS 백분위수.
      type: float
    - name: epssProbability
      description: 취약점의 EPSS 확률.
      type: float
    - name: validatedInRuntime
      description: 취약점이 런타임에서 검증되었는지 여부를 나타냅니다.
      유형: 문자열
    - name: layerMetadata
      description: 취약점의 레이어 메타데이터.
      유형: json
    - 이름: projects
      description: 취약점 발견과 연관된 프로젝트.
      유형: 배열
      요소:
        유형: 객체
        필드:
            - 이름: id
              설명: 프로젝트의 고유 식별자입니다.
              유형: 문자열
            - 이름: name
              설명: 프로젝트의 이름입니다.
              유형: 문자열
            - 이름: slug
              설명: 프로젝트의 슬러그입니다.
              유형: 문자열
            - 이름: businessUnit
              description: 프로젝트의 비즈니스 유닛.
              유형: 문자열
            - name: riskProfile
              description: 프로젝트의 위험 프로필.
              유형: json
    - name: ignoreRules
      description: 취약점에 대한 무시 규칙.
      유형: json
    - name: vulnerableAsset
      description: 취약점 발견과 연관된 취약 자산.
      유형: 객체
      필드:
        - 이름: id
          description: 취약 자산의 고유 식별자.
          유형: 문자열
        - 이름: type
          description: 취약 자산의 유형.
          유형: 문자열
        - 이름: name
          description: 취약 자산의 이름.
          유형: 문자열
        - name: region
          description: 취약 자산의 리전.
          유형: 문자열
        - name: providerUniqueId
          description: 제공자의 고유 식별자.
          유형: 문자열
        - name: cloudProviderURL
          description: 취약 자산의 클라우드 제공자 URL.
          유형: 문자열
          지표:
            - url
        - name: cloudPlatform
          description: 취약 자산의 클라우드 플랫폼.
          유형: 문자열
        - 이름: status
          description: 취약 자산의 상태.
          유형: 문자열
        - name: subscriptionName
          description: 구독의 이름.
          유형: 문자열
        - name: subscriptionExternalId
          description: 구독의 외부 ID.
          유형: 문자열
        - name: subscriptionId
          description: 구독의 ID.
          유형: 문자열
        - name: tags
          description: 취약 자산의 태그.
          유형: json
        - name: hasLimitedInternetExposure
          description: 취약 자산이 제한된 인터넷 노출을 가지고 있는지 여부를 나타냅니다.
          type: boolean
        - name: hasWideInternetExposure
          description: 취약 자산이 광범위한 인터넷 노출을 가지고 있는지 여부를 나타냅니다.
          type: boolean
        - name: isAccessibleFromVPN
          description: 취약 자산이 VPN에서 액세스 가능한지 여부를 나타냅니다.
          type: boolean
        - name: isAccessibleFromOtherVnets
          description: 취약 자산이 다른 VNet에서 액세스 가능한지 여부를 나타냅니다.
          type: boolean
        - name: isAccessibleFromOtherSubscriptions
          description: 취약 자산이 다른 구독에서 액세스 가능한지 여부를 나타냅니다.
          type: boolean
        - name: operatingSystem
          description: 취약 자산의 운영 체제.
          유형: 문자열
        - name: ipAddresses
          description: 취약 자산의 IP 주소.
          유형: 배열
          요소:
            유형: 문자열
            지표:
                - ip