> For the complete documentation index, see [llms.txt](https://docs.panther.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.panther.com/ko/quick-start/onboarding-guide.md). # 온보딩 가이드 ## 개요 Panther에서 온보딩에는 로그 소스 설정, 디택션 및 알러트 대상 설정, 검색 도구 익히기, 그리고 선택적으로 enrichment 기능 활성화가 포함됩니다. 이 가이드는 이러한 각 작업을 완료하는 방법을 설명합니다. 온보딩 중 도움이 필요하면 Panther 지원 팀에 문의하세요. ## 사전 요구 사항 * Panther Console에 성공적으로 로그인했습니다. ## 1단계: 로그 소스 온보딩 Panther 환경 구성의 첫 단계는 Panther가 분석하고 저장할 데이터를 제공하는 로그 소스를 온보딩하는 것입니다. 가치 있는 소스를 식별한 후 각 소스를 온보딩하게 됩니다. ### 1.1단계: 온보딩할 로그 소스 식별 보안 모니터링을 위해 추적하려는 환경 내 로그 생성 시스템을 고려하세요. 허용된 수집 볼륨에 가깝게 도달할 만큼 충분한 소스를 온보딩하는 것이 권장됩니다. 다음을 사용할 수 있습니다. [로그 필터링](/ko/data-onboarding/ingestion-filters.md) 다음만 수집하려는 경우 *일부* 특정 소스의 로그를 Panther로 가져오려는 경우입니다. 어디서 시작할지 아이디어가 필요하다면 [지원되는 로그](/ko/data-onboarding/supported-logs.md) 목록을 검토하세요. 완전히 [커스텀 소스](https://docs.panther.com/data-onboarding/custom-log-types). ### 1.2단계: 각 로그 소스 온보딩 수집하려는 것으로 식별한 각 로그 소스에 대해: * 로그 소스가 Panther의 [지원되는 소스](#supported-logs)중 하나라면 해당 문서 페이지의 지침에 따라 온보딩하세요. * 로그 소스가 Panther의 [지원되는 소스](#supported-logs): {% hint style="info" %} 소스가 대용량(시간당 최소 1GB 전송)이고/이거나 그 [payload 크기가 HTTP payload 제한을 초과하는 경우](/ko/data-onboarding/data-transports/http.md#payload-requirements)다음 단계로 건너뛰세요. {% endhint %} 1. 소스가 이벤트 webhook을 전송할 수 있는 경우: 1. 다음을 따라 소스를 온보딩하세요. [HTTP 소스 생성 지침](/ko/data-onboarding/data-transports/http.md#how-to-set-up-an-http-log-source-in-panther). 2. 다음을 따르세요 [Panther에서 수신된 HTTP 데이터로부터 커스텀 스키마를 추론하는 지침](/ko/data-onboarding/custom-log-types.md#http-data-received-in-panther). 2. 소스가 이벤트 webhook을 전송할 수는 없지만 이벤트를 S3 버킷으로 내보낼 수 있는 경우: 1. 다음을 따라 소스를 온보딩하세요. [S3 소스 생성 지침](/ko/data-onboarding/data-transports/aws/s3.md#how-to-pull-logs-from-aws-s3-buckets-into-panther). 2. 다음 방법 중 하나로 커스텀 스키마를 추론하는 지침을 따르세요: * [Panther에서 수신된 S3 데이터로부터](/ko/data-onboarding/custom-log-types.md#s3-data-received-in-panther) * [과거 S3 데이터로부터](/ko/data-onboarding/custom-log-types.md#historical-s3-data) 3. 소스가 이벤트 webhook을 전송하거나 이벤트를 S3 버킷으로 내보낼 수는 없지만, 이벤트를 Panther가 가져올 수 있는 다른 [데이터 전송](/ko/data-onboarding/data-transports.md) 위치 중 하나(예: [Google Cloud Storage](/ko/data-onboarding/data-transports/google.md) 또는 [Azure Blob Storage](/ko/data-onboarding/data-transports/azure/blob-storage.md): 1. 다음 방법 중 하나로 커스텀 스키마를 정의하세요: * [Console에서 샘플 로그로 추론](/ko/data-onboarding/custom-log-types.md#sample-logs) * [pantherlog를 사용해 추론 `infer`](/ko/panther/pantherlog.md#infer-generate-a-schema-from-json-log-samples) * [Console에서 수동으로 생성](/ko/data-onboarding/custom-log-types.md#manually) 2. 다음의 지침에 따라 소스를 온보딩하세요. [선택한 Data Transport의 문서](/ko/data-onboarding/data-transports.md). 4. 소스가 이벤트 webhook을 전송할 수도 없고 이벤트를 Panther의 어떤 [데이터 전송](/ko/data-onboarding/data-transports.md) 소스로도 내보낼 수 없는 경우 Panther의 [Data Pipeline Tools](/ko/data-onboarding/data-pipeline-tools.md) 가이드를 참조하거나 Panther 지원 팀에 문의하여 데이터를 Panther에 연결하는 데 도움을 받으세요. 이 1.2단계 지침은 아래 흐름도에도 나와 있습니다:
