Panther 분석 도구 설치, 구성 및 인증하기

PAT로 시작하기

개요

예: 커맨드 라인이나 CI/CD 파이프라인에서 Panther 자산을 관리하기 위해 Panther Analysis Tool(PAT)을 사용하기 전에, 다음을 수행해야 합니다 설치합니다, 구성 값을 제공합니다및 인증을 위한 API 토큰을 생성합니다. 이러한 단계들을 완료하면, 실행을 시작하세요 PAT 명령어.

PAT의 새 버전이 출시되면, 다음을 수행할 수 있습니다 PAT를 업데이트합니다.

PAT 설치하기

사전 요구 사항

PAT를 설치하려면 환경에 다음이 이미 설치되어 있어야 합니다:

• Python 3.11. 다음 방법 중 하나로 Python을 설치하세요:

  • 다운로드 링크는 공식 릴리스 페이지

  • 수신한 알러트를 조사할 때 일반적인 조사 워크플로는 다음과 같습니다: Homebrew에서, 다음을 실행하여 brew install [email protected]

  • 수신한 알러트를 조사할 때 일반적인 조사 워크플로는 다음과 같습니다: pyenv 로 Python 버전을 관리합니다

• Pipenv. 를 설치하려면 Pipenv, 다음을 실행하세요 pip install --user pipenv.

pip으로 설치하기

PAT를 설치하려면, 다음 명령을 실행하세요:

Mac 및 Linux:

pip3 install panther_analysis_tool

Windows (Powershell):

py -m pip install panther_analysis_tool

Windows에서 PAT를 PATH에 추가하기

Windows에서는 PAT를 설치해도 자동으로 PATH 변수에 추가되지 않을 수 있으므로, 커맨드 라인에서 PAT를 제대로 사용할 수 없을 수 있습니다.

설치 시 다음 경고 메시지가 표시되면, PATH 환경 변수를 수동으로 수정해야 합니다.

경고: 스크립트 panther_analysis_tool.exe 및 pat.exe가 'C:\Users\<USERNAME>\AppData\Local\Programs\Python\Python313\Scripts'에 설치되었으나 PATH에 없습니다.
이 디렉터리를 PATH에 추가하거나, 이 경고를 숨기려면 --no-warn-script-location을 사용하세요.

이를 해결하려면 다음 명령을 실행하세요:

[System.Environment]::SetEnvironmentVariable("Path", $env:Path + ";<SCRIPT_PATH>", [System.EnvironmentVariableTarget]::User)

반드시 다음을 교체하세요 <SCRIPT_PATH>를 오류 메시지에 언급된 경로로 바꾸세요. 오류 메시지를 읽을 수 없는 경우, 다음 명령을 실행하여 이 경로를 얻을 수도 있습니다:

py -c "import sysconfig; print(sysconfig.get_path('scripts'))"

완료되면 변경 사항이 적용되도록 터미널을 재시작하세요. 성공했는지 확인하려면 다음을 실행하세요 pat --version; 버전 번호가 반환되면 성공한 것입니다

소스에서 빌드하기

개발 목적으로 소스에서 실행하려면 먼저 환경을 설정하세요:

$ make install
$ pipenv run -- pip3 install -e .

가상 환경 밖에서 PAT 사용하기

가상 환경 밖에서 PAT를 사용하려면, 직접 설치하세요:

$ make deps
$ pip3 install -e .

PAT CLI 별칭

PAT는 다음 별칭으로 설치되며—어느 것이든 PAT 명령과 함께 사용할 수 있습니다:

• panther_analysis_tool

• pat

예제

$ pipenv run panther_analysis_tool test
...
$ pipenv run pat upload
...

PAT 업데이트

다음을 사용하는 경우, pipenv 로 종속성을 관리하는 경우, PAT를 업데이트하려면 아래 단계를 따르세요:

1. Pipfile에서 PAT를 최신 버전으로 업데이트하세요 Pipfile.

2. 다음 명령을 실행하세요: pipenv install --dev.

또는, 다음 명령을 실행하여 PAT를 업데이트할 수 있습니다:

$ pip3 install panther_analysis_tool --upgrade

PAT 구성하기

PAT는 커맨드 라인, 환경 변수 또는 구성 파일에서 구성 값을 읽을 수 있습니다.

구성 값 우선순위

플래그 값 소스의 우선순위는 다음과 같습니다(높음에서 낮음 순):

1. 커맨드로 전달된 값

2. 환경 변수

3. 구성 파일

환경 변수

모든 옵션은 변수 이름 앞에 PANTHER_.를 붙여 환경 변수로 전달할 수 있습니다.

예를 들어, api_token 와 api_host 인수는 다음 이름의 환경 변수로 설정할 수 있습니다 PANTHER_API_TOKEN 와 PANTHER_API_HOST.

PAT 구성 파일

PAT는 작업 디렉터리에 위치한 .panther_settings.yml 라는 구성 파일에서 옵션을 읽습니다. 이 리포지토리에는 예시 구성 파일이 포함되어 있습니다: example_panther_config.yml. 지원되는 옵션의 예시 문법이 포함되어 있습니다.

API 토큰으로 인증하기

대부분의 PAT 명령은 API 토큰을 사용하여 Panther 인스턴스에 대한 인증이 필요합니다. 인증된 PAT 작업은 모든 API 액션은.

1. 다음을 따르세요 API 토큰을 생성하기 위한 이 지침.

   • 다음을 기록해 두세요 PAT 명령별로 필요한 권한.

2. 토큰을 검증하려면, 다음을 실행하세요 pipenv run pat check-connection --api-token <your-api-token> --api-host <your-api-host>.

   • 참조 여기에서 토큰을 검증하는 추가 방법.

3. API 토큰이 필요한 PAT 명령을 실행할 때에는, API 토큰(및 GraphQL 호스트)가 구성 옵션 중 하나를 통해 PAT에 표시되는지 확인하세요 구성 옵션.

   • API 토큰과 호스트 값을 전달하는 가장 간단한 방법은 커맨드를 사용하는 것입니다. 예: panther_analysis_tool validate --path <path-to-your-detections> --api-token <your-api-token> --api-host https://api.<your-panther-instance-name>.runpanther.net/public/graphql 와 {% endcode %}.

API 토큰 교체(로테이션)

토큰은 만료되지 않습니다. 보안 모범 사례로 정기적으로 API 토큰을 교체할 것을 권장합니다. 지침은 다음을 참조하세요 API 토큰 교체.

비밀로서 API 토큰 관리하기

CI/CD 작업에서 PAT를 사용하는 경우, API 토큰을 비밀로 관리하는 방법에 대해 CI/CD 제공업체의 지침을 반드시 따르세요—다음에 설명된 대로: GitHub Actions를 통한 Panther 콘텐츠 관리 와 CircleCI를 통한 Panther 콘텐츠 관리.