기술 파트너 로그 소스 통합

기술 파트너로서 제품을 Panther와 통합

이 페이지는 다음에 대한 지침을 제공합니다 Panther Technology Partners Panther의 다음 중 하나로 로그를 전송하여 자사 제품을 Panther와 통합하는 Data Transport 소스—예를 들어, 다음으로 S3 버킷 또는 다음으로 HTTP 엔드포인트. 대신 로그 풀링 통합을 만들어야 한다면 Panther Tech Partner 팀과 직접 협업해 주세요.

대신 알러트 Destination 통합을 만들고 싶다면 다음을 참조하세요 Tech Partner 알러트 Destination 통합. 커스텀 로그 수집 정보가 필요한 Panther 고객이라면 다음을 참조하세요 Custom Logs 문서.

1단계: Panther의 Tech Partner 팀에 문의

• 이 양식을 작성해 주세요 Tech Partner 팀에 문의하기 위해.

  • NFR(Not for Resale) Panther 인스턴스와 공유 Slack 채널에 대한 액세스 권한을 얻기 위해 Tech Partner 팀과 함께 작업하게 됩니다.

2단계: 통합 방법을 결정하기

• 애플리케이션이 이벤트를 HTTP URL(웹훅)로 내보낼 수 있다면 다음을 참조하세요 HTTP 소스 지침의 단계를 완료했습니다.

  • 다음 HTTP 소스 로그 소스의 트래픽이 많고(즉, 시간당 최소 1GB를 내보내며) 및/또는 페이로드 크기가 HTTP 페이로드 한도를 초과하는 경우에는 권장되지 않습니다.

• 애플리케이션이 이벤트를 S3 버킷으로 내보낼 수 있다면 다음을 참조하세요 S3 Source 지침.

• 데이터가 다른 전송 옵션 중 하나를 사용할 수 있다면 각 Data Transport 문서 페이지를 참조하세요.

3단계: 스키마 및 테스트 생성

1. 데이터에 대해 하나 이상의 스키마를 생성하세요:

   1. Panther에서 파싱할 수 있기를 원하는 모든 샘플 데이터를 생성하거나 수집하세요.

   2. 생성해야 할 로그 스키마 수를 결정하세요—다음을 참조하세요 필요한 커스텀 스키마 수를 결정하기 Custom Logs에서.

   3. 샘플 데이터를 사용해 스키마를 추론하세요.

      • 다음을 할 수 있습니다 Panther Console에서 스키마를 추론 또는 CLI에서 pantherlog를 사용해.

      • 하나 이상의 스키마를 추론하는 경우 다음 중 하나를 사용하는 것이 좋습니다 샘플 로그에서 커스텀 스키마 추론 방법 또는 기존 S3 데이터에서 커스텀 스키마 추론 방법.

   4. 추론된 스키마를 다음 항목에 대해 검토하세요:

      • 하나 이상의 스키마를 생성했고 공통된 필수 속성이 있다면, 이벤트 분류 프로세스가 들어오는 이벤트가 어떤 스키마에 속하는지 다음을 기준으로 결정하므로 이벤트가 잘못 분류될 수 있습니다 필수 스키마의 속성입니다. 스키마가 동일한 필수 속성을 가지고 있어 구분할 수 없다면 스키마를 병합하는 것을 고려하세요.

      • 만약 타임스탬프 필드를 이벤트 발생 시간을 정의하는 데 사용할 수 있다면 다음으로 표시하세요 이벤트 시간 여부: true—그렇지 않으면 해당 p_parse_time 가 이벤트 시간으로 사용되며, 이는 오해를 일으킬 수 있습니다.

      • 다음을 고려하세요 변환 이벤트를 참조하거나 검색에서 조작하기 쉽게 만드는 데 도움이 될 수 있는 변환을.

   5. 스키마를 내보내세요.

