Google Workspace 프로필

탐지 및 검색에 사용할 Google Workspace 사용자 데이터 가져오고 저장하기

개요

Panther에서 Google Workspace 로그 소스 통합을 구성하여 사용자 프로필을 Panther가 관리하는 Enrichments로 가져오도록 설정할 수 있습니다. 이를 통해 탐지 로직 및 검색 쿼리에서 프로필 데이터를 사용할 수 있습니다.

다음을 따라 Google Workspaces에서 사용자 프로필을 사용자 지정할 수 있습니다 해당 문서. 예를 들어 해당 사용자에게 예상되는 권한 수준과 같이 탐지 로직에서 유용한 사용자 지정 속성을 추가하는 것을 고려할 수 있습니다.

다음 방법을 알아보세요 여기에 저장된 보강 데이터를 보는 방법.

탐지 예시 사용 사례

탐지에 Google 사용자 프로필 데이터를 활용할 수 있습니다. 다음 예시 사용 사례를 참조하세요:

• 해고된 직원이 작업을 수행했을 때 감지합니다. 이는 오프보딩이 완료되지 않았음을 나타낼 수 있습니다.

• 탐지의 구성에서 이벤트 행위자의 직함에 따라 경보 심각도 수준을 조정합니다. 예를 들어 다음과 같이 사용할 수 있습니다 정보 심각도 수준이 시스템 관리자가 일부 작업을 수행한 경우이지만 HIGH 다른 역할을 가진 사용자가 수행한 경우.

Panther에서 Google Workspace 사용자 프로필 설정 방법

Panther에서 Google Workspace 로그 소스 통합을 처음 설정하는 동안 또는 이후에 소스를 편집하여 Google Workspace 사용자 프로필을 구성할 수 있습니다.

어느 흐름에서든 Google Workspace 프로필 가져오기 설정을 켠 다음 프로필 데이터를 새로고침할 빈도를 설정합니다.

Panther에서 Google Workspace 사용자 프로필을 활성화하려면 먼저(또는 동시에) Google Workspace를 로그 소스로 온보딩해야 합니다. Google Workspace 사용자 프로필 통합을 설정하는 것은 불가능합니다 없이 Panther에서 Google Workspace를 로그 소스로 온보딩하지 않고는.

Google Workspace 사용자 프로필을 위한 전제 조건

Google Workspace 사용자 프로필을 Panther로 가져오려면 다음 구성이 설정되어야 합니다:

• Google Workspace Cloud App에 다음 권한이 있어야 합니다 https://www.googleapis.com/auth/admin.directory.user.readonly 권한.

• Google Cloud App을 생성한 사용자는 사용자 읽기 권한을 보유해야 합니다.

Google Workspace 소스 설정 중 Panther에서 Google Workspace 프로필 구성

• 다음을 따르십시오 Panther에서 새 Google Workspace 소스를 생성하는 방법에 대한 이 지침다음 항목에 특히 주의하십시오 사용자 프로필 활성화 필드에 붙여넣으세요.

Google Workspace 소스 설정 후 Panther에서 Google Workspace 프로필 구성

Panther에서 이미 Google Workspace 로그 소스를 생성한 후 다음 중 하나의 방법으로 Google Workspace 프로필을 설정할 수 있습니다 함수로부터 반환되는 보강 공급자 탭 테이블 헤더 행 로그 소스 탭 콘솔에서.

콘솔: Enrichment Providers

Enrichment Providers 화면에서 Google Workspace 로그 소스 설정 후 Google Workspace 프로필 구성

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하십시오 구성 > Enrichment Providers.

2. 오른쪽 상단에서 클릭하십시오 새로 만들기.

3. 클릭 Google Workspace.

4. Panther에 이미 생성된 Google Workspace 로그 소스 목록이 표시되는 팝업 모달에서 프로필 데이터를 가져올 소스를 클릭합니다.

   • 아직 Google Workspace 로그 소스를 설정하지 않았다면 대신 다음을 따르세요 Panther에 Google Workspace 로그를 온보딩하는 방법 지침 단계를 완료했습니다.

5. 페이지에서 강화 페이지에서 오른쪽의 토글을 클릭합니다 사용자 프로필.

   • 또한 새로고침 주기(분)을(를) 설정합니다. 이는 Panther가 Google Workspace에 저장된 내용으로 프로필 데이터를 업데이트하는 주기를 나타냅니다.

6. 오른쪽 상단에서 클릭하십시오 저장(Save).

콘솔: 로그 소스

지원되는 프로필 유형

Panther는 Google Workspace에서 사용자 프로필을 가져오는 것을 지원합니다.

GSuite.DirectoryUsers

스키마: GSuite.DirectoryUsers
설명: Panther가 관리하는 Gsuite 사용자 프로필
참고 URL: https://developers.google.com/admin-sdk/directory/v1/guides/manage-users#get_all_users
필드:
    - 이름: match
      설명: 조회 테이블과 일치시킬 키
      type: array
      element:
        type: string
    - 이름: id
      설명: 이 사용자의 Gsuite 내부 id
      type: string
      지표:
        - actor_id
    - name: customerId
      설명: 이 사용자의 Gsuite 고객 id
      type: string
    - name: primaryEmail
      설명: 기본 이메일
      type: string
      지표:
        - 이메일
    - name: recoveryEmail
      설명: 복구 이메일
      type: string
      지표:
        - 이메일
    - 이름: name
      설명: 사용자 이름 정보
      유형: json
    - name: isAdmin
      설명: 관리자인 경우 True
      유형: boolean
    - name: isDelegatedAdmin
      설명: 위임된 관리자일 경우 True
      유형: boolean
    - name: lastLoginTime
      설명: 마지막 인증 시간
      type: timestamp
      timeFormats:
        - rfc3339
    - name: creationTime
      설명: 사용자 레코드 생성 시간
      type: timestamp
      timeFormats:
        - rfc3339
    - name: agreedToTerms
      설명: 약관에 동의한 경우 True
      유형: boolean
    - name: hashFunction
      설명: 사용할 해시 함수
      type: string
    - name: suspended
      설명: 정지된 경우 True
      유형: boolean
    - name: changePasswordAtNextLogin
      설명: 다음 로그인 시 비밀번호 변경으로 설정된 경우 True
      유형: boolean
    - name: ipWhitelisted
      설명: IP가 허용 목록에 있는 경우 True
      유형: boolean
    - name: orgUnitPath
      설명: 조직 경로
      type: string
    - name: isMailboxSetup
      설명: 메일박스가 설정된 경우 True
      유형: boolean
    - name: includeInGlobalAddressList
      설명: 전역 주소 목록에 포함된 경우 True
      유형: boolean
    - name: emails
      설명: 이메일 프로필
      type: array
      element:
        유형: json
    - name: externalIds
      설명: 외부 id
      type: array
      element:
        유형: json
    - name: aliases
      설명: 이메일 별칭
      type: array
      element:
        type: string
        지표:
            - 이메일
    - name: nonEditableAliases
      설명: 이메일 별칭
      type: array
      element:
        type: string
        지표:
            - 이메일