This flow chart diagram shows how to onboard a given log source depending on characteristics of the source, like whether it can emit webhook events or export events to S3.
### (선택 사항) 1.3단계: Cloud Security Scanning용 AWS 계정 온보딩 클라우드 제공업체로 AWS를 사용하는 경우 Panther의 [클라우드 보안 스캐닝](/ko/cloud-scanning.md) 기능을 사용하여 클라우드 리소스 구성을 모니터링할 수 있습니다. * Cloud Security Scanning을 사용하려면 [이 지침에 따라 하나 이상의 AWS 계정을 온보딩하세요](/ko/cloud-scanning.md#onboarding-a-cloud-account-in-the-panther-console). {% hint style="info" %} **로그 소스: 더 알아보기** * 방법 알아보기 [로그 소스의 상태 모니터링](/ko/data-onboarding/monitoring-log-sources.md). * 다음에 대해 알아보기 [필드 탐색](/ko/data-onboarding/field-discovery.md). * 어떤 [사용자 지정 스키마](/ko/data-onboarding/custom-log-types.md#how-to-define-a-custom-schema)을(를) 생성했다면 필드를 [Indicator Fields](/ko/search/panther-fields.md#indicator-fields) 로 지정하여 교차 로그 검색 및 디택션을 활성화하세요. {% endhint %} ## 2단계: 디택션 생성 또는 활성화 이제 데이터가 Panther로 유입되고 있으므로 디택션을 구성할 차례입니다. 먼저 Panther Console에서 디택션 콘텐츠를 관리할지, CLI 워크플로에서 관리할지 선택합니다. 그런 다음 각 소스에 대해 Panther 관리형 디택션을 활성화하거나 직접 생성합니다. 디택션을 생성하거나 활성화한 후에는 일치 항목에 대한 알러트가 Panther Console에 표시되고 Panther API를 통해 조회할 수 있습니다. 하지만 [다음 단계](#step-3-configure-alert-destinations)를 완료해 알러트 대상을 설정하기 전까지는 외부 애플리케이션에서 알러트를 받을 수 없습니다. ### 2.1단계: 디택션 관리를 위한 Console 또는 CLI 워크플로 선택 Panther Console에서 디택션 콘텐츠를 관리할지, 아니면 CLI 워크플로(다음을 사용해 업로드 수행)에서 관리할지 결정하세요. [Panther Analysis Tool \[PAT\]](/ko/panther/detections-repo/pat.md)아마도 [CI/CD](/ko/panther/detections-repo/ci-cd.md) 파이프라인에서). 디택션 콘텐츠에는 디택션 팩과 개별 디택션(룰, 예약 룰, 정책)뿐 아니라 데이터 모델, 전역 헬퍼, 조회 테이블, 저장된 검색, 예약 검색이 포함됩니다. Console과 CLI 워크플로를 모두 사용해 디택션 콘텐츠를 관리하는 것은 지원되지 않습니다. 팀이 git, 명령줄 도구, CI/CD 파이프라인 사용에 익숙하다면 CLI 워크플로를 선택할 수 있습니다. 그렇지 않다면 Panther Console 사용을 권장합니다. {% hint style="info" %} Panther의 [Simple 디택션](/ko/detections.md#simple-detections) 기능은 궁극적으로 Console과 CLI 워크플로를 통합하는 것을 목표로 합니다. 현재 팀이 CLI 워크플로를 사용해 디택션 콘텐츠를 관리하는 경우, Console의 [Simple 디택션 빌더](/ko/detections/rules/simple-detection-builder.md) 를 사용해 디택션에 적용한 변경 사항도 다음 업로드 시 덮어써집니다(단, [인라인 필터](/ko/detections/rules/inline-filters.md) 콘솔에서 생성된 것은 보존됩니다). {% endhint %} ### 2.2단계: 각 로그 소스에 대해 룰 및 예약 룰 생성 또는 활성화 이전 단계에서 Panther에 온보딩한 각 로그 소스에 대해 Panther 관리형 디택션을 활성화하거나 직접 생성합니다. 소스가 Panther의 [지원되는 로그](/ko/data-onboarding/supported-logs.md)중 하나라면 아래의 [지원되는 로그 섹션](#supported-logs)을 따르세요. 