사용자 지정 보강

특정 사용자와 연결된 들어오는 로그 이벤트에 추가 개인 정보가 포함되도록 커스텀 enrichment 테이블에 사용자 데이터를 저장하고 싶다고 가정해 보겠습니다. 사용자의 이메일 주소로 일치시키려 하므로, 이메일 필드는 enrichment 테이블의 기본 키이자 로그 이벤트의 Selector가 됩니다.

enrichment 테이블의 기본 키 열이 문자열인지 문자열 배열인지 결정하고 있습니다.

먼저, 로그 소스에서 수신할 것으로 예상되는 아래의 두 이벤트를 검토하세요.

두 이메일 주소(janedoeemailone@mail.com 및 janedoeemailtwo@mail.com)는 같은 사용자 Jane Doe.

에 속합니다. Panther가 이 이벤트들을 받으면, enrichment 테이블을 사용해 각 이벤트에 Jane의 전체 이름과 역할을 enrichment하고 싶을 것입니다. enrichment 후에는 이 이벤트들이 다음과 같이 보이게 됩니다:

다음 중 하나로 커스텀 enrichment를 정의하여 이 enrichment를 구현할 수 있습니다:

• (권장) 문자열 배열 유형의 기본 키 열

• 문자열 유형의 기본 키 열

문자열 배열 유형의 기본 키 열을 가진 enrichment 테이블을 사용하면, Jane의 여러 이메일 주소를 하나의 기본 키 항목에 포함하여 한 행의 데이터와 연결할 수 있습니다. 이는 다음과 같이 보일 수 있습니다:

또는 문자열 유형의 기본 키 열을 가진 enrichment 테이블을 정의할 수도 있습니다. 그러나 이벤트와 enrichment 테이블 간의 일치는 사용자의 이메일 주소로 이루어지며, 사용자는 여러 이메일 주소를 가질 수 있으므로(Jane의 경우처럼), 각 이메일마다 enrichment 테이블 행을 복제해야 합니다. 이는 다음과 같습니다:

두 옵션 모두 같은 결과를 내지만(즉, 로그 이벤트가 동일한 방식으로 enrichment됨), 관리가 편하고 유지보수 실수의 가능성이 낮기 때문에 문자열 배열 기본 키로 enrichment를 정의하는 것이 권장됩니다.

Panther 콘솔을 통해 Scheduled Search로 데이터 가져오기

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭하세요. 인리치먼트.

2. 오른쪽 상단에서 다음을 클릭하세요: 새로 만들기.

   • 또는 다음에서 시작할 수도 있습니다 검색, 그런 다음 다음을 선택합니다 데이터 탐색기 탭 페이지에서 쿼리를 입력한 다음 Create Enrichment via query.

3. enrichment 온보딩 페이지에서 스케줄된 쿼리로 데이터 가져오기 타일.

4. 다음 페이지에서 기본 정보 페이지에서 다음 필드를 입력하세요:

   • 보강 이름: 커스텀 enrichment의 설명적 이름.

   • 설명 - 선택 사항: 테이블에 대한 추가 컨텍스트.

   • 참조 - 선택 사항: 일반적으로 내부 리소스로 연결되는 하이퍼링크에 사용됩니다.

5. 클릭합니다 설정.

6. 다음 페이지에서 Query 페이지에서 다음 필드를 입력하세요:

   • SQL 쿼리: 커스텀 enrichment용 데이터를 반환하는 SQL 쿼리를 작성하세요. 다음을 클릭하여 Data Explorer에서 쿼리를 테스트할 수 있습니다 Data Explorer에서 테스트.

     • 쿼리가 Panther가 수집한 데이터를 가져오는 경우, 다음으로 시작하는 표준 필드 를 제외하거나 이름을 바꾸어야 합니다 p_ 접두사로 시작하는 필드들은 예약된 이름이기 때문입니다.

     • enrichment 스키마는 SQL 쿼리를 기반으로 생성됩니다. 예를 들어 쿼리를 수정하여 스키마 필드와 유형을 변경할 수 있습니다. SELECT AVG(total_events)::FLOAT AS mean_total_events 는 다음 유형의 필드를 생성합니다 float 및 이름 mean_total_events

   • 스케줄 유형 및 빈도: 데이터가 얼마나 자주 새로고침되어야 하는지에 따라 스케줄 빈도를 구성하세요. 다음 중에서 선택하세요:

     • 주기: 고정된 시간 간격으로 쿼리 실행(예: 2시간마다)

     • Cron Expression: 다음을 사용하여 특정 날짜와 시간에 쿼리 실행 Cron 표현식

7. 클릭합니다 계속. Panther는 SQL 쿼리로부터 자동으로 스키마를 생성합니다.

