운영

데이터 수집량 평가

다음을 사용할 수 있습니다 Panther API 메트릭 작업 특정 기간 동안 Panther가 수집하거나 처리한 총 바이트 수와 이벤트 수를 측정합니다. 데이터 수집량을 평가하는 다른 방법은 아래 섹션을 참조하십시오.

Panther의 SaaS 배포

이 데이터에 접근하는 데 도움이 필요하면 Panther 담당 계정 팀에 문의하십시오.

Panther의 자체 호스팅(Self-Hosted) 및 CPaaS 배포

아래 정보는 다음에 적용됩니다 자체 호스팅(Self-Hosted) 및 CPaaS 배포 유형.

Panther 로그 분석 CloudWatch 대시보드는 로그 처리의 운영상 관련된 측면에 대한 깊은 통찰을 제공합니다. 수집량을 이해하는 것은 Panther 운영 비용을 예측하는 데 매우 중요합니다.

Panther 콘솔의 대시보드에서 수집된 로그의 양을 확인할 수 있습니다. 이는 AWS 청구서와 결합하여 데이터가 확장될 때 비용을 예측하는 데 사용할 수 있습니다. 비용을 추정하려면 한 달 치 데이터를 사용하는 것을 권장합니다.

CloudWatch 대시보드를 보려면:

1. AWS 콘솔에 로그인합니다.

2. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. CloudWatch Services 메뉴에서.

3. 를 선택하고 Panther가 설치된 계정 ID를 입력하십시오. Dashboards CloudWatch 콘솔의 왼쪽 사이드바에서.

4. 이름이 다음으로 시작하는 대시보드를 클릭합니다 PantherLogAnalysis

5. "Input MBytes (Uncompressed) by Log Type"라는 타일의 오른쪽 상단에 있는 점 세 개 아이콘을 클릭합니다. 드롭다운 메뉴에서 CloudWatch Insights에서 보기.

6. 기간을 4주로 설정한 다음 적용.

7. Logs Insights 페이지 상단에서 쿼리 실행.

s3sns 도구

Panther는 s3sns를 제공합니다. 이 운영 도구는 S3 객체를 나열하고 S3 알림을 Panther 로그 프로세서 SNS 주제로 게시합니다. 이 도구는 Linux, Mac(포함 Darwin) 및 Windows용 정적으로 컴파일된 실행 파일입니다.

이 도구는 AWS 자격 증명 이 충분한 권한으로 환경에 설정되어 있어야 합니다. AWS Vault와 같은 도구를 사용하여 이를 안전하게 관리할 것을 권장합니다. AWS Vault.

특정 Panther 팀 구성원이 권고하지 않는 한 이 도구를 실행하지 마십시오.

의 최신 버전 다운로드 s3sns 도구

최신 버전의 다운로드 링크는 다음에서 찾으십시오 s3sns 아래. 다음 -h 플래그를 사용하여 명령을 실행하면 사용법을 설명합니다.

s3sns 최신 다운로드 링크

다음 링크에서 최신 버전을 다운로드하십시오:

• Darwin amd64

• Darwin arm64

• Linux amd64

• Linux arm64

• Windows amd64

• Windows arm64

의 특정 버전 다운로드 s3sns 도구

도구의 최신 버전을 다운로드하려면 위의 다운로드 링크를 사용하십시오. 특정 버전의 도구를 다운로드하려면 아래 지침을 따르십시오. s3sns 도구를 다운로드하려면 위의 다운로드 링크를 사용하십시오. 특정 버전을 다운로드하려면 아래 지침을 따르십시오.

1단계: Panther 버전 확인

1. Panther 콘솔에 로그인하십시오.

2. 오른쪽 상단에서 사용자 아이콘을 클릭합니다. 드롭다운 메뉴 하단에 있는 Panther 버전을 확인하십시오.

   

2단계: 다운로드 링크 구성

의 특정 버전을 다운로드하려면 s3sns다음 형식을 사용하여 S3 다운로드 URL을 수동으로 구성하십시오:

https://panther-community-us-east-1.s3.amazonaws.com/{version}/tools/{os}-{arch}-s3sns{windows file extension}.zip 다운로드 URL의 자리표시자 텍스트를 아래 설명대로 교체하십시오:

• version: Panther 버전, 예: v1.114.90. 버전 번호 앞에 v 를 포함해야 합니다.