그렇지 않으면 [커스텀 로그 섹션](#custom-logs). #### 지원되는 로그 * 소스가 Panther의 [지원되는 로그](/ko/data-onboarding/supported-logs.md): * 소스용 Panther 관리형 디택션 팩을 활성화하세요. 아래에서 Panther Console 및 CLI 워크플로에서 디택션 팩을 활성화하는 지침을 확인하세요. * 온보딩 중("Success!" 최종 페이지) 이 로그 소스에 대한 디택션 팩을 이미 활성화했다면 다음 로그 소스로 이동하세요. {% tabs %} {% tab title="Console" %} **Console에서 Panther 관리형 디택션 팩 활성화** * 다음을 따르세요 [Panther 관리형 디택션 팩을 활성화하려면 이 지침을 따르세요](https://docs.panther.com/detections/panther-managed/packs#enabling-and-disabling-detection-packs) 해당 소스에 대해. 더 알아보기: * 알아보기 [Panther 관리형 디택션을 사용자 지정하는 방법](/ko/detections/panther-managed.md#how-to-customize-a-panther-managed-detection). * 이 소스에 대해 추가적인 커스텀 디택션을 생성하세요. {% endtab %} {% tab title="CLI" %} **CLI 워크플로에서 Panther 관리형 디택션 팩 활성화** 1. 아직 하지 않았다면 [이 지침을 따르세요](https://docs.panther.com/panther-developer-workflows/ci-cd/detections-repo) 를 clone 또는 fork하여 [panther-analysis 저장소](https://github.com/panther-labs/panther-analysis/tree/master) 디택션의 2. 다음 내부에서 [panther-analysis 리포지토리 사본의 rules 디렉터리](https://github.com/panther-labs/panther-analysis/tree/master/rules)에서 이 소스의 디렉터리를 찾으세요. 이 디렉터리에는 Panther 관리형 룰과 (가능한 경우) 예약 룰이 포함되어 있습니다. 3. 활성화하려는 각 Panther 관리형 룰 및 예약 룰에 대해, 해당 디택션의 YAML 파일에서 다음을 설정하세요: ```yaml Enabled: True ``` 4. 소스 디렉터리 내에서 활성화하지 않으려는 룰 또는 예약 룰이 있다면, 해당 디택션의 YAML 파일에서 다음을 설정하세요: ```yaml Enabled: False ``` 5. 다음을 사용하여 디택션을 수동으로 Panther에 업로드하거나 [PAT](/ko/panther/detections-repo/pat.md), 또는 [CI/CD 파이프라인 구성](/ko/panther/detections-repo/ci-cd.md) 하여 PAT로 디택션 콘텐츠를 업로드하세요. 더 알아보기: * 이 소스에 대해 추가적인 커스텀 디택션을 생성하세요. {% endtab %} {% endtabs %} #### 커스텀 로그 * 소스가 커스텀 로그 소스인 경우: * 직접 디택션을 생성하세요. 아래에서 Panther Console 및 CLI 워크플로에서 디택션을 생성하는 지침을 확인하세요. 디택션을 생성하는 동안: * Panther 관리형 [헬퍼 함수](/ko/detections/rules/python/globals.md)를 활용하거나 직접 생성하는 것을 고려하세요. * 생성 [테스트](/ko/detections/testing.md). {% tabs %} {% tab title="Console" %} **Console에서 룰 및 예약 룰 생성** * 이 로그 소스에 대해 하나 이상의 룰을 생성하세요. * [Python 룰을 생성하려면 이 지침을 따르세요](/ko/detections/rules/python.md#creating-a-rule-in-python-in-the-console). * [Simple 디택션 빌더를 사용하려면 이 지침을 따르세요.](/ko/detections/rules/simple-detection-builder.md#how-to-create-a-rule-in-the-simple-detection-builder) * 필요한 경우 [이 지침을 따라](/ko/detections/rules/python.md#creating-a-scheduled-rule-in-python-in-the-console). {% endtab %} {% tab title="CLI" %} **CLI 워크플로에서 룰 및 예약 룰 생성** 1. 아직 하지 않았다면 [이 지침을 따르세요](https://docs.panther.com/panther-developer-workflows/ci-cd/detections-repo) 를 clone 또는 fork하여 [panther-analysis 저장소](https://github.com/panther-labs/panther-analysis/tree/master) Python 디택션의 2. 