Panther 콘텐츠 저장소 설정하기

이 업데이트된 panther_analysis_tool 병합 워크플로는 Panther 버전 1.119부터 공개 베타이며, 모든 고객이 사용할 수 있습니다. 버그 보고와 기능 요청이 있으면 Panther 지원팀에 공유해 주세요.

새 Panther 콘텐츠 저장소 만들기

사전 요구 사항

• Panther Analysis Tool(PAT)을 설치했습니다.

1단계: Panther 저장소 준비

• 빈 디렉터리에서 다음을 실행합니다. git init Git 저장소를 초기화한 다음 다음을 실행합니다. pat init.

나중에 PAT 명령을 사용할 수 있도록 저장소를 준비합니다.

다음 init 명령은 빈 저장소를 초기화하고 다음에서 최신 콘텐츠를 가져와 panther-analysis 를 캐시에 저장합니다.

2단계(선택 사항): 다음의 콘텐츠 살펴보기 panther-analysis

• 다음을 실행합니다. pat explore.

3단계: panther-analysis의 콘텐츠 사용 설정

디텍션과 같은 panther-analysis의 콘텐츠를 사용 설정하려면 다음을 실행합니다. pat install에 하나 이상의 콘텐츠 항목을 전달합니다. 예를 들면 다음과 같습니다.

• pat install <id>

• pat install --filter LogTypes=AWS.CloudTrail

4단계: 새 콘텐츠가 테스트를 통과하는지 확인

• 다음을 실행합니다. pat test.

5단계: 콘텐츠를 Panther에 업로드

• 다음을 실행합니다. pat upload.

레거시 저장소에서 마이그레이션

기존 Panther 콘텐츠 저장소가 다음에서 포크되었거나 클론되었다면 panther-analysis아래 단계에 따라 새 관리 워크플로로 마이그레이션하세요.

1단계: Panther 저장소 준비

• Panther 콘텐츠 디렉터리에서 다음을 실행합니다. pat init.

2단계: 기존 콘텐츠 포맷 지정

YAML 파일에 대해 일부 포맷 변경이 필요합니다(예: 디텍션 단위 테스트와 같이 중첩된 JSON 세그먼트에서 중괄호와 대괄호 제거). 이러한 변경을 적용하려면 다음을 수행합니다.

• 다음을 실행합니다. pat fmt.

이 단계에서는 변경 사항을 커밋하는 것이 좋습니다. 이 명령은 검토하기 번거로울 정도로 많은 포맷 변경을 생성하기 때문입니다. pat fmt 많은 양의 포맷 변경을 생성하므로 검토하기 번거로울 것입니다.

3단계: 기존 콘텐츠 업데이트

다음 항목을 추가하여 panther-analysis 콘텐츠를 기반으로 하는 모든 분석 항목을 마이그레이션합니다. BaseVersion 필드를 추가하고 가장 최근의 panther-analysis 버전과 병합합니다. 저장소가 여전히 다음에서 포크된 상태라면 panther-analysis 마이그레이션 후에도 다른 PAT 명령이 중단되지는 않지만, 마이그레이션 후에는 업스트림에서 동기화하지 않는 것을 권장합니다. panther-analysis 마이그레이션 후에 수행하는 자동화는 모두 제거해야 합니다.

• 다음을 실행합니다. pat migrate.

다음 사항에 유의하세요. pat migrate 새 panther-analysis 콘텐츠는 가져오지 않고 기존 콘텐츠만 마이그레이션합니다.

4단계: 검토 migration_status.md 를 검토하고 개별 병합 충돌을 해결합니다.

1. 다음을 실행합니다. less migration_status.md.

2. (선택 사항) migration_status.md 보류 중인 병합 충돌이 있음을 나타내면 충돌이 있는 각 항목에 대해 다음을 실행합니다. pat migrate <ID> 를 실행하여 해결합니다.

   • 선택적으로 다음을 사용할 수 있습니다. --write-merge-conflicts 를 사용하여 PAT가 대신 파일에 병합 충돌을 기록하도록 지시할 수 있습니다. AI를 사용해 충돌을 해결하거나 다음을 사용할 때 유용할 수 있습니다. --auto-accept 를 사용하여 자동 해결합니다.

     이 단계는 선택 사항입니다. 다음으로 넘어가기 전에 병합 충돌을 해결할 필요가 없기 때문입니다(즉, 테스트 및 업로드 전에 아닌 병합 충돌이 발생한 콘텐츠를 포함합니다).

   • YAML 파일의 충돌을 해결하려면 PAT CLI 편집기를 사용합니다.

     • Python 파일의 충돌을 해결하려면 PAT CLI 편집기 또는 원하는 코드 편집기를 사용할 수 있습니다. 원하는 코드 편집기(예: code (VS Code), cursor, 폴란드, goland (Go), pycharm)를 지정하려면 다음 중 하나를 수행합니다.

       • 사용 --editor 와 함께 pat migrate

       • 다음을 설정합니다. EDITOR 환경 변수

새 콘텐츠를 사용 설정하기 전에 이 단계에서도 커밋하는 것이 좋습니다.

5단계(선택 사항): 다음의 최신 콘텐츠 살펴보기 panther-analysis

• 다음을 실행합니다. pat explore.

6단계(선택 사항): 다음의 새 콘텐츠 사용 설정 panther-analysis

디텍션과 같은 panther-analysis의 콘텐츠를 사용 설정하려면 다음을 실행합니다. pat install에 하나 이상의 콘텐츠 항목을 전달합니다. 이전에 한 번도 보유한 적이 없는 콘텐츠를 설치하기 위해 migrate 명령을 실행할 필요는 없습니다. 예를 들면 다음과 같습니다.

• pat install <id>

• pat install --filter LogTypes=AWS.CloudTrail

7단계: 콘텐츠가 테스트를 통과하는지 확인

• 다음을 실행합니다. pat test.

8단계: 콘텐츠를 Panther에 업로드

• 다음을 실행합니다. pat upload.

9단계: 사용하지 않는 항목 제거 panther-analysis 콘텐츠

사용 중단된 관리 워크플로에서는 사용 여부와 관계없이 panther-analysis의 모든 콘텐츠를 가져왔습니다. 업데이트된 워크플로에서는 실제로 사용하는 콘텐츠만 유지하면 됩니다.

이 단계에서는 환경에서 사용하지 않는 콘텐츠를 제거할 수 있습니다. 콘텐츠를 제거할 때는 다음을 자주 실행하여 pat test 종속성이 제거되지 않았는지 확인하세요. 디텍션 콘텐츠는 전역 헬퍼와 데이터 모델에 자주 의존하기 때문입니다.