  • latest 는 도구의 최신 버전을 다운로드하기 위해 version 를 대체할 수 있습니다.

• os: 다음 중 하나를 사용하십시오: darwin, linux , 또는 windows

• arch: 사용 amd64 이전에 생성한 Snowflake 사용자 이름, 예를 들면 arm64

• {windows file extension}: 만약 당신의 os 값이 windows라면 .exe 을 여기 추가하십시오. 만약 당신의 os 값이 darwin 이전에 생성한 Snowflake 사용자 이름, 예를 들면 linux라면, 여기에는 아무 것도 추가하지 마십시오.

{version}을 사용한 예시 완료된 도구 링크 {version} https://panther-community-us-east-1.s3.amazonaws.com/v1.114.90/tools/darwin-amd64-s3sns.zip

{latest}를 사용한 예시 다운로드 링크 latest

https://panther-community-us-east-1.s3.amazonaws.com/latest/tools/darwin-amd64-s3sns.zip

Monitoring

아래 정보는 레거시 자체 호스팅(Self-Hosted) 및 CPaaS 배포 유형에 적용됩니다. Panther는 신규 계정에 대해 이러한 배포 유형을 더 이상 지원하지 않습니다.

가시성

Panther는 시스템 운영에 대한 가시성을 제공하기 위해 5개의 CloudWatch 대시보드를 보유하고 있습니다:

• PantherOverview 모든 Panther 구성 요소의 모든 오류 및 성능에 대한 개요.

• PantherCloudSecurity: CloudSecurity를 모니터링하는 구성 요소의 세부 정보.

• PantherAlertProcessing: CloudSecurity 및 로그 처리에 대한 알러트를 중계하는 구성 요소의 세부 정보.

• PantherLogAnalysis: 로그를 처리하고 룰을 실행하는 구성 요소의 세부 정보.

• PantherRemediation: 인프라 문제를 수정하는 구성 요소의 세부 정보.

알람

Panther는 각 구성 요소의 상태를 모니터링하기 위해 CloudWatch 알람을 사용합니다. 알람을 수신하려면 생성한 SNS 주제를 Panther CloudWatch 알람과 연동하려면 deployments/panther_config.yml 파일을 편집하여 Panther CloudWatch 알람과 연동할 SNS 주제를 지정합니다. 이 값이 비어 있으면 Panther는 기본 Panther SNS 주제인 panther-alarms:

MonitoringParameterValues:
  # 이것은 Panther 시스템 알람과 연동하려는 SNS 주제의 arn 입니다.
  # 이 값이 설정되지 않으면 알람은 `panther-alarms` SNS 주제와 연동됩니다.
  AlarmSNSTopicARN: 'arn:aws:sns:us-east-1:05060362XXX:MyAlarmSNSTopic'

알람을 팀에 전송하도록 구성하려면 아래 가이드를 따르십시오:

• SNS 이메일 및 SMS 통합

• PagerDuty 통합

  참고: PagerDuty는 복합 CloudWatch 알람을 처리할 수 없습니다, Panther는 중복 호출을 방지하기 위해 이를 사용합니다. 해결 방법으로 아래와 같은 사용자 정의 이벤트 변환기.

  다음을 따르세요 지침 를 사용할 수 있습니다. 아래 코드를 사용하십시오:

     var details = JSON.parse(PD.inputRequest.rawBody);
  
     var description = "unknown event";
     if ("AlarmDescription" in details) {  // CloudWatch 이벤트처럼 보입니다 ...
       var descLines = details.AlarmDescription.split("\n");
       description = (descLines.length > 1)? descLines[0] + " " + descLines[1] : descLines[0];
     }
  
     var normalized_event = {
       event_type: PD.Trigger,
       description: description,
       incident_key: description,
       details: details
     };
  
     PD.emitGenericEvents([normalized_event]);

  PagerDuty 구독을 생성할 때 SNS 주제를 구성하여 RawMessageDelivery: true 를 사용하십시오.