Ctrlk
Knowledge BaseRelease NotesRequest Demo
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Open Threat Exchange(OTX)

유입되는 이벤트를 OTX 컨텍스트로 보강하세요

개요

오픈 위협 교환(OTX) AlienVault의 커뮤니티 주도 위협 인텔리전스 플랫폼으로, 기여자들이 협력하여 새롭게 등장하는 위협을 식별합니다.

다음 방법을 알아보세요 저장된 보강 데이터를 여기에서 확인하는 방법, 그리고 어떻게 여기에서 엔리치먼트 데이터가 포함된 로그 이벤트를 확인하세요.

Panther에서 OTX 엔리치먼트를 사용하려면 OTX API 키가 필요합니다.

Panther에서 OTX 엔리치먼트가 작동하는 방식

기본적으로 OTX는 Panther 환경의 모든 로그 소스에 대해 실행되도록 구성됩니다(필요한 경우 로그 유형별로 비활성화할 수도 있습니다). Panther는 모든 로그 유형에 걸쳐 들어오는 각 로그 이벤트를 디택션 엔진을 통과하기 전에 OTX의 Panther 관리 엔리치먼트와 일치시키려고 시도합니다.

Panther가 일치를 식별하면 들어오는 이벤트와 OTX 항목이 일치하면, OTX 데이터는 최상위 수준의 p_enrichment 키 아래에 일치하는 로그 이벤트에 추가됩니다. 이후 디택션 로직과 검색에서 참조할 수 있습니다.

엔리치먼트 소스를 사용한 디택션 작성에 대한 자세한 내용은 다음을 참조하세요. 사용자 지정 엔리치먼트 데이터를 사용한 디택션 작성.

로그 이벤트와 OTX가 일치하는 방식

로그 이벤트는 OTX의 Panther 관리 엔리치먼트 데이터로 보강됩니다( p_enrichment) 다음 항목 간에 일치가 발견되면 엔리치됩니다:

  • 연결된 각 로그 유형에 대해 구성된 Selector 필드의 값 중 하나라도.

  • 다음의 값은 지표 Panther의 OTX 테이블 항목의 키입니다.

    • 지표 OTX 테이블의 기본 키이며 지표 값(IP 주소, 도메인, 파일 해시 등)을 포함합니다.

    • 다음 예시를 보세요. 지표 에서 OTX 테이블 항목 예시 아래를 참조하세요.

OTX 엔리치먼트 설정

1단계: OTX API 키 가져오기

  1. 귀하의 OTX 계정.

  2. 오른쪽 상단 모서리에서 사용자 이름을 클릭한 다음 설정.

  3. 다음에서 OTX 키 섹션에서, Panther에서 데이터를 가져오는 데 사용할 API 키를 복사합니다.

    • 나중에 API 키를 교체하거나 다시 생성하는 경우 Panther의 구성을 업데이트해야 합니다.

2단계: Panther에서 OTX 엔리치먼트 만들기

Panther에서 OTX 엔리치먼트를 구성하려면:

  1. Panther Console의 왼쪽 탐색 모음에서 보강.

  2. 오른쪽 상단에서 다음을 클릭하세요: 새로 만들기.

  3. 클릭합니다 오픈 위협 교환.

  4. 다음 OTX 엔리치먼트 설정 양식에서 다음 필드의 값을 입력하세요:

    • 이름: 통합에 대한 설명적인 이름을 입력하세요.

    • API 토큰: 1단계에서 가져온 API 토큰을 입력합니다.

    • 새로 고침 주기(분): Panther가 OTX 데이터를 새로 고치는 빈도를 구성합니다. 기본 새로 고침 주기는 360분입니다.

    • 최대 경과 시간(일): 조회 테이블에 포함할 pulse의 최대 경과 일수를 구성합니다. 기본값은 365일입니다.

  5. 클릭합니다 설정.

    • 새 OTX 구성은 다음에 표시됩니다 보강 페이지.

새 OTX 엔리치먼트는 약 10분 동안 항목이 0개인 정상 상태로 표시됩니다. 이 시간 동안 첫 데이터 가져오기가 수행됩니다.