8. 다음 페이지에서 스키마 페이지에서 자동 생성된 스키마를 검토하고 기본 키 드롭다운에서.

   • 모든 문자열 필드에 대해 선택적으로 다음을 추가할 수 있습니다 인디케이터 필드 를 클릭하여 인디케이터 추가 필드 옆에서 드롭다운에서 하나 이상의 인디케이터 유형(예: IP 주소, 도메인 이름, SHA256 해시)을 선택하세요. 인디케이터를 추가하면 자동 로그 유형 및 Selector 매핑 이 활성화됩니다.

   • 필드가 인디케이터를 사용할 수 있도록 하려면 SQL 쿼리에서 이를 STRING 으로 캐스팅하세요.

9. 클릭합니다 enrichment 만들기.

10. 다음 페이지에서 확인 페이지에서 선택적으로 다음을 설정하세요 이 enrichment가 데이터를 전혀 받지 못하면 알러트를 설정하시겠습니까? 토글을 예 알러트를 사용하도록 설정하려면

    • 다음 숫자 및 주기 필드에서 Panther가 이 알림을 얼마나 자주 보내야 하는지 지정합니다.

    • 이 알러트의 알러트 대상은 페이지 하단에 표시됩니다. 알림이 전송될 위치를 구성하고 사용자 지정하려면 다음을 참조하세요 Panther Destinations.

11. 클릭합니다 설정 완료.

Panther 콘솔을 통해 파일 업로드로 커스텀 enrichment 데이터 가져오기

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭하세요. 보강.

2. 오른쪽 상단에서 다음을 클릭하세요: 새로 만들기, 그런 다음 Custom Enrichment.

3. 다음 페이지에서 기본 정보 페이지:

   • 보강 이름: 커스텀 enrichment의 설명적 이름.

   • 활성화됨?: 이 토글이 예로 설정되어 있는지 확인하세요. 이는 이 과정의 후반에 데이터를 가져오기 위해 필요합니다.

   • 설명 - 선택 사항: 테이블에 대한 추가 컨텍스트.

   • 참조 - 선택 사항: 일반적으로 내부 리소스로 연결되는 하이퍼링크에 사용됩니다.

4. 클릭합니다 계속.

5. 다음 페이지에서 Associated Log Types(선택 사항) 페이지에서 선택적으로 로그 유형/Selector를 지정하세요:

   • 클릭합니다 로그 유형 추가.

   • 다음 타일을 클릭하세요: 로그 유형 드롭다운에서 그런 다음 로그 유형을 선택하세요.

   • 하나 이상의 Selectors, 즉 커스텀 enrichment로 enrichment하려는 로그 유형의 외래 키 필드.

     • 중첩된 객체의 속성은 다음을 사용해 참조할 수도 있습니다 JSON path 구문. 예를 들어 맵의 필드를 참조하려면 다음을 입력할 수 있습니다 $.field.subfield.

   • 클릭합니다 로그 유형 추가 필요하면 또 다른 항목을 추가하세요. 위의 예시 화면에서는 다음을 선택했고 AWS.CloudTrail 로그와 다음을 입력했습니다 accountID 및 recipientAccountID 를 사용하여 CloudTrail 로그의 키를 나타냈습니다.

6. 클릭합니다 계속.

7. 다음 페이지에서 Table Schema 페이지에서 Table Schema를 구성하세요: &#xNAN;참고: 아직 새 스키마를 생성하지 않았다면 다음을 참조하세요 스키마 생성 문서. 커스텀 enrichment 데이터를 사용하여 스키마를 추론할 수도 있습니다. 스키마를 생성하면 enrichment를 구성하는 동안 Table Schema 페이지의 드롭다운에서 선택할 수 있게 됩니다. &#xNAN;참고: CSV 스키마는 커스텀 enrichment와 함께 사용하려면 열 헤더가 필요합니다.

   • 다음을 선택하세요 스키마 이름 드롭다운에서.

   • 다음을 선택하세요 기본 키 이름 드롭다운에서. 이는 테이블의 고유한 열이어야 하며, 예를 들어 accountID.

8. 클릭합니다 계속.

9. enrichment 온보딩 페이지에서 설정 에서 CSV 또는 JSON 파일을 업로드하세요 타일.

10. 다음 페이지에서 파일 업로드 페이지에서 파일을 끌어다 놓거나 클릭하세요 파일 선택 가져올 Enrichment 데이터 파일을 선택하세요. 파일은 .csv 또는 .json 형식이어야 합니다.

11. 클릭합니다 설정 완료. 소스 설정 성공 페이지가 표시됩니다.

12. 선택 사항으로, 다음 옆에 S이 custom enrichment가 데이터를 받지 못하는 경우 알러트를 설정하시겠습니까?, 설정을 다음으로 전환하세요 예 알러트를 사용하도록 설정하려면

    • 다음 숫자 및 주기 필드에서 Panther가 이 알림을 얼마나 자주 보내야 하는지 지정합니다.

    • 이 알러트의 대상 위치는 페이지 하단에 표시됩니다. 알림이 전송되는 위치를 구성하고 사용자 지정하려면 다음 문서를 참조하세요: Panther Destinations.

    

PAT를 통해 파일 업로드로 custom enrichment 데이터를 가져오기

파일 및 폴더 설정

custom enrichment에는 다음 파일이 필요합니다:

• enrichment 테이블용 YAML 구성 파일

  • 이 custom enrichment 구성 파일은 다음을 포함하는 이름의 폴더에 저장해야 합니다: lookup_tables. 이는 최상위 lookup_tables 디렉터리이거나 이름이 일치하는 하위 디렉터리일 수 있습니다 *lookup_tables*. 다음을 참조로 사용할 수 있습니다: panther-analysis 저장소를 참조로 사용할 수 있습니다.

• 테이블에 데이터를 로드할 때 사용할 스키마를 정의하는 YAML 파일

  • 이 데이터 스키마 파일은 다음 외부의 디렉터리에 저장해야 합니다: lookup_tables 디렉터리. 다른 custom log schema와 함께 저장할 수도 있습니다. 예: /schemas panther-analysis 저장소 루트의 디렉터리.

• 테이블에 로드할 데이터를 포함한 JSON 또는 CSV 파일(선택 사항, 자세한 내용은 계속 읽어보세요).

스키마와 구성 파일 작성하기

테이블 구성에서 일부 값을 참조하므로, 일반적으로 먼저 데이터 스키마를 작성하는 것이 좋습니다.

1. YAML 데이터 스키마 파일을 만드세요. 이 스키마는 테이블에 데이터를 업로드할 때 사용할 파일을 읽는 방법을 정의합니다. 데이터에 CSV 파일을 사용하는 경우, 스키마는 CSV를 파싱할 수 있어야 합니다.

   • 테이블 스키마는 log schema와 동일한 형식입니다. 스키마 작성에 대한 자세한 내용은 다음 문서를 참조하세요: 로그 스키마 관리.

2. YAML 구성 파일을 만드세요. 필요한 값과 허용되는 값의 전체 목록은 다음에서 확인하세요: Custom Enrichment Specification Reference.

   • 로컬 파일에 저장된 데이터를 사용하는 custom enrichment의 예시 구성은 다음과 같습니다:

3. 저장소 루트에서 다음을 실행하여 스키마 파일을 업로드하세요: panther_analysis_tool update-custom-schemas --path ./schemas.

4. 저장소 루트에서 다음을 사용하여 custom enrichment를 업로드하세요: panther_analysis_tool upload.

Panther Analysis Tool을 통해 custom enrichment를 업데이트하기:

1. 해당 custom enrichment의 YAML 구성 파일을 찾으세요.

2. 파일을 열고 다음 필드를 찾으세요: Filename. 데이터 파일로 연결되는 파일 경로가 보여야 합니다.

3. 다음에 지정된 파일을 업데이트하거나 교체하세요 Filename. 허용되는 값을 보려면 다음을 참조하세요: Custom Enrichment Specification Reference.

4. 구성 파일을 저장한 다음 다음 명령으로 변경 사항을 업로드하세요:

   선택적으로, custom enrichment만 업로드하도록 지정할 수 있습니다:

Panther Console을 통해 S3 버킷에서 custom enrichment 데이터를 동기화하기

S3 동기화 enrichment 설정은 간소화된 4단계 마법사를 사용합니다: 기본 정보 → S3에 연결 → 스키마 → 확인.

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭하세요. 보강.

2. 오른쪽 상단에서 다음을 클릭하세요: 새로 만들기.

3. enrichment 온보딩 페이지에서 AWS S3에서 데이터 동기화 타일.

4. 다음 페이지에서 기본 정보 페이지에서 다음 필드를 입력하세요:

   • 보강 이름: 커스텀 enrichment의 설명적 이름.

   • 설명 - 선택 사항: 테이블에 대한 추가 컨텍스트.

   • 참조 - 선택 사항: 일반적으로 내부 리소스로 연결되는 하이퍼링크에 사용됩니다.

   
5. 클릭합니다 설정.

6. 다음 페이지에서 S3에 연결 페이지에서 S3 소스와 IAM 역할을 한 단계로 구성하세요:

   Source Details:

   • 다음을 입력합니다 계정 ID, S3 버킷이 위치한 12자리 AWS 계정 ID입니다.

   • 다음을 입력합니다 S3 URI, 특정 S3 버킷을 식별하는 고유한 경로입니다.

   • 선택적으로 다음을 입력하세요: KMS Key - Optional 데이터가 KMS-SSE로 암호화된 경우.

   IAM Role Setup: 다음 방법 중 하나를 선택하세요:

   • Using the AWS UI: 클릭하세요 선택 이 카드에서 클릭하여 미리 채워진 템플릿을 사용해 AWS 콘솔에서 CloudFormation 스택을 시작하세요.

   • Using a CloudFormation Template File: 클릭하세요 선택 이 카드에서 클릭하여 자체 파이프라인으로 배포할 인프라 as code 템플릿 파일을 다운로드하세요.

   • Manual setup: 다음을 클릭하세요 모든 것을 직접 설정하고 싶습니다 카드 아래의 링크를 통해 IAM 역할을 직접 구성하세요. 스택을 배포하고 Role ARN을 얻은 후, 이를 양식에 붙여넣어 다음을 활성화하세요: 계속 버튼으로 스크롤하세요.

   
7. 클릭합니다 계속.

8. 다음 페이지에서 스키마 페이지에서 Table Schema를 구성하세요: &#xNAN;참고: 아직 새 스키마를 생성하지 않았다면 다음을 참조하세요 스키마 생성 문서. 스키마를 만든 후에는 custom enrichment를 구성할 때 Schema 페이지의 드롭다운에서 이를 선택할 수 있습니다.

   • 다음을 선택하세요 스키마 이름 드롭다운에서.

   • 다음을 선택하세요 기본 키 이름 드롭다운에서. 이는 테이블의 고유한 열이어야 하며, 예를 들어 accountID.

9. 클릭합니다 계속.

10. 다음 페이지에서 확인 페이지에서 선택적으로 전환하세요 이 custom enrichment가 데이터를 받지 못하는 경우 알러트를 설정하시겠습니까? 에서 예 알러트를 사용하도록 설정하려면

    • 다음 숫자 및 주기 필드에서 Panther가 이 알림을 얼마나 자주 보내야 하는지 지정합니다.

    • 이 알러트의 대상 위치는 페이지 하단에 표시됩니다. 알림이 전송되는 위치를 구성하고 사용자 지정하려면 다음 문서를 참조하세요: Panther Destinations.

11. 클릭합니다 설정 완료 enrichment 구성을 완료하려면

IAM 역할 만들기

S3 소스를 사용하는 Panther custom enrichment에 사용할 IAM 역할을 만드는 방법에는 세 가지가 있습니다:

• AWS Console UI를 사용하여 IAM 역할 만들기.

• CloudFormation Template File을 사용하여 IAM 역할 만들기.

• IAM 역할을 수동으로 만들기.

AWS Console UI를 사용하여 IAM 역할 만들기

1. "Using the AWS Console UI"라고 표시된 타일을 찾으세요. 타일 오른쪽에서 다음을 클릭하세요: 선택.

2. 클릭합니다 콘솔 UI 실행.

   • 템플릿 URL이 미리 입력된 상태로 새 브라우저 탭에서 AWS 콘솔로 이동됩니다.

   • CloudFormation 스택은 S3 버킷의 객체를 읽는 데 필요한 최소 권한으로 AWS IAM 역할을 생성합니다.

   • AWS의 CloudFormation 스택에서 "Outputs" 탭을 클릭하고 Role ARN을 확인하세요.

3. Panther 계정으로 돌아가세요.

4. "Use AWS UI to set up your role" 페이지에서 Role ARN을 입력하세요.

5. 클릭합니다 설정 완료.

CloudFormation Template File을 사용하여 IAM 역할 만들기

1. "CloudFormation Template File"라고 표시된 타일을 찾으세요. 타일 오른쪽에서 다음을 클릭하세요: 선택.

2. 클릭합니다 CloudFormation template, 이를 통해 자체 파이프라인으로 적용할 템플릿을 다운로드합니다.

3. AWS에서 템플릿 파일을 업로드하세요:

   1. AWS 콘솔을 열고 CloudFormation 서비스로 이동하세요.

   2. 클릭합니다 스택 생성.

   3. 클릭합니다 템플릿 파일 업로드 그리고 다운로드한 CloudFormation 템플릿을 선택하세요.

4. Panther의 "CloudFormation Template" 페이지에서 Role ARN을 입력하세요.

5. 클릭합니다 설정 완료.

IAM 역할을 수동으로 만들기

1. "Set Up an IAM role" 페이지에서 S3 소스를 사용하는 custom enrichment 생성 과정 중 다음이라고 적힌 링크를 클릭하세요: 모든 것을 직접 설정하고 싶습니다.

2. 필요한 IAM 역할을 만드세요. 필요한 IAM 역할은 수동으로 또는 자체 자동화를 통해 만들 수 있습니다. 역할 이름은 다음 형식을 사용해야 합니다: PantherLUTsRole-${Suffix}(예: PantherLUTsRole-MyLookupTable).

   • IAM 역할 정책에는 아래에 정의된 문이 포함되어야 합니다:

   • S3 버킷이 AWS KMS를 사용하는 서버 측 암호화로 구성되어 있다면, Panther API에 해당 KMS 키에 대한 액세스를 부여하는 추가 문을 포함해야 합니다. 이 경우 정책은 다음과 비슷합니다:

3. Panther의 "Setting up role manually" 페이지에서 Role ARN을 입력하세요.

   • 이는 AWS 계정의 CloudFormation 스택 "Outputs" 탭에서 찾을 수 있습니다.

4. 클릭합니다 설정 완료, 그러면 새 Employee Directory 테이블이 표시된 Enrichments 목록 페이지로 이동합니다.

PAT를 통해 S3 버킷에서 custom enrichment 데이터를 동기화하기

파일 및 폴더 설정

custom enrichment에는 다음 파일이 필요합니다:

• enrichment 테이블용 YAML 구성 파일

  • 이 custom enrichment 구성 파일은 다음을 포함하는 이름의 폴더에 저장해야 합니다: lookup_tables. 이는 최상위 lookup_tables 디렉터리이거나 이름이 일치하는 하위 디렉터리일 수 있습니다 *lookup_tables*. 다음을 참조로 사용할 수 있습니다: panther-analysis 저장소를 참조로 사용할 수 있습니다.

• 테이블에 데이터를 로드할 때 사용할 스키마를 정의하는 YAML 파일

  • 이 데이터 스키마 파일은 다음 외부의 디렉터리에 저장해야 합니다: lookup_tables 디렉터리(예: /schemas panther analysis 저장소의 루트에). 다른 custom log schema와 함께 저장할 수도 있습니다.

• 테이블에 로드할 데이터를 포함한 JSON 또는 CSV 파일(선택 사항, 자세한 내용은 계속 읽어보세요).

스키마와 구성 파일 작성하기

테이블 구성에서 일부 값을 참조하므로, 일반적으로 먼저 데이터 스키마를 작성하는 것이 좋습니다.

1. YAML 데이터 스키마 파일을 만드세요. 이 스키마는 테이블에 데이터를 업로드할 때 사용할 파일을 읽는 방법을 정의합니다. 데이터에 CSV 파일을 사용하는 경우, 스키마는 CSV를 파싱할 수 있어야 합니다.

   • 테이블 스키마는 log schema와 동일한 형식입니다. 스키마 작성에 대한 자세한 내용은 다음 문서를 참조하세요: 로그 스키마 관리.

