디택션
디택션을 사용하여 데이터를 분석하고 의심스러운 동작에 대해 알러트 트리거
개요
디택션은 실시간 또는 과거 로그 이벤트에 대해 실행되어 의심스러운 행동을 식별하고 생성하는 로직의 세그먼트입니다 신호, 필요에 따라 경고. 팀은 Python으로 디택션을 생성하여 디택션-as-code를 활용하거나 Panther의 간단한 디택션 기능을 사용해 디택션 생성과 관리를 협업할 수 있습니다. 기술적 전문성이 어느 수준이든 상관없이.
디택션에는 네 가지 유형이 있습니다:
룰, 예약된 룰 또는 상관 관계 룰에서 일치가 발생하면 신호가 생성되며, 경고가 활성화되어 있으면 룰 일치도 생성됩니다. 정책은 각 일치마다 규정 준수 실패를 생성합니다.
룰 일치는 디택션의 이벤트 임계값과 중복 제거 구성에 따라 경고를 트리거할 수 있습니다. 경고는 이후 대상으로 라우팅됩니다 디택션과 대상의 구성에 따라. 아래에서 신호, 룰 일치, 경고의 차이를 자세히 알아보세요 아래에서 신호, 룰 일치, 경고의 차이를 확인하세요.
원하는 방식을 결정해야 합니다 디택션을 Panther Console에서 관리할지, 아니면 CLI 워크플로를 사용할지. 그러면 시작할 수 있습니다 Panther가 관리하는 디택션을 활성화하거나 직접 작성하는 것으로.
디택션 시작하기
디택션 관리 워크플로를 선택하세요
다음이 있다면 Panther GitHub App을 설치한, CLI 워크플로와 충돌 없이 Panther Console을 함께 사용할 수 있습니다. 지원되는 디택션 유형에 대한 Console 편집은 Panther에 직접 저장하는 대신 리포지토리에서 풀 요청을 엽니다. 다음을 참조하세요: Panther Console에서 GitHub 풀 요청 만들기.
다음 방법 중 하나로 Panther 디택션을 생성하고 관리할 수 있습니다:
Panther 콘솔
Console에서 다음을 사용하여 직접 디택션을 구성하세요: 간단한 디택션 빌더, 또는 Python으로 작성.
활성화 Panther가 관리하는 Python 디택션 (개별적으로, 또는 디택션 팩) 빠르게 시작할 수 있으며, 추가 구성이 필요 없습니다.
디택션을 로컬에서 다음 중 하나로 작성하세요: 간단한 디택션 또는 Python 디택션.
우리의 Continuous Integration 및 Continuous Deployment 워크플로를 사용하여 Panther 디택션을 관리하는 방법을 자세히 알아보세요. CI/CD 가이드.
CLI 워크플로에는 다음 사용이 포함됩니다: Panther Analysis Tool (PAT), 소스 코드에서 Panther 디택션을 테스트, 패키징 및 배포하기 위한 오픈 소스 유틸리티입니다.
CI/CD 워크플로로 마이그레이션
빠르게 시작하려면 다음을 활성화할 수 있습니다 Panther에서 관리하는 디택션 팩 Panther Console에서 시작한 다음 나중에 CI/CD 워크플로를 사용하도록 전환할 수 있습니다. 워크플로를 CI/CD로 마이그레이션하려면 다음의 지침을 따르세요: CI/CD 워크플로로 마이그레이션.
디택션을 활성화하거나 작성하기
Panther로 위협을 탐지하기 시작하는 가장 빠른 방법은 이미 작성된 Panther가 관리하는 탐지 Panther 인스턴스에 포함된 것입니다. 이러한 기본 룰과 정책은 다양한 로그 소스에 적용할 수 있으며, Panther는 핵심 디택션 로직에 대한 개선 사항을 주기적으로 릴리스합니다. Panther에서 관리하는 룰은 다음을 사용하여 사용자 지정할 수 있습니다 룰 필터, 또는 이를 복제한 뒤 복제본의 디택션 로직을 편집하여 정확한 요구 사항에 맞게 조정할 수 있습니다.
Panther에서 다음을 통해 룰을 빠르게 생성할 수도 있습니다 Sigma 룰 변환.
처음부터 직접 디택션을 만들고 싶다면, 다음 페이지에서 방법을 알아보세요:
Panther AI 디택션 기능
다음 기능을 Panther AI Panther 디택션을 다룰 때 사용하세요.
AI 디택션 빌더
AI 디택션 빌더를 사용하면 평이한 언어로 탐지하고 싶은 내용을 설명할 수 있으며, 그러면 새 디택션 또는 수정된 디택션에 대한 제안을 제공합니다.
다음에서 자세히 알아보세요 AI 디택션 빌더 (베타).
AI 디택션 요약
Panther Console의 디택션 세부 정보 페이지에는 AI가 생성한 요약이 다음 위치에 있습니다 개요 탭:
이 요약은 다음을 활성화하기 전에 검토하면 도움이 될 수 있습니다 Panther가 관리하는 탐지, 또는 팀원이 만든 디택션에 대해 더 알아보려는 경우(아마도 다음의 도움을 받아) AI 디택션 빌더).
간단한 디택션
Simple 디택션은 모든 수준의 기술 역량을 가진 사용자가 Panther에서 디택션을 쉽게 만들고 관리할 수 있게 해주는 Panther 기능 집합을 의미합니다. 이러한 기능에는 다음이 포함됩니다:
간단한 디택션 빌더Panther Console에서는 코드를 작성하지 않고도 Simple 디택션 빌더를 사용하여 룰을 만들고 편집할 수 있습니다.
CLI 워크플로에서 작성한 Simple 디택션CLI 워크플로에서( YAML로) Simple 디택션을 작성한 다음 Panther에 업로드하면 Panther Console의 Simple 디택션 빌더에 표시됩니다.
이러한 기능을 함께 사용하면 YAML 경험 수준이 다양한 팀원이 디택션을 이해하고 협업할 수 있습니다.
팀에서 CLI 워크플로를 사용해 디택션 콘텐츠를 관리하는 경우, Console의 Simple 디택션 빌더를 사용해 디택션에 적용한 변경 사항은 다음 업로드 시 덮어써집니다(단, 인라인 필터 Console에서 생성된 것은 유지됩니다).
Console에서 Simple 디택션 빌더를 사용해 디택션을 만들거나 편집하는 경우, 결과로 생성된 YAML 표현을 복사하여 로컬 디택션 파일에 포함시켜 다음 업로드 시 변경 사항이 덮어써지지 않도록 하세요.
디택션에서 데이터 작업하기
스키마 정의
Panther의 스키마는 다음 유형에 대한 유용한 정보를 제공합니다 필드 데이터에 포함된 항목으로, 디택션을 작성할 때 데이터와 상호 작용하는 방법을 이해하기 더 쉽게 해줍니다.
스키마 정의는 다음에서 찾을 수 있습니다:
Panther Console
Panther Console에 로그인한 뒤 다음으로 이동하세요 Data > Schemas.
Data Explorer에서 샘플 가져오기
Data Explorer를 사용하면 Python 코드를 작성할 때 데이터, 데이터 위치, 데이터 유형을 더 쉽게 이해하고 조사할 수 있습니다. Panther가 로그 소스에서 구문 분석한 모든 데이터가 포함되어 있으며, 이 데이터를 테이블에 저장합니다.
디택션을 작성하려는 로그 유형에 해당하는 관련 테이블을 검색하여 로그 이벤트를 탐색하고 찾을 수 있습니다.
다음이 가능합니다 예제 테이블 데이터 미리보기 SQL을 작성하지 않고. 해당 로그 소스에 대한 샘플 SQL 쿼리를 생성하려면 테이블 유형 옆의 눈 아이콘을 클릭하세요:
쿼리가 결과를 생성하면, Results 테이블에서 예제 로그 이벤트를 볼 수 있습니다. 이를 CSV 파일로 다운로드할 수 있습니다.
에서 사용할 로그 이벤트를 복사하려면 단위 테스트 디택션을 작성하는 동안, 클릭하세요 JSON 보기.
신호 vs. 알러트
이 섹션에서는 이전에 신호와 알러트가 "룰 일치"와 어떻게 다른지 설명했습니다. Panther는 다음 위치에 쓰기를 중단합니다 panther_룰_matches, panther_룰_errors, 그리고 panther_views 2026년 7월 20일에. 이러한 위치에 기록된 데이터는 이미 새 위치에 동시에 기록되고 있으며, 기존 데이터는 손실되지 않습니다. 이번 변경 사항에 대해 자세히 알아보려면 이 지식 베이스 문서.
각각의 룰에 일치가 있을 때마다 룰, 예약된 룰, 또는 상관 룰:
A 신호 가 생성됩니다. 이는 룰, 예약된 룰 또는 상관 룰에 설정된 구성과 관계없이 동일합니다.
룰, 예약된 룰 또는 상관 룰에서 알러트 생성이 활성화되어 있으면(즉, Console에서, 알러트 생성 으로 설정되어
켜짐또는 CLI 워크플로에서알러트 생성(CreateAlert)으로 설정되어true), 하나의 알러트 가 생성됩니다(디택션의 이벤트 임계값 및 중복 제거 구성에 따라). 디택션에서 알러트 생성이 비활성화되어 있으면, 알러트는 생성되지 않습니다.
각각의 룰에 일치가 있을 때마다 정책규정 준수 실패가 생성됩니다(신호가 아니라). 정책은 알러트 생성을 비활성화하도록 구성할 수 없습니다.
디택션 기능
간단한 디택션
Panther의 Simple Detections 기능에는 다음이 포함됩니다: 간단한 디택션 빌더 Panther Console의 다음 항목과 CLI 워크플로의 Simple Detections.
이러한 기능을 함께 사용하면 서로 다른 수준의 기술 역량을 가진 팀원들이 디택션 관리에 협업할 수 있습니다.
Panther가 관리하는 디택션
Panther에는 Panther가 핵심 로직을 작성하고 주기적으로 업데이트하는 여러 개의 Panther-managed 디택션이 포함되어 있습니다. Panther가 관리하는 디택션을 사용하면 직접 작성해야 하는 수고를 덜 수 있으며, Panther가 새 버전을 출시할 때마다 핵심 디택션 로직의 개선 사항을 지속적으로 받을 수 있습니다. 자세한 내용은 Panther가 관리하는 디택션 사용.
디택션 팩
Panther 팩은 Panther Console을 통해 디택션을 논리적으로 그룹화하고 업데이트합니다. 디택션 팩은 디택션, 쿼리, 전역 헬퍼, 데이터 모델 또는 Lookup Tables를 포함하되 이에 국한되지 않는 Panther 기능을 원하는 수만큼 그룹화할 수 있습니다. 팩은 이 오픈 소스 저장소에 정의되어 있습니다: panther-labs/panther-analysis. 자세한 내용은 다음을 참조하세요: 디택션 팩.
인라인 필터
인라인 필터는 디택션의 룰 함수 전에 평가되는 조건문입니다. 인라인 필터를 적용하면 다음을 포함한 디택션을 쉽게 조정할 수 있습니다: Panther가 관리하는 것들. 필터는 반환해야 합니다 true (즉, 이벤트와 일치해야 합니다). 그러면 코드로 작성된 룰 함수가 실행됩니다. 디택션의 로그 유형에 따라 다음을 선택할 수 있습니다: 필드 필터링할 필드를. 연산자 를 지정하고, 해당하는 경우 값을 입력합니다. 자세한 내용은 다음을 참조하세요: 인라인 필터로 디택션 수정.
파생
Panther에서 하나의 기본 디택션으로부터 하나 이상의 파생 디택션을 만들 수 있습니다. 파생 디택션은 변경할 수 없는 기본 디택션의 핵심 디택션 로직과, 각 파생 디택션에서 덮어쓸 수 있는 메타데이터 필드 값을 상속합니다.
다음에서 자세히 알아보세요 파생 디택션.
테스팅
Panther의 디택션 테스트는 디택션이 예상대로 동작하고 올바르게 배포되면 알러트를 생성하도록 보장합니다. 테스트 입력은 알러트가 생성될지 여부를 판단하는 데 사용되어, 코드가 진화함에 따라 신뢰성을 높이고 회귀를 방지합니다. 자세한 내용은 테스팅.
데이터 리플레이
데이터 리플레이(베타)는 룰을 과거 로그 데이터에 대해 테스트하여 룰을 활성화하기 전에 결과를 미리 볼 수 있게 합니다. 데이터 리플레이는 디택션을 배포하기 전에 어떤 유형의 알러트를 받게 될지 시뮬레이션할 수 있습니다. 자세한 내용은 데이터 리플레이.
캐싱
Panther는 이벤트를 하나씩 검사하고 호출 간에 결과를 캐시할 수 있는 방법을 제공합니다. 상태를 유지하는 검사를 지원하기 위해, Panther 룰은 내장 헬퍼 함수를 사용하여 값을 캐시할 수 있습니다. 자세한 내용은 캐싱.
데이터 모델
Panther의 데이터 모델은 모든 로그 유형에 걸쳐 통합된 필드 집합을 구성할 수 있는 방법을 제공합니다. 데이터 모델을 사용하면 여러 로그 유형의 특정 필드를 한 번에 모니터링할 수 있어 번거롭고 복잡한 개별 로그 모니터링을 피할 수 있습니다. 자세한 내용은 데이터 모델.
전역 헬퍼 함수
Panther는 반복되는 코드를 헬퍼 함수로 추출하는 일반적인 프로그래밍 패턴을 지원하며, 다음을 통해 전역 분석 유형입니다. 분석 함수 본문의 맨 위에 특정 명령을 삽입한 뒤, 다른 Python 라이브러리처럼 전역 함수를 호출하여 디택션에 전역 헬퍼 함수를 가져오세요. 자세한 내용은 전역 헬퍼 함수.
프레임워크 매핑
Panther는 규칙, 정책, 예약된 룰을 컴플라이언스 프레임워크(다음을 포함하여)에 매핑하는 기능을 지원합니다. MITRE ATT&CK®) 해당 프레임워크에 대한 커버리지를 추적합니다. 보고서는 Panther Console의 디택션 > 모든 디택션 탐색 섹션에서 여러분의 디택션에 매핑할 수 있습니다. 자세한 내용은 프레임워크 매핑 및 MITRE ATT&CK® 매트릭스.
마지막 업데이트
도움이 되었나요?