이 로그 소스에 대해 하나 이상의 룰을 작성하세요: * [Python 룰을 작성하려면 이 지침을 따르세요](/ko/detections/rules/python.md#creating-a-rule-in-python-in-the-cli-workflow). * [Simple 디택션 룰을 작성하려면 이 지침을 따르세요](/ko/detections/rules/writing-simple-detections.md#how-to-create-a-simple-detection-rule-in-yaml). 3. 필요한 경우 [이 지침을 따라](/ko/detections/rules/python.md#creating-a-scheduled-rule-in-python-in-the-cli-workflow). 4. 다음을 사용하여 디택션을 수동으로 Panther에 업로드하거나 [PAT](/ko/panther/detections-repo/pat.md), 또는 [CI/CD 파이프라인 구성](/ko/panther/detections-repo/ci-cd.md) 하여 PAT로 디택션 콘텐츠를 업로드하세요. {% endtab %} {% endtabs %} ### (선택 사항) 2.3단계: 각 Cloud Security Scanning 계정에 대해 정책 생성 또는 활성화 다음을 위해 하나 이상의 AWS 계정을 온보딩했다면 [클라우드 보안 스캐닝](/ko/cloud-scanning.md)Panther 관리형 정책을 활성화하거나 직접 생성하세요. {% tabs %} {% tab title="Console" %} **Console에서 Panther 관리형 정책 활성화** * 다음을 활성화하세요. [Panther Core AWS Pack](https://github.com/panther-labs/panther-analysis/blob/13e49e6589b1160928ec85678884da0e72e986f3/packs/aws.yml) 을 Panther Console에서 활성화하세요. 정책 외에도 이 팩에는 룰, 헬퍼, 데이터 모델이 포함됩니다. * [Console에서 팩을 활성화하는 지침은 여기에서 확인하세요](/ko/detections/panther-managed/packs.md#enabling-and-disabling-detection-packs). **Console에서 정책 생성** * Console에서 정책을 생성하려면 [이 지침을 따르세요](/ko/detections/policies.md#how-to-write-policies-in-the-panther-console). {% endtab %} {% tab title="CLI" %} **CLI 워크플로에서 Panther 관리형 정책 활성화** * 아직 하지 않았다면 [이 지침을 따르세요](https://docs.panther.com/panther-developer-workflows/ci-cd/detections-repo) 를 clone 또는 fork하여 [panther-analysis 저장소](https://github.com/panther-labs/panther-analysis/tree/master) Python 디택션의 * 다음 내부에서 [panther-analysis 리포지토리 사본의 policies 디렉터리](https://github.com/panther-labs/panther-analysis/tree/master/policies)에서 관심 있는 디렉터리, 즉 모니터링하려는 AWS 리소스를 다루는 디렉터리를 식별하세요. * 관심 있는 각 디렉터리에서 활성화하려는 각 Panther 관리형 정책에 대해, 해당 디택션의 YAML 파일에 다음을 설정하세요: ```yaml Enabled: True ``` * 관심 있는 각 디렉터리에서 활성화하지 않으려는 정책이 있다면, 해당 디택션의 YAML 파일에 다음을 설정하세요: ```yaml Enabled: False ``` * 다음을 사용하여 디택션을 수동으로 Panther에 업로드하거나 [PAT](/ko/panther/detections-repo/pat.md), 또는 [CI/CD 파이프라인 구성](/ko/panther/detections-repo/ci-cd.md) 하여 PAT로 디택션 콘텐츠를 업로드하세요. **CLI 워크플로에서 정책 생성** * CLI 워크플로에서 정책을 작성하려면 [이 지침을 따르세요](/ko/detections/policies.md#how-to-write-a-policy). {% endtab %} {% endtabs %} {% hint style="info" %} **디택션: 더 알아보기** * CLI 워크플로를 사용 중이라면 [Panther에 업로드하도록 CI/CD 파이프라인을 구성하세요](/ko/panther/detections-repo/ci-cd.md). * 사용 [Data Replay](/ko/detections/testing/data-replay.md) 예상대로 디택션이 일치하는지 확인하려면. * Cloud Security Scanning을 위해 AWS 계정을 온보딩했다면 [실시간 모니터링](/ko/cloud-scanning.md#real-time-monitoring). {% endhint %} ## 3단계: 알러트 대상 구성 설정 [알러트 대상](/ko/alerts/destinations.md) 을 통해 Panther Console 외부 위치에서 알러트를 받으세요. ### 3.1단계: Panther 알러트를 받을 위치 식별 팀이 Panther 알러트를 받기에 가장 적합한 위치는 어디인가요? 