# 엔리치먼트 후 로그 이벤트 1
{
"actor_email": "janedoeemailone@mail.com",
"action": "LOGIN",
"p_enrichment": {
"<lookup_table_name>": {
"actor_email": {
"full_name": "Jane Doe",
"p_match": "janedoeemailone@mail.com",
"role": "ADMIN"
}
}
}
}
# 엔리치먼트 후 로그 이벤트 2
{
"actor_email": "janedoeemailtwo@mail.com",
"action": "EXPORT_FILE",
"p_enrichment": {
"<lookup_table_name>": {
"actor_email": {
"full_name": "Jane Doe",
"p_match": "janedoeemailtwo@mail.com",
"role": "ADMIN"
}
}
}
}
이 단계는 기술적으로 선택 사항이지만(즉, 로그 유형/Selector를 지정하지 않고 이 페이지를 건너뛸 수 있음), 로그가 엔리치되려면 이러한 지정이 필요합니다. auto-mapping 은 지원되지 않기 때문입니다.
%20(13).png?alt=media)
4. 클릭 **Continue**.
5. 다음에서 **Associated Log Types (Optional)** 페이지에서 필요하다면 로그 유형/Selector를 선택적으로 지정하세요:
* 클릭 **Add Log Type**.
* 다음을 클릭하세요 **Log Type** 드롭다운을 선택한 다음 로그 유형을 선택하세요.
* 하나 이상의 **Selectors**를 선택하세요. 이는 커스텀 엔리치먼트로 엔리치할 로그 유형의 외래 키 필드입니다.
* 또한 다음을 사용하여 중첩 객체의 속성을 참조할 수 있습니다 [JSON path 구문](https://goessner.net/articles/JsonPath/). 예를 들어, 맵의 필드를 참조하려면 다음을 입력할 수 있습니다 `$.field.subfield`.
* 클릭 **Add Log Type** 필요하면 하나를 더 추가하세요.\
\
위의 예시 화면에서는 다음을 선택했습니다 **AWS.CloudTrail** 로그와 다음을 입력했습니다 `accountID` 및 `recipientAccountID` 를 사용하여 CloudTrail 로그의 키를 나타냈습니다.
6. 클릭 **Continue**.
7. 다음에서 **Table Schema** 페이지에서 Table Schema를 구성하세요:\
\&#xNAN;*참고: 아직 새 스키마를 생성하지 않았다면 다음을 참조하세요* [*스키마 생성에 대한 문서*](https://docs.runpanther.io/data-onboarding/custom-log-types/example-csv)*. 또한 커스텀 엔리치먼트 데이터를 사용하여 스키마를 추론할 수도 있습니다. 스키마를 생성한 후에는 Enrichment를 구성하는 동안 Table Schema 페이지의 드롭다운에서 선택할 수 있습니다.*\
\&#xNAN;*참고: CSV 스키마는 커스텀 엔리치먼트와 함께 작동하려면 열 헤더가 필요합니다*.
* 다음을 선택하세요 **Schema Name** 드롭다운에서.
* 다음을 선택하세요 **Primary Key Name** 드롭다운에서. 이는 다음과 같은 테이블의 고유한 열이어야 합니다 `accountID`.\
8. 클릭 **Continue**.
9. 다음에서 **Choose Import Method** 페이지의 **Import via File Upload** 타일에서 다음을 클릭하세요 **Set Up**.
10. 다음에서 **Upload File** 페이지에서 파일을 드래그 앤 드롭하거나 다음을 클릭하세요 **Select file** 를 눌러 가져올 엔리치먼트 데이터 파일을 선택하세요. 파일은 다음 형식이어야 합니다 `.csv` 또는 `.json` 형식.
11. 클릭 **설정 완료**. 소스 설정 성공 페이지가 표시됩니다.
12. 선택적으로, 다음 옆에 ***S*****이 커스텀 엔리치먼트가 데이터를 받지 못하면 알람을 설정하시겠습니까?**설정을 다음으로 토글하세요 **YES** 알람을 활성화하세요.
