로그 소스 관리

Panther API 로그 소스 관리 작업

개요

Panther API는 다음 로그 소스 작업을 지원합니다:

• 로그 소스 통합 목록 보기

• 특정 로그 소스 통합의 세부 정보 가져오기

• 로그 소스 통합 삭제

• (S3 소스에만 해당) 새 로그 소스 통합 만들기

• (S3 소스에만 해당) 기존 로그 소스 통합 업데이트

다음 ListSources, GetSource, 그리고 DeleteSource 작업은 Panther의 모든 로그 소스에서 지원됩니다. 생성 및 업데이트 작업(CreateS3LogSource 및 UpdateS3LogSource)은 현재 S3 로그 소스에만 제한됩니다.

Console의 API Playground 또는 GraphQL-over-HTTP API를 사용하여 Panther의 API를 호출할 수 있습니다. 이러한 방법에 대해 자세히 알아보려면 Panther API.

필요한 API 토큰 권한

API 호출을 시작하기 전에 API 토큰에 필요한 권한이 부여되어 있는지 확인하세요:

• 로그 소스 보기: 모든 로그 소스 관리 작업에 필요합니다.

• 로그 소스 관리: 변경 작업인 로그 소스 관리 작업에 필요합니다(즉, CreateS3LogSource, UpdateS3LogSource, 그리고 DeleteSource).

• 사용자 정보 읽기: 다음과 같이 행위자와 관련된 통합 필드를 가져오려면 필요합니다. createdBy.

일반적인 로그 소스 작업

아래는 Panther에서 가장 일반적인 GraphQL 로그 소스 작업들 중 일부입니다. 이 예제들은 GraphQL 클라이언트(또는 curl)을 사용해 Panther의 GraphQL API를 호출할 때 전송해야 하는 문서를 보여줍니다.

로그 소스 목록 보기

현재 페이지네이션은 지원되지 않습니다. sources—모든 로그 소스는 결과의 첫 페이지에 반환됩니다. The cursor 필드의 입력 아래의 객체는 향후 페이지네이션이 지원될 때를 위한 자리 표시자입니다.

query ListSources {
  sources(input: { cursor: "" }) {
    edges {
      node {
        createdAtTime
        createdBy {
          ... on User {
            id
          }
          ... on APIToken {
            id
          }
        }
        integrationId
        integrationLabel
        integrationType
        isEditable
        isHealthy
        lastEventProcessedAtTime
        lastEventReceivedAtTime
        lastModified
        logTypes
      }
    }
    pageInfo {
      endCursor
      hasNextPage
      hasPreviousPage
      startCursor
    }
  }
}

로그 소스 가져오기

의 입력값은 소스 가져오려는 로그 소스의 ID입니다.

query GetSource {
  source(id: "bcd45662-bab7-4f99-b69f-083a0212568d") {
    createdAtTime
    createdBy {
      ... on User {
        id
      }
      ... on APIToken {
        id
      }
    }
    integrationId
    integrationLabel
    integrationType
    isEditable
    isHealthy
    lastEventProcessedAtTime
    lastEventReceivedAtTime
    lastModified
    logTypes
  }
}

로그 소스 삭제

의 입력값은 deleteSource 삭제하려는 로그 소스의 ID입니다.

mutation DeleteSource {
  deleteSource(input: { id: "bcd45662-bab7-4f99-b69f-083a0212568d" }) {
    id
  }
}

S3 로그 소스 만들기

S3 로그 소스를 만드는 것도 가능합니다 Terraform을 사용하여, 또는 Panther Console에서 수동으로.

Panther에서 처음 만드는 로그 소스는 반드시 Panther Console에서 해야 합니다. API를 사용해 첫 Panther 로그 소스를 설정하면, 다음에 자세히 설명된 "pending confirmation" 문제에 직면할 수 있습니다. 이 지식 베이스 문서를.

아래 예제 요청에서, 입력 는 S3 로그 소스를 완전히 나타내는 객체입니다. 표시된 모든 필드는 필수입니다.

의 값은 logProcessingRole IAM 역할의 ARN입니다. 이 역할을 생성할 때 다음 사항에 유의하세요 이 지침, 어떤 정책을 연결해야 하는지 설명합니다.

mutation CreateS3LogSource {
  createS3Source(
    input: {
      awsAccountId: "0123456789012"
      label: "My Log Source"
      logProcessingRole: "arn:aws:iam::0123456789012:role/PantherLogProcessingRole-somerole"
      logStreamType: JSON
      managedBucketNotifications: false
      s3Bucket: "name-of-my-bucket"
      s3PrefixLogTypes: [
        { excludedPrefixes: [], logTypes: ["AWS.ALB"], prefix: "" }
      ]
    }
  ) {
    logSource {
      createdAtTime
      integrationId
      integrationLabel
      integrationType
      isEditable
      isHealthy
      lastEventProcessedAtTime
      lastEventReceivedAtTime
      lastModified
      logTypes
    }
  }
}

S3 로그 소스 업데이트

아래 예제 요청에서, 입력 는 업데이트된 S3 로그 소스를 완전히 나타내는 객체입니다. 표시된 모든 필드는 필수이며, as updateS3Source 기존 로그 소스의 모든 필드를 대체합니다(특정 필드만 업데이트하는 것이 아니라).

mutation UpdateS3LogSource {
  updateS3Source(
    input: {
      id: "bcd45662-bab7-4f99-b69f-083a0212568d"
      label: "My Log Source2"
      kmsKey: ""
      logProcessingRole: "arn:aws:iam::0123456789012:role/PantherLogProcessingRole-somerole"
      logStreamType: JSON
      managedBucketNotifications: false
      s3PrefixLogTypes: [
        { excludedPrefixes: [], logTypes: ["AWS.ALB"], prefix: "" }
      ]
    }
  ) {
    logSource {
      createdAtTime
      integrationId
      integrationLabel
      integrationType
      isEditable
      isHealthy
      lastEventProcessedAtTime
      lastEventReceivedAtTime
      lastModified
      logTypes
    }
  }
}