조사 및 검색

Panther의 검색 도구를 사용하여 쿼리를 실행하고 정규화된 로그 데이터를 검색합니다

개요

Panther의 데이터 분석 도구를 사용하면 보안 데이터 레이크에서 정규화된 로그 데이터, 신호 등을 검색할 수 있습니다. 로그를 가로질러(SQL 없이도) 검색하려면 다음을 사용하여 Search, 또는 SQL을 사용해 보다 철저하게 조사하려면 Data Explorer.

데이터가 Panther에 수집되면 파싱 및 정규화된 후 보안 데이터 레이크에 저장됩니다. 이는 과거 데이터에 대한 조사를 수행하고, 룰을 작성하며, 기준 및 이상 행동을 식별하고, 분석을 생성하는 데 필요합니다.

어떤 도구 를 사용해 Panther에서 데이터를 검색할지 결정할 때:

• Panther AI SQL이나 PantherFlow 대신 자연어로 데이터를 검색하고 싶다면 유용합니다.

• Search SQL 지식이 많지 않다면 시작하기에 좋은 곳입니다. SQL 구문 없이 쿼리를 작성할 수 있기 때문입니다. 또한 실행할 수도 있습니다 PantherFlow 를 Search에서(그리고 Panther AI를 사용해 PantherFlow 쿼리를 생성).

• Data Explorer 복잡하거나 매우 사용자 지정된 검색을 수행하는 경우 시작하기에 가장 좋은 곳입니다. 예를 들어 데이터베이스 테이블을 조인하거나 추가 절을 통해 반환되는 필드를 제어하고 싶을 때입니다.

Panther에서 알러트를 받은 후 조사를 어디서 시작해야 할지 모르시겠나요? 다음을 참조하세요: Panther의 Threat Hunting 에서 아이디어를 얻으세요.

룰과 일치하는 항목(즉, 신호)도 클라우드 보안 스캔 데이터와 룰 오류와 함께 데이터 레이크에 저장됩니다.

Panther의 데이터 검색 및 분석 도구

Panther AI

다음을 사용하면 Panther AI, 자연어 를 사용해 데이터 레이크를 쿼리할 수 있습니다.

다음에서 지침을 확인하세요: AI 기반 PantherFlow 쿼리 생성.

Search

다음의 Search, 로우코드 방식으로 데이터 쿼리를 작성할 수 있습니다 필터 칩 또는 PantherFlow. Search는 SQL 작성보다 도메인 특화 쿼리 언어 및/또는 로우코드 워크플로를 사용하는 것을 선호한다면 좋은 도구입니다.

다음에서 조사를 시작하는 방법을 알아보세요: Search.

Data Explorer

다음의 Data Explