> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/detections/panther-managed.md).
# Panther에서 관리하는 디택션 사용
## 개요
Panther에는 Panther 관리형 디택션이라고 하는 여러 기본 제공 Python 디택션이 포함되어 있습니다. Panther는 이러한 디택션의 핵심 로직을 작성하고 정기적으로 개선 사항을 릴리스합니다. Panther 관리형 디택션을 사용하면 처음부터 직접 작성해야 하는 수고를 덜 수 있을 뿐만 아니라, Panther가 새 버전을 릴리스함에 따라 시간이 지남에 따라 핵심 디택션 로직의 개선 사항을 지속적으로 받을 수 있습니다.
Panther 관리형 디택션은 다음과 같을 수 있습니다:
* [있는 그대로 활성화](#enabling-and-disabling-panther-managed-detections)
* 다음으로 활성화 및 조정 [인라인 필터](#inline-filters) 및/또는 해당 [편집 가능한 필드](#editable-fields)
* 다음과 함께 기본 디택션으로 사용 [디택션 파생](/ko/detections/rules/derived.md)
* [복제 및 편집](#how-to-clone-a-panther-managed-detection) (복제된 디택션은 Panther에서 관리되지 않으며 지속적인 업데이트를 받지 않습니다)
Panther Console에서 또는 다음을 사용하여 Panther 관리형 디택션을 작업할 수 있습니다 [Panther CLI 워크플로](/ko/panther/overview.md).
대부분의 Panther 관리형 디택션은 다음에 포함되어 있습니다 [디택션 팩](/ko/detections/panther-managed/packs.md)—디택션의 논리적 그룹화—하지만 일부는 그렇지 않습니다. 일반적으로 허용 목록 또는 거부 목록에 사용자 지정 값을 추가하는 등의 추가 구성이 필요하기 때문입니다. 이러한 디택션을 Pack에서 제외하면 필요한 구성 없이 활성화되어 오탐 알러트를 생성할 가능성이 줄어듭니다. Pack에 포함되지 않은 Panther 관리형 디택션의 예는 다음과 같습니다:
* [AWS.Resource.RequiredTags](https://github.com/panther-labs/panther-analysis/blob/19a9e47e347f711df173bcfe07b7db9cf003ed7e/policies/aws_account_policies/aws_resource_required_tags.py)
* [AWS.GuardDuty.Enabled](https://github.com/panther-labs/panther-analysis/blob/cd220c87982011d4ad156c7daecd2857c358d154/policies/aws_guardduty_policies/aws_guardduty_enabled.py)
* [Crowdstrike.DNS.Request](https://github.com/panther-labs/panther-analysis/blob/19a9e47e347f711df173bcfe07b7db9cf003ed7e/rules/crowdstrike_rules/crowdstrike_dns_request.py)
* [GCP.UnusedRegions](https://github.com/panther-labs/panther-analysis/blob/7e124d51379de04aaf51b63c1561c09a7c7802bc/rules/gcp_audit_rules/gcp_unused_regions.py)
* [GSuite.DriveVisibilityChanged](https://github.com/panther-labs/panther-analysis/blob/9d466d95ab9a4f8c2bb78ff8e77271edf45b7818/rules/gsuite_reports_rules/gsuite_drive_visibility_change.py)
{% hint style="info" %}
현재는 Python Panther 관리형 디택션만 복제, 수정 및 업로드할 수 있습니다. Panther 관리형 Simple Detections는 향후 릴리스에 제공될 예정입니다.
{% endhint %}
## Panther 관리형 디택션 사용 방법
### 사용 가능한 Panther 관리형 디택션 보기
아래에 설명된 대로 Panther 관리형 디택션의 전체 목록은 Console 및 GitHub에서 볼 수 있습니다.
{% tabs %}
{% tab title="콘솔" %}
**Panther Console에서 사용 가능한 Panther 관리형 디택션 보기**
Console에서 Panther 관리형 디택션을 볼 수 있습니다:
1. Panther Console의 왼쪽 탐색 모음에서 **탐지**.
2. 클릭합니다 **필터** 아이콘.
3. 다음 **Created by** 필터에서 다음을 선택합니다 **Panther에서 생성**.
4. 선택적으로 룰을 선택합니다 **데이터 소스** 디택션을 보려는 항목입니다.
5. 클릭합니다 **필터 적용**.
{% hint style="info" %}
Pack에 포함된 Panther 관리형 디택션만 기본적으로 Panther 인스턴스에서 사용할 수 있습니다. Pack에 포함되지 않은 Panther 관리형 디택션(예: [위에 나열된](#overview))을 작업하려면 Panther 지원팀에 문의하여 로드하는 데 도움을 받으세요.
{% endhint %}
{% endtab %}
{% tab title="GitHub" %}
**GitHub에서 사용 가능한 Panther 관리형 디택션 보기**
Panther의 공개 [panther-analysis](https://github.com/panther-labs/panther-analysis) GitHub 리포지토리에서 모든 Panther 관리형 디택션을 볼 수 있습니다. 해당 항목은 [룰](https://github.com/panther-labs/panther-analysis/tree/master/rules) 및 [정책](https://github.com/panther-labs/panther-analysis/tree/master/policies) 하위 디렉터리에 있습니다.
{% endtab %}
{% endtabs %}
### Panther 관리형 디택션 활성화 및 비활성화
Panther 관리형 디택션은 Panther Console 또는 Panther CLI 워크플로를 사용하여 활성화 및 비활성화할 수 있습니다:
{% tabs %}
{% tab title="콘솔" %}
**Panther Console에서 Panther 관리형 디택션 활성화 및 비활성화**
Panther 관리형 디택션은 Panther Console에서 활성화 및 비활성화할 수 있습니다.
디택션 목록 페이지에서 Panther 관리형 디택션을 활성화 또는 비활성화하려면:
1. Panther Console의 왼쪽 탐색 모음에서 **탐지**.
* 활성화하거나 비활성화하려는 Panther 관리형 디택션을 찾습니다.
2. 디택션 이름 왼쪽에서 확인란을 클릭합니다.\
3. 페이지 상단에서 **활성화** 또는 **비활성화**.
세부 정보 페이지에서 Panther 관리형 디택션을 활성화 또는 비활성화하려면:
1. Panther Console의 왼쪽 탐색 모음에서 **탐지**.
* 활성화하거나 비활성화하려는 Panther 관리형 디택션을 찾습니다.
2. 디택션 이름을 클릭하여 세부 정보 페이지로 이동합니다.
3. 오른쪽 상단 모서리에서 **활성화됨** 토글을 ON 또는 OFF로 전환합니다.
4. 오른쪽 상단 모서리에서 다음을 클릭합니다 **업데이트**.
{% hint style="info" %}
Pack에 포함된 Panther 관리형 디택션만 기본적으로 Panther 인스턴스에서 사용할 수 있습니다. Pack에 포함되지 않은 Panther 관리형 디택션(예: [위에 나열된](#overview))을 작업하려면 Panther 지원팀에 문의하여 로드하는 데 도움을 받으세요.
{% endhint %}
{% endtab %}
{% tab title="CLI" %}
**CLI 워크플로를 사용하여 Panther 관리형 디택션 활성화 및 비활성화**
다음에서 CLI 워크플로를 사용하여 Panther 관리형 디택션을 활성화 및 비활성화하는 방법을 알아보세요 [Panther 디택션 리포지토리 사용](/ko/panther/detections-repo.md).
{% endtab %}
{% endtabs %}
### Panther 관리형 디택션 업데이트 또는 롤백
Panther에서 새 버전을 릴리스할 때 Panther 관리형 디택션을 업데이트하거나(또는 이전 버전으로 되돌리려면) 다음을 따르세요 [디택션 Pack의 디택션 Pack 업데이트 또는 롤백 지침](/ko/detections/panther-managed/packs.md#update-or-roll-back-detection-pack).
디택션 Pack에 포함된 Panther 관리형 디택션만 버전이 관리되므로 업데이트 또는 롤백할 수 있습니다.
### Panther 관리형 디택션 사용자 지정 방법
다음을 추가하여 Panther 관리형 디택션을 사용자 지정할 수 있습니다 [인라인 필터](#inline-filters), 해당 항목을 수정하거나 [편집 가능한 필드](#editable-fields), 또는 다음을 사용하여 [디택션 상속](#detection-inheritance). 이러한 옵션을 사용하면 Panther에서 핵심 디택션 로직 업데이트를 계속 받으면서도 직접 조정하고 사용자 지정할 수 있습니다.
읽기 전용인 Panther 관리형 디택션의 핵심 룰 로직을 수정해야 하는 경우, 대신 다음을 수행할 수 있습니다 [복제하여 편집](#how-to-clone-a-panther-managed-detection). 복제된 디택션은 Panther가 아닌 사용자가 관리하므로, 시간이 지나도 Panther의 핵심 디택션 로직 개선 사항을 받지 않습니다. 따라서 가능한 경우 이 섹션에 설명된 사용자 지정 기법을 사용하는 것이 좋습니다.
#### 인라인 필터
룰 필터를 추가하여 Panther 관리형 룰을 쉽게 조정할 수 있습니다. 자세한 내용은 [인라인 필터로 디택션 수정](/ko/detections/rules/inline-filters.md) 에서 자세한 지침을 참조하세요.
