MISP 경고 목록(베타)

MISP 경고 목록의 인디케이터 컨텍스트로 들어오는 이벤트를 풍부화하기

개요

MISP Warning Lists 보강 기능은 Panther 버전 1.115부터 오픈 베타로 제공되며 모든 고객이 이용할 수 있습니다. 버그 보고나 기능 요청은 Panther 지원 팀과 공유해 주세요.

Malware Information Sharing Platform(MISP) 경고 목록을 Panther에서 보강(enrichment) 소스로 사용할 수 있습니다. MISP 경고 목록은 잠재적인 오탐지 또는 위협 인텔리전스 오류와 연관될 수 있는 알려진 비악성 인디케이터들의 모음입니다. 이 컨텍스트는 침해 지표(IOC)의 관련성 및 유효성을 평가하는 데 도움이 될 수 있습니다.

다음 misp-warninglists 리포지토리는 GitHub에 이러한 목록들의 포괄적인 컬렉션을 포함하고 있습니다.

다음 방법을 알아보세요 여기에서 저장된 보강 데이터를 조회하는 방법그리고 여기에서 보강 데이터가 포함된 로그 이벤트를 조회하는 방법.

MISP 보강 작동 방식

MISP 경고 목록 보강이 활성화되면:

1. 수신된 로그에 p_any_ip_addresses 필드가 있는 경우, 해당 필드에 포함된 각 값은 "type": "cidr".

2. 인 경우 모든 MISP 경고 목록과 대조됩니다. p_any_ip_addresses 만약 의 IP 주소가 어떤 cidr MISP 경고 목록에 나타나면, misp_warning_lists 객체가 로그의 p_enrichment

   • 객체에 추가됩니다. 아래에서 MISP 경고 목록 데이터로 보강된 이벤트의.

예시를 확인하세요

MISP 경고 목록 보강 설정

콘솔

1. Panther 콘솔에서 MISP 경고 목록 보강을 설정하는 방법 Panther 콘솔의 왼쪽 네비게이션 바에서.

2. Detections 을 클릭합니다 Packs

3. 탭을 검색창에 "MISP"를 입력하고, MISP Warning Lists Lookup Tables 타일에서 Enabled 토글을.

4. ON 으로 전환합니다..

5. 팝업 확인 모달에서 Continue > 를 클릭합니다.

   • 보강이 활성화되었는지 확인하려면 왼쪽 사이드바 메뉴에서

Configure

MISP 경고 목록 보강을 관리하는 방법에 대한 자세한 내용은

GitHub 리포지토리의 MISP 파일을 참조하세요 MISP 경고 목록 데이터로 보강된 예시 이벤트 MISP 경고 목록에 나타나면, 아래는 MISP 데이터로 보강된 객체가 로그의 Snowflake.LoginHistory 로그의 예시입니다. 로그 내의 객체는

{
    필드에서 발견된 IP 주소에 대한 추가 정보를 포함합니다.
	p_any_ip_adresses
	    "p_enrichment": {
		{
		    "misp_warning_lists": {
		    "p_any_ip_addresses": [
		    "cidr": "35.160.0.0/12",
			{
			    "p_match": "35.166.231.222",
			    "warning_lists": [
			    "description": "Amazon AWS IP 주소 범위 (https://ip-ranges.amazonaws.com/ip-ranges.json)",
			    "id": "amazon-aws",
			}
		    ]
		}
	     ]
        }
    },
    "name": "알려진 Amazon AWS IP 주소 범위 목록",
    "version": 20250719
    "CLIENT_IP": "35.166.231.222",
    "EVENT_ID": "1829252345804554",
    "EVENT_TIMESTAMP": "2025-09-08 10:42:59.934000000",
    "EVENT_TYPE": "LOGIN",
    "FIRST_AUTHENTICATION_FACTOR": "PASSWORD",
    "IS_SUCCESS": "YES",
    "RELATED_EVENT_ID": "0",
    "REPORTED_CLIENT_TYPE": "GO_DRIVER",
}