2. 테이블 구성을 위한 YAML 파일을 만드세요. S3의 파일에 저장된 데이터를 사용하는 custom enrichment의 예시 구성은 다음과 같습니다:

   • 다음을 참고하세요: Refresh 필드에는 RoleARN, ObjectPath, 및 PeriodMinutes 필드.

   • 필요한 값과 허용되는 값의 전체 목록은 다음에서 확인하세요: Custom Enrichment Specification Reference.

3. 저장소 루트에서 다음을 실행하여 스키마 파일을 업로드하세요: panther_analysis_tool update-custom-schemas --path ./schemas.

4. 저장소 루트에서 다음을 사용하여 custom enrichment를 업로드하세요: panther_analysis_tool upload.

사전 요구 사항

custom enrichment를 S3와 동기화하도록 구성하기 전에 다음을 준비해야 합니다:

1. Panther가 S3 버킷에 액세스하는 데 사용할 수 있는 AWS IAM 역할의 ARN입니다. Panther용 IAM 역할 설정에 대한 자세한 내용은 다음 섹션을 참조하세요: IAM 역할 만들기.

2. 데이터를 저장할 파일 경로입니다. 경로는 다음 형식이어야 합니다: s3://bucket-name/path_to_file/file.csv

Panther Console을 통해 GCS 버킷에서 custom enrichment 데이터를 동기화하기

GCS 동기화 enrichment 설정은 간소화된 4단계 마법사를 사용합니다: 기본 정보 → GCS에 연결 → 스키마 → 확인.

1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭하세요. 보강.

2. 오른쪽 상단에서 다음을 클릭하세요: 새로 만들기.

3. enrichment 온보딩 페이지에서 Google Cloud Storage에서 데이터 동기화 타일.

4. 다음 페이지에서 기본 정보 페이지에서 다음 필드를 입력하세요:

   • 보강 이름: 커스텀 enrichment의 설명적 이름.

   • 설명 - 선택 사항: 테이블에 대한 추가 컨텍스트.

   • 참조 - 선택 사항: 일반적으로 내부 리소스로 연결되는 하이퍼링크에 사용됩니다.

5. 클릭합니다 설정.

6. 다음 페이지에서 GCS에 연결 페이지에서 Google Cloud Storage 소스와 ID 설정을 한 단계로 구성하세요:

   Source Details:

   • 다음을 입력합니다 Google Cloud Storage URI, 특정 객체를 식별하는 고유한 경로입니다(예: gs://my-bucket/path/to/file.json).

   ID 설정:

   • 기본적으로 Terraform Template File 카드가 표시됩니다. 다음을 클릭하세요: 계속 카드에서 Terraform 기반 설정을 사용하세요.

   • 대신 Workload Identity Federation을 수동으로 구성하려면 다음을 클릭하세요: 모든 것을 직접 설정하고 싶습니다 카드 아래의 링크를 클릭하세요.

   • 방법을 선택하면 안내에 따라 JSON 자격 증명 구성 파일을 업로드하세요.

   • 데이터는 반드시 다음 형식이어야 합니다: .csv 또는 .json 형식이어야 합니다.

7. 클릭합니다 계속.

8. 다음 페이지에서 스키마 페이지에서 Table Schema를 구성하세요: &#xNAN;참고: 아직 새 스키마를 만들지 않았다면 다음을 참조하세요: 스키마 생성 문서. 스키마를 만든 후에는 custom enrichment를 구성할 때 Schema 페이지의 드롭다운에서 이를 선택할 수 있습니다.

   1. 다음을 선택하세요 스키마 이름 드롭다운에서.

   2. 다음을 선택하세요 기본 키 이름 드롭다운에서. 이는 테이블의 고유한 열이어야 하며, 예를 들어 accountID.

9. 클릭합니다 계속.

10. 다음 페이지에서 확인 페이지에서 선택적으로 전환하세요 이 custom enrichment가 데이터를 받지 못하는 경우 알러트를 설정하시겠습니까? 에서 예 알러트를 사용하도록 설정하려면

    • 다음 숫자 및 주기 필드에서 Panther가 이 알림을 얼마나 자주 보내야 하는지 지정합니다.

    • 이 알러트의 대상 위치는 페이지 하단에 표시됩니다. 알림이 전송되는 위치를 구성하고 사용자 지정하려면 다음 문서를 참조하세요: Panther Destinations.

    

11. 클릭합니다 설정 완료.

ID 설정 옵션

다음의 일부로 GCS에 연결 마법사의 단계에서 다음을 사용하여 두 가지 ID 설정 방법 중에서 선택할 수 있습니다: Workload Identity Federation:

• Terraform Template File (기본 카드): 제공된 Terraform 템플릿을 사용하여 설정합니다. 다음을 클릭하세요: 계속 카드에서 계속 진행합니다.

• Manual setup: 다음을 클릭하세요 모든 것을 직접 설정하고 싶습니다 GCP 콘솔에서 Workload Identity Federation을 수동으로 구성하려면 카드 아래의 링크를 클릭하세요.

Terraform 템플릿 파일을 사용하여 Workload Identity Federation 설정

1. 다음 페이지에서 GCS에 연결 페이지에서 ID 설정 섹션에서, 계속 에서 Terraform Template File 카드.

2. 클릭합니다 Terraform template, 이를 통해 자체 파이프라인으로 적용할 템플릿을 다운로드합니다.

3. 다음의 필드를 채웁니다. panther.tfvars 파일에 구성 내용을 입력합니다.

   • 다음에 대한 값을 제공하세요. panther_workload_identity_pool_id, panther_workload_identity_pool_provider_id, 및 panther_aws_account_id.

   • 파일의 지침에 따라 나머지 리소스와 함께 버킷을 만들지, 아니면 이미 버킷이 있는지 확인하세요.

4. Terraform 구성 파일이 포함된 작업 디렉터리를 초기화하고 다음을 실행합니다 terraform init.

5. 해당하는 Terraform 명령어를 복사하고 제공된 명령을 CLI에서 실행합니다.

6. 다음을 복사하여 풀용 자격 증명 구성 파일을 생성합니다. gcloud 명령어 를 제공된 대로 사용하되, 프로젝트 번호, 풀 ID, 공급자 ID의 값을 바꿔 CLI에서 실행합니다.

   • 프로젝트 번호, 풀 ID, 공급자 ID는 다음의 출력에서 찾을 수 있습니다. Terraform 명령어를 복사하고.

7. 다음에서 자격 증명 구성 파일을 업로드하세요: ID 설정 섹션.

8. 다음을 클릭하여 마법사를 계속 진행하세요: 계속.

GCP 콘솔에서 Workload Identity Federation 수동 설정

다음을 선택하면 모든 것을 직접 설정하고 싶습니다 에서 옵션을 선택하면 ID 설정 섹션에서 Workload Identity Federation을 수동으로 구성할 수 있습니다:

1. Google Cloud 콘솔에서 Panther가 로그를 가져올 버킷을 확인합니다.

   • 아직 버킷을 만들지 않았다면 다음을 참조하세요. 버킷 생성에 대한 Google의 문서.

1. IAM API 사용 설정.

2. 다음을 따라 AWS와 함께 Workload Identity Federation을 구성합니다. AWS 또는 Azure와 함께 Workload Identity Federation 구성 문서.

   1. 다음을 속성 매핑 및 조건을 정의하는 동안, 다음 예제를 참고하세요:

      • 예시 속성 매핑:

        Google

        AWS

        google.subject

        assertion.arn.extract('arn:aws:sts::{account_id}:')+":"+assertion.arn.extract('assumed-role/{role_and_session}').extract('/{session}')

        attribute.account

        assertion.account

      • 예시 속성 조건: attribute.account=="<PANTHER_AWS_ACCOUNT_ID>"

   2. 당신이 신원 풀에 공급자를 추가할 때, 선택 AWS.

1. 계정에 필요한 IAM 역할을 할당합니다.

• 다음 권한은 Pub/Sub 구독 및 주제가 있는 프로젝트에 필요합니다.

  필요한 권한

  역할

  범위

  storage.objects.get

  storage.objects.list

  roles/storage.objectViewer

  bucket-name

  • 참고: 특정 리소스의 권한에 조건이나 IAM 정책을 설정할 수 있습니다. 이는 GCP의 IAM 섹션(아래 예시 스크린샷 참조) 또는 특정 리소스의 페이지에서 할 수 있습니다.