로그 유형에 대한 OTX 엔리치먼트 활성화, 비활성화 또는 수정

OTX 엔리치먼트는 Panther 인스턴스의 각 로그 유형에 기본적으로 활성화되어 있습니다.

특정 로그 유형에 대해 OTX 엔리치먼트를 비활성화(또는 나중에 활성화)하거나 로그 유형의 선택기를 변경하려면:

  1. Panther Console의 왼쪽 탐색 표시줄에서 다음을 클릭하세요. 보강.

  2. 엔리치먼트 목록에서 수정하려는 OTX 소스를 찾아 이름을 클릭합니다.

  3. 제공자 세부 정보 페이지에서, 오른쪽의 엔리치된 로그 유형 헤더 편집.

    • 이 엔리치먼트를 새 로그 유형에 활성화하려면 로그 유형 추가.

      • 생성된 새 행에서 로그 유형 를 선택하고, Selectors 필드에는 최소 하나의 이벤트 필드를 추가하세요.

    • 이 엔리치먼트를 로그 유형에서 비활성화하려면, 해당 로그 유형의 행을 찾아 휴지통 아이콘을 클릭하세요.

    • 로그 유형의 Selectors를 변경하려면, 다음 Selectors 필드에서 이벤트 필드 선택 항목을 추가하거나 제거하세요.

  4. 오른쪽 상단 모서리에서 엔리치된 로그 유형 타일을 클릭하세요: 저장.

OTX 엔리치먼트 테이블 항목 예시

아래는 Panther에 의해 정규화된 OTX pulse 응답의 예입니다. 각 지표 pulse의 항목은 자체 행을 생성합니다.

OTX 데이터 구조

펄스

OTX 펄스는 특정 위협 또는 캠페인과 관련된 위협 인텔리전스 지표를 나타냅니다. Panther에서 펄스의 각 지표는 펄스 메타데이터와 결합되어 엔리치먼트의 자체 행이 됩니다. 각 행에는 다음 속성이 포함됩니다:

펄스 메타데이터(같은 펄스의 모든 지표와 공유됨):

  • id: 펄스의 고유 식별자

  • name: 펄스의 이름/제목

  • description: 펄스에 포함된 위협 인텔리전스에 대한 설명

  • created: 펄스가 처음 생성된 시점을 나타내는 타임스탬프

  • modified: 펄스가 마지막으로 수정된 시점을 나타내는 선택적 타임스탬프

  • tags: 펄스에 적용된 분류 태그

  • industries: 이 펄스의 위협이 영향을 미치는 대상 산업

  • malware_families: 위협과 관련된 악성코드 계열

  • references: 위협 인텔리전스와 관련된 외부 참조, URL 또는 인용

  • attack_ids: 위협에 매핑된 MITRE ATT&CK 기법 ID

  • tlp: 정보 공유를 위한 Traffic Light Protocol (TLP) 분류

  • adversary: 펄스와 관련된 위협 행위자 또는 적대적 그룹

  • target_countries: 이 펄스의 위협이 표적으로 삼은 국가

지표별 필드(행마다 고유):

  • 지표: 지표 값(IP 주소, 도메인 이름, 파일 해시, URL 등)이며, 기본 키입니다

  • indicator_type: 지표 유형(예: 'IPv4', 'domain', 'hostname', 'email', 'URL', 'FileHash-MD5', 'FileHash-SHA256')

  • indicator_created: 지표가 생성된 타임스탬프

  • indicator_expiration: 지표가 만료되거나 무효화되는 시점을 나타내는 타임스탬프(선택 사항)

완전한 OTX.Pulses 아래 스키마를 참조하세요.

OTX.Pulses 스키마

다음은 Panther 관리형 OTX.Pulses 스키마이며, Pulses가 Panther에 저장되는 방식을 나타냅니다. pulse의 각 지표는 포함된 pulse 메타데이터와 함께 자체 행이 됩니다.

이전Okta 프로필다음Snowflake 보강(베타)

마지막 업데이트

도움이 되었나요?