사용자 지정 디택션이 디택션 Pack의 일부이고 Pack이 업데이트되거나 다른 버전으로 되돌려지는 경우에도 인라인 필터는 유지됩니다.
인라인 필터는 룰에만 적용되며, 정책 또는 예약된 룰에는 적용되지 않습니다.
#### 편집 가능한 필드
Panther 관리형 디택션은 핵심 디택션 로직의 편집은 허용하지 않지만, Panther Console에서 특정 메타데이터 필드를 사용자 지정할 수 있습니다. (모든 *기타* 필드는 Panther Console에서 회색으로 표시되며, **룰 함수** 및 **단위 테스트** 편집기는 읽기 전용입니다.) 이러한 편집 가능한 필드는 다음과 같습니다:
* 활성화 / 비활성화
* 심각도
* 중복 제거 기간
* 이벤트 임계값
* 대상 재정의
* 런북
사용자 지정 디택션이 디택션 Pack의 일부이고 Pack이 업데이트되거나 다른 버전으로 되돌려지는 경우에도 Panther Console에서 이러한 필드에 적용한 변경 사항은 유지됩니다.
Panther Console에서 편집 가능한 필드를 변경할 수 있습니다:
1. Panther Console의 왼쪽 탐색 모음에서 **탐지**.
2. 편집하려는 디택션을 찾은 다음 이름을 클릭하여 세부 정보 페이지로 이동합니다.
3. 다음까지 아래로 스크롤합니다 **알러트 필드 설정** 섹션.
4. 디택션에 원하는 대로 변경합니다.
* 편집할 수 없는 필드는 회색으로 표시됩니다.
5. 클릭합니다 **업데이트** 변경 사항을 저장하려면 페이지 오른쪽 상단에서 클릭합니다.
#### 디택션 상속
디택션 상속을 사용하면 Panther 관리형 디택션을 기본 디택션으로 사용하여 자체 파생 디택션을 만들 수 있습니다. 파생 디택션은 변경할 수 없는 기본 디택션의 핵심 로직과 덮어쓸 수 있는 메타데이터 필드 값을 상속합니다.
자세한 내용은 다음을 참조하세요: [디택션 상속](/ko/detections/rules/derived.md).
## Panther 관리형 디택션 복제 방법
Panther 관리형 디택션이 요구 사항에 맞지 않는 경우, 복제한 다음 복제본을 편집할 수 있습니다:
1. Panther Console의 왼쪽 탐색 모음에서 **탐지**.
2. 편집하려는 디택션을 찾은 다음 이름을 클릭합니다.
3. 디택션 세부 정보 페이지의 오른쪽 상단 모서리에서 점 3개 > 를 클릭합니다 **복제**.\
4. 표준 디택션 생성 인터페이스로 리디렉션됩니다. 선택적으로 복제된 디택션의 다음 항목을 업데이트합니다 **이름**.
* 복제된 디택션의 이름에는 기본적으로 `(Copy)` 가 추가됩니다.
5. 오른쪽 상단에서 다음을 클릭하세요: **계속**.
6. 복제된 디택션의 세부 정보 페이지에서 디택션의 복제본에 원하는 대로 변경합니다.
* 다음 **활성화됨** 토글은 원본 디택션의 활성화 상태를 기본값으로 사용합니다. 즉, Panther 관리형 디택션이 비활성화되어 있었다면 토글은 OFF로 설정됩니다.
7. 오른쪽 상단에서 다음을 클릭하세요: **저장.**\
디택션을 복제하고 편집해도 원본 디택션의 활성화 상태는 변경되지 않습니다. 즉, 원본 Panther 관리형 디택션이 활성화되어 있지만 사용자 지정 복제본으로 해당 항목을 *대체* 하려는 경우, 돌아가서 Panther 관리형 디택션을 비활성화해야 합니다.
복제된 디택션은 Panther에서 관리되지 않으며 지속적인 업데이트를 받지 않습니다(디택션 Pack에 포함된 Panther 관리형 디택션과 달리). 디택션의 원본 버전이 Pack에 포함되어 있다면 활성화 또는 비활성화 여부와 관계없이 정상적으로 계속 업데이트를 받습니다.
## Panther 관리형 디택션용 알러트 런북
알러트 런북은 알러트를 트리거한 문제를 해결하기 위한 일련의 지침입니다. Panther는 여러 Panther 관리형 정책 및 룰에 대한 알러트 런북을 제공합니다. 다음에서 확인하세요 [알러트 런북](/ko/alerts/alert-runbooks.md).
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.panther.com/ko/detections/panther-managed.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.