* 다음을 입력하세요 **Number** 및 **Period** 필드에 Panther가 이 알림을 보내는 빈도를 지정하세요.
* 이 알람의 알러트 대상은 페이지 하단에 표시됩니다. 알림이 전송되는 위치를 구성하고 사용자 지정하려면 다음 문서를 참조하세요 [Panther Destinations](https://docs.panther.com/ko/alerts/destinations).
{% hint style="info" %}
커스텀 엔리치먼트 업로드 실패에 대해 생성된 알림은 Panther Console의 **System Errors** 탭 내 **Alerts & Errors** 페이지에서 확인할 수 있습니다.
{% endhint %}
**AWS Console UI를 사용하여 IAM 역할 생성**
1. S3 소스를 사용하는 사용자 지정 enrichment 생성 과정의 "Set Up an IAM role" 페이지에서 "Using the AWS Console UI"라고 표시된 타일을 찾습니다. 타일 오른쪽에서 다음을 클릭하세요. **Select**.
2. 클릭 **Launch Console UI**.\
* 템플릿 URL이 미리 채워진 상태로 새 브라우저 탭에서 AWS 콘솔로 리디렉션됩니다.
* CloudFormation 스택은 S3 버킷에서 객체를 읽는 데 필요한 최소 권한을 가진 AWS IAM 역할을 생성합니다.
* AWS의 CloudFormation 스택에서 "Outputs" 탭을 클릭하고 Role ARN을 기록합니다.
3. Panther 계정으로 돌아갑니다.
4. "Use AWS UI to set up your role" 페이지에서 Role ARN을 입력합니다.
5. 클릭 **설정 완료**.
**CloudFormation 템플릿 파일을 사용하여 IAM 역할 생성**
1. S3 소스를 사용하는 사용자 지정 enrichment 생성 과정의 "Set Up an IAM role" 페이지에서 "CloudFormation Template File"이라고 표시된 타일을 찾습니다. 타일 오른쪽에서 다음을 클릭하세요. **Select**.
2. 클릭 **CloudFormation template**, 그러면 자체 파이프라인을 통해 적용할 수 있도록 템플릿이 다운로드됩니다.
3. AWS에서 템플릿 파일을 업로드하세요:
1. AWS 콘솔을 열고 CloudFormation 제품으로 이동합니다.
2. 클릭 **Create stack**.
3. 클릭 **Upload a template file** 를 선택하고 다운로드한 CloudFormation 템플릿을 선택합니다.
4. Panther의 "CloudFormation Template" 페이지에서 Role ARN을 입력합니다.
5. 클릭 **설정 완료**.
**수동으로 IAM 역할 생성**
1. S3 소스를 사용하는 사용자 지정 enrichment 생성 과정의 "Set Up an IAM role" 페이지에서 다음과 같은 링크를 클릭하세요. **I want to set everything up on my own**.
2. 필요한 IAM 역할을 생성합니다. 필요한 IAM 역할은 수동으로 또는 자체 자동화를 통해 만들 수 있습니다. 역할 이름은 다음 형식을 사용해야 합니다. `PantherLUTsRole-${Suffix}`(예: `PantherLUTsRole-MyLookupTable`).
* IAM 역할 정책에는 아래에 정의된 문이 포함되어야 합니다:
```
"Version": "2012-10-17",
"Statement": [
{
"Action": "s3:GetBucketLocation",
"Resource": "arn:aws:s3:::| AWS | |
|---|---|
google.subject | assertion.arn.extract('arn:aws:sts::{account_id}:')+":"+assertion.arn.extract('assumed-role/{role_and_session}').extract('/{session}') |
attribute.account | assertion.account |
| 필요한 권한 | 역할 | 조건 |
|---|---|---|
| 필수 권한 | 역할 | 범위 |
| roles/storage.objectViewer | bucket-name |