      • 스키마를 내보낼 수 있으며 CLI에서 pantherlog를 사용해, 또는 Panther Console에서 복사하여 텍스트 파일에 붙여넣을 수 있습니다.

2. 각 스키마마다 다음 파일을 생성하세요 <schema_name>_tests.yml 파일.

   • 다음에서 스키마 테스트 파일을 만드는 방법을 알아보세요 스키마 테스트 파일 만들기.

데이터가 Panther로 정상적으로 흐르는지 확인하기

이 단계에서는—조직의 로그 소스 타일이 Panther에 추가되기 전에—다음을 설정하여 통합을 테스트해 볼 수 있습니다 데이터 전송 소스. 소스를 구성한 후에는 다음을 사용하여 데이터가 Panther로 수집되는지 확인할 수 있습니다 검색 도구를 사용합니다.

Search에 대해 더 알아보려면 문서 페이지를 참조하세요, 하지만 큰 틀에서는 다음과 같습니다:

1. Panther Console의 왼쪽 탐색 모음에서 검색.

2. 다음 표 드롭다운 필터 오른쪽 상단에서 로그 소스 스키마 이름을 클릭하세요.

3. 다음을 조정하세요 날짜/시간 범위 필터, 필요하면.

4. 클릭합니다 검색.

   • 페이지 하단의 결과 표에서 이벤트를 찾으세요.

4단계: 통합에 대한 안내 정보를 작성하기

Panther Console에서 플랫폼을 설명하고 이 통합에 대한 문서 페이지를 생성하는 데 사용할 다음 정보가 담긴 텍스트 파일을 만들어 주세요:

• 애플리케이션 설명

• 지원되는 통합 방법

• 서비스의 로그를 Data Transport 소스로 전달하기 위해 애플리케이션에서 필요한 구성을 수행하는 방법에 대한 단계별 지침

  • 예시는 다음 아래의 페이지를 참조하세요 Supported Logs Data Transport를 사용하는 항목, 예: Auth0 Logs 및 GitLab Logs

  • 이 지침이 공개 문서에 정리되어 있다면 대신 해당 링크를 공유해도 됩니다

• 주의 사항 또는 제한 사항

• 통합의 일반적인 사용 사례. 고객이 Panther에서 이 로그 통합을 어떻게 사용할지 생각할 때 다음을 고려할 수 있습니다:

  • 사용: Correlation Rules 다른 로그 소스의 보안 신호와 귀하의 시스템의 보안 신호를 상관 분석하여 복잡한 위협 행위를 식별

  • Panther의 검색 이벤트에서 찾은 식별자(예: 이메일 주소, IP 주소 또는 AWS ARN)를 기준으로 피벗하여 조사 중에 다른 시스템(예: Okta)의 로그 전체에서 검색

5단계: 검토를 위해 Panther에 제출하기

1. 다음 파일을 압축하세요:

   • 4단계의 정보가 담긴 텍스트 파일

   • 스키마 및 해당 <schema_name>_tests.yml 파일

   • 원시 테스트 데이터

   • 정사각형 .svg 애플리케이션 로고 파일

2. 압축 파일을 공유 Slack 채널을 통해 Panther에 보내세요.

zip 파일을 제출한 후 Tech Partner 팀이 다음 단계를 조정하기 위해 함께 작업할 것입니다.

6단계(선택 사항): 로그 소스에 대한 디택션 만들기

1. Python으로 작성 디택션 을 로그 소스용으로.

   • 디택션을 사용할 수 있으면 통합 도입이 촉진되므로 강력히 권장됩니다.

   • 참고 Python 디택션 작성 시작하는 방법을 알아보고, 전체 예시는 다음에서 확인하세요 panther-analysis GitHub 리포지토리.

2. 다음에 대해 귀하의 디택션 콘텐츠로 Pull Request를 여세요 공개 panther-analysis GitHub 리포지토리.

   • 다음을 따라 주세요 기여 지침 및 스타일 가이드.