MISP 경고 목록(베타)

MISP 경고 목록의 인디케이터 컨텍스트로 들어오는 이벤트 보강하기

개요

MISP 경고 목록 보강은 Panther 버전 1.115부터 오픈 베타 상태이며 모든 고객이 사용할 수 있습니다. 버그 보고 및 기능 요청은 Panther 지원팀과 공유해 주세요.

Malware Information Sharing Platform(MISP) 경고 목록을 Panther에서 보강(enrichment) 소스로 사용할 수 있습니다. MISP 경고 목록은 잠재적 오탐지 또는 위협 인텔리전스 오류와 관련될 수 있는 알려진 비악성 지표들의 모음입니다. 이러한 컨텍스트는 침해 지표(IOC)의 관련성과 유효성을 평가하는 데 도움을 줄 수 있습니다.

설정은 misp-warninglists GitHub의 리포지토리 에는 이러한 목록의 포괄적인 모음이 포함되어 있습니다.

다음 방법을 알아보세요 여기에 저장된 보강 데이터를 보는 방법, 및 방법 여기에서 보강 데이터가 포함된 로그 이벤트 보기.

MISP 보강 작동 방식

MISP 경고 목록 보강이 활성화되면:

1. 수신 로그에 p_any_ip_addresses 필드가 있는 경우, 그 안의 각 값은 "type": "cidr".

2. 필드에 있는 IP 주소가 p_any_ip_addresses 어떤 cidr MISP 경고 목록에 나타나면, misp_warning_lists 객체가 로그의 p_enrichment 객체에 추가됩니다.

   • 아래에서 MISP 경고 목록 데이터로 보강된 이벤트의 예를 참조하세요.

MISP 경고 목록 보강 설정

콘솔

Panther 콘솔에서 MISP 경고 목록 보강을 설정하는 방법

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭하세요 탐지.

2. 다음 항목을 클릭하십시오 Packs 탭을 클릭하십시오.

3. "MISP"를 검색하고, MISP Warning Lists Lookup Tables 타일에서 활성화됨 토글 켜기.

4. 팝업 확인 모달에서 계속.

5. 보강이 활성화되었는지 확인하려면 왼쪽 사이드바 메뉴에서 구성 > Enrichments를 클릭하세요.

   • 이 페이지에서 모든 보강 소스와 각 소스의 활성화/비활성화 상태 및 소스 데이터가 마지막으로 새로 고쳐진 시점을 확인할 수 있습니다.

CLI

MISP 경고 목록 데이터로 보강된 예제 이벤트

아래는 MISP 데이터로 보강된 Snowflake.LoginHistory 로그입니다. 해당 misp_warning_lists 객체는 p_enrichment 에서 발견된 IP 주소에 대한 추가 정보를 포함합니다. p_any_ip_adresses 필드에 붙여넣으세요.

{
    "p_enrichment": {
	"misp_warning_lists": {
	    "p_any_ip_addresses": [
		{
		    "cidr": "35.160.0.0/12",
		    "p_match": "35.166.231.222",
		    "warning_lists": [
			{
			    "description": "Amazon AWS IP 주소 범위 (https://ip-ranges.amazonaws.com/ip-ranges.json)",
			    "id": "amazon-aws",
			    "name": "알려진 Amazon AWS IP 주소 범위 목록",
			    "version": 20250719
			}
		    ]
		}
	     ]
        }
    },
    "CLIENT_IP": "35.166.231.222",
    "EVENT_ID": "1829252345804554",
    "EVENT_TIMESTAMP": "2025-09-08 10:42:59.934000000",
    "EVENT_TYPE": "LOGIN",
    "FIRST_AUTHENTICATION_FACTOR": "PASSWORD",
    "IS_SUCCESS": "YES",
    "RELATED_EVENT_ID": "0",
    "REPORTED_CLIENT_TYPE": "GO_DRIVER",
    "REPORTED_CLIENT_VERSION": "1.13.2",
    "USER_NAME": "SOME_USER"
}