여러 대상을 구성하고 서로 다른 [심각도](/ko/detections/rules.md#alert-severity) 의 알러트를 서로 다른 위치로 라우팅하는 것이 합리적일까요? 시작할 아이디어가 필요하다면 [알러트 대상](/ko/alerts/destinations.md) 페이지의 지원되는 대상 목록을 확인하세요. 또한 [커스텀 대상](https://docs.panther.com/alerts/destinations#setting-up-destinations-that-are-not-natively-supported). ### 3.2단계: 대상 설정 설정하려는 각 알러트 대상에 대해: * 대상이 [Panther에서 기본 지원하는 대상](/ko/alerts/destinations.md)중 하나라면 해당 대상에 맞는 설정 지침을 따르세요. * 대상이 Panther에서 기본 지원되지 않는 경우: * 대상이 HTTP `POST` 를 포함하는 요청을 받을 수 있다면 `JSON` payload [Custom Webhook Destination 사용 지침](/ko/alerts/destinations/custom_webhook.md). * 또는 Panther API를 주기적으로 폴링하여 새 알러트를 확인하는 방법도 고려해 보세요. [이 옵션에 대해 여기에서 자세히 알아보세요](/ko/alerts/destinations.md#panther-api). ### 3.3단계: 최소 하나의 대상이 System Errors를 수신하도록 보장 System Errors는 로그 소스가 비정상 상태가 되거나 알러트 전달이 실패하는 등 Panther 워크플로의 일부가 올바르게 작동하지 않을 때 사용자에게 알립니다. System Errors에 대한 자세한 내용은 [System Health Notifications](/ko/system-configuration/notifications/system-errors.md). 각 알러트 대상을 설정할 때 해당 대상으로 전송될 **알러트 유형** 을(를) 선택하게 되며, 이는 아래에 표시됩니다. 최소 하나의 알러트 대상이 System Errors를 수신하도록 구성할 것을 강력히 권장합니다.
{% hint style="info" %} **알러트 대상: 더 알아보기** * Panther에서 알러트를 트리아지하는 방법 알아보기 [알러트 할당 및 관리](/ko/alerts/alert-management.md). {% endhint %} ## 4단계: 검색 도구 사용 방법 익히기 보안 인시던트를 조사할 시점이 오기 전에 Panther의 [검색 도구](/ko/search.md). * 에서 필터 생성과 검색 실행을 연습하세요 [검색](/ko/search/search-tool.md) 도구를 사용합니다. * SQL 작성에 익숙하다면 다음에서 쿼리 실행을 연습하세요 [Data Explorer](/ko/search/data-explorer.md). * 다음에서 예시 쿼리를 확인하세요 [Data Explorer SQL Search Examples](/ko/search/data-explorer/example-queries.md). {% hint style="info" %} **검색: 더 알아보기** * [예약 검색 생성](/ko/search/scheduled-searches.md#how-to-create-a-scheduled-search)그 위에 다음을 생성할 수 있습니다. [예약된 룰](/ko/detections/rules.md#how-to-write-scheduled-rules). {% endhint %} ## (선택 사항) 5단계: Enrichment 설정 Panther의 [Enrichment](/ko/enrichment.md) 기능은 로그 이벤트에 유용한 컨텍스트를 추가하여 더 높은 정밀도의 디택션을 작성하고 더 많은 정보를 담은 알러트를 생성할 수 있게 해줍니다. 이러한 기능에는 다음이 포함됩니다: * 다음과 같은 Panther 관리형 enrichment [IPinfo](/ko/enrichment/ipinfo.md), [Tor Exit Nodes](/ko/enrichment/tor-exit-nodes.md), 그리고 [Anomali ThreatStream](/ko/enrichment/anomali-threatstream.md) * 다음과 같은 로그 소스 puller [Google Workspace Profiles](/ko/enrichment/google-workspace.md) 및 [Okta Profiles](/ko/enrichment/okta.md) * [커스텀 enrichment](/ko/enrichment/custom.md) 자체 데이터를 포함하는 위 기능 각각에 대해 활성화할지 여부를 결정하고, 활성화하려면 각 기능의 해당 페이지에 있는 설정 안내를 따르세요. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.panther.com/ko/quick-start/onboarding-guide.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.