로그 소스 관리

Panther API 로그 소스 관리 작업

개요

Panther API는 다음 로그 소스 작업을 지원합니다:

• 로그 소스 통합 목록 조회

• 특정 로그 소스 통합의 세부 정보 가져오기

• 로그 소스 통합 삭제

• (S3 소스에만 해당) 새 로그 소스 통합 생성

• (S3 소스에만 해당) 기존 로그 소스 통합 업데이트

설정은 ListSources, GetSource및 DeleteSource 작업은 Panther의 모든 로그 소스에 대해 지원됩니다. 생성 및 업데이트 작업(CreateS3LogSource 와 UpdateS3LogSource)는 현재 S3 로그 소스로만 제한됩니다.

콘솔의 API 플레이그라운드 또는 GraphQL-over-HTTP API를 사용하여 Panther의 API를 호출할 수 있습니다. 이러한 방법에 대해 자세히 알아보려면 Panther API.

필수 API 토큰 권한

API 호출을 시작하기 전에 API 토큰에 필요한 권한이 연결되어 있는지 확인하세요:

• 로그 소스 보기: 모든 로그 소스 관리 작업에 필수입니다.

• 로그 소스 관리(Manage Log Sources): 변경(mutation)인 로그 소스 관리 작업에 필요합니다(예: CreateS3LogSource, UpdateS3LogSource및 DeleteSource).

• 사용자 정보 읽기: actor와 관련된 통합 필드를 검색하려는 경우 필요합니다. 예: createdBy.

일반적인 로그 소스 작업

아래는 Panther의 가장 일반적인 GraphQL 로그 소스 작업 예시들입니다. 이 예시는 GraphQL 클라이언트(또는 curl)을 사용하여 Panther의 GraphQL API에 호출을 하기 위해 전송해야 하는 문서를 보여줍니다.

로그 소스 나열

현재는 페이지네이션이 소스에서 지원되지 않습니다—모든 로그 소스가 결과의 첫 페이지에 반환됩니다. 커서 필드를 입력 객체는 아래처럼 페이지네이션이 향후에 지원될 때를 위한 자리표시자입니다.

query ListSources {
  sources(input: { cursor: "" }) {
    edges {
      node {
        createdAtTime
        createdBy {
          ... on User {
            id
          }
          ... on APIToken {
            id
          }
        }
        integrationId
        integrationLabel
        integrationType
        isEditable
        isHealthy
        lastEventProcessedAtTime
        lastEventReceivedAtTime
        lastModified
        logTypes
      }
    }
    pageInfo {
      endCursor
      hasNextPage
      hasPreviousPage
      startCursor
    }
  }
}

로그 소스 검색

에 대한 입력은 source 가져오려는 로그 소스의 ID입니다.

query GetSource {
  source(id: "bcd45662-bab7-4f99-b69f-083a0212568d") {
    createdAtTime
    createdBy {
      ... on User {
        id
      }
      ... on APIToken {
        id
      }
    }
    integrationId
    integrationLabel
    integrationType
    isEditable
    isHealthy
    lastEventProcessedAtTime
    lastEventReceivedAtTime
    lastModified
    logTypes
  }
}

로그 소스 삭제

에 대한 입력은 deleteSource 삭제하려는 로그 소스의 ID입니다.

mutation DeleteSource {
  deleteSource(input: { id: "bcd45662-bab7-4f99-b69f-083a0212568d" }) {
    id
  }
}

S3 로그 소스 생성

S3 로그 소스를 생성하는 것도 가능합니다 Terraform을 사용하여, 또는 Panther 콘솔에서 수동으로.

Panther에서 생성하는 첫 번째 로그 소스는 반드시 Panther 콘솔에서 수행해야 합니다. API를 사용해 첫 Panther 로그 소스를 설정하면 아래에 자세히 설명된 "확인 대기(pending confirmation)" 문제에 직면할 수 있습니다. 이 지식 기반 문서.

아래 예제 요청에서, 입력 는 S3 로그 소스를 완전히 나타내는 객체입니다. 표시된 모든 필드는 필수입니다.

를 포함하세요 logProcessingRole 는 IAM 역할의 ARN입니다. 이 역할을 생성할 때는 이 지침들을 참고하세요. 어떤 정책을 연결해야 하는지 설명합니다.

mutation CreateS3LogSource {
  createS3Source(
    input: {
      awsAccountId: "0123456789012"
      label: "내 로그 소스"
      logProcessingRole: "arn:aws:iam::0123456789012:role/PantherLogProcessingRole-somerole"
      logStreamType: JSON
      managedBucketNotifications: false
      s3Bucket: "name-of-my-bucket"
      s3PrefixLogTypes: [
        { excludedPrefixes: [], logTypes: ["AWS.ALB"], prefix: "" }
      ]
    }
  ) {
    logSource {
      createdAtTime
      integrationId
      integrationLabel
      integrationType
      isEditable
      isHealthy
      lastEventProcessedAtTime
      lastEventReceivedAtTime
      lastModified
      logTypes
    }
  }
}

S3 로그 소스 업데이트

아래 예제 요청에서, 입력 는 업데이트된 S3 로그 소스를 완전히 나타내는 객체입니다. 표시된 모든 필드는 필수입니다. 왜냐하면 updateS3Source 는 기존 로그 소스의 모든 필드를 대체(특정 필드만 업데이트하는 것이 아님)합니다.

mutation UpdateS3LogSource {
  updateS3Source(
    input: {
      id: "bcd45662-bab7-4f99-b69f-083a0212568d"
      label: "내 로그 소스2"
      kmsKey: ""
      logProcessingRole: "arn:aws:iam::0123456789012:role/PantherLogProcessingRole-somerole"
      logStreamType: JSON
      managedBucketNotifications: false
      s3PrefixLogTypes: [
        { excludedPrefixes: [], logTypes: ["AWS.ALB"], prefix: "" }
      ]
    }
  ) {
    logSource {
      createdAtTime
      integrationId
      integrationLabel
      integrationType
      isEditable
      isHealthy
      lastEventProcessedAtTime
      lastEventReceivedAtTime
      lastModified
      logTypes
    }
  }
}