  • 참고: 다음을 사용하여 권한을 만들 수 있습니다. gcloud CLI 도구에서 $PRINCIPAL_ID 는 다음과 같을 수 있습니다: principalSet://iam.googleapis.com/projects/<THE_ACTUAL_GOOGLE_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<THE_ACTUAL_POOL_ID>/attribute.account/<THE_ACTUAL_PANTHER_AWS_ACCOUNT_ID>

    • gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/storage.objectViewer"

1. 자격 증명 구성 파일 다운로드는 Panther에서 GCP 인프라에 인증할 때 사용됩니다.

• gcloud CLI 도구를 사용하여 자격 증명 구성 파일을 생성하려면 다음 명령 형식을 사용합니다: gcloud iam workload-identity-pools create-cred-config projects/$PROJECT_NUMBER/locations/global/workloadIdentityPools/$POOL_ID/providers/$PROVIDER_ID --aws --output-file=config.json

1. 다음으로 돌아갑니다 GCS에 연결 Panther Console의 단계에서 다음에서 자격 증명 구성 파일을 업로드하세요: ID 설정 섹션을 사용한 다음 마법사를 계속 진행하세요.

PAT를 통해 GCS 버킷에서 custom enrichment 데이터를 동기화하기

파일 및 폴더 설정

custom enrichment에는 다음 파일이 필요합니다:

• enrichment 테이블용 YAML 구성 파일

  • 이 custom enrichment 구성 파일은 다음을 포함하는 이름의 폴더에 저장해야 합니다: lookup_tables. 이는 최상위 lookup_tables 디렉터리이거나 이름이 일치하는 하위 디렉터리일 수 있습니다 *lookup_tables*. 다음을 참조로 사용할 수 있습니다: panther-analysis 저장소를 참조로 사용할 수 있습니다.

• 테이블에 데이터를 로드할 때 사용할 스키마를 정의하는 YAML 파일

  • 이 데이터 스키마 파일은 다음 외부의 디렉터리에 저장해야 합니다: lookup_tables 디렉터리. 다른 custom log schema와 함께 저장할 수도 있습니다. 예: /schemas panther-analysis 저장소 루트의 디렉터리.

• 테이블에 로드할 데이터를 포함한 JSON 또는 CSV 파일(선택 사항, 자세한 내용은 계속 읽어보세요).

스키마와 구성 파일 작성하기

테이블 구성에서 일부 값을 참조하므로, 일반적으로 먼저 데이터 스키마를 작성하는 것이 좋습니다.

1. YAML 데이터 스키마 파일을 만드세요. 이 스키마는 테이블에 데이터를 업로드할 때 사용할 파일을 읽는 방법을 정의합니다. 데이터에 CSV 파일을 사용하는 경우, 스키마는 CSV를 파싱할 수 있어야 합니다.

   • 테이블 스키마는 log schema와 동일한 형식입니다. 스키마 작성에 대한 자세한 내용은 다음 문서를 참조하세요: 로그 스키마 관리.

2. 테이블 구성을 위한 YAML 파일을 만드세요. GCS의 파일에 저장된 데이터를 사용하는 custom enrichment의 경우 아래 예시 파일을 참조하세요.

   • 다음을 참고하세요: Refresh 필드에는 GCSCredentials, StorageProvider, ObjectPath, 및 PeriodMinutes 필드.

   • 필요한 값과 허용되는 값의 전체 목록은 다음에서 확인하세요: Custom Enrichment Specification Reference.

3. 저장소 루트에서 다음을 실행하여 스키마 파일을 업로드하세요: panther_analysis_tool update-custom-schemas --path ./schemas.

4. 저장소 루트에서 다음을 사용하여 custom enrichment를 업로드하세요: panther_analysis_tool upload.

사전 요구 사항

custom enrichment를 GGS 버킷과 동기화하도록 구성하기 전에 다음을 준비해야 합니다:

• Panther가 Google Cloud Storage 객체에 액세스하는 데 사용할 수 있는 workload identity pool용 JSON 자격 증명 구성입니다. Panther용 Workload Identity Federation 설정에 대한 자세한 내용은 다음을 참조하세요: ID 설정하기 다음의 섹션 Panther Console 위의 지침.

• 데이터를 저장할 파일 경로입니다. 경로는 다음 형식이어야 합니다: gs://bucket-name/path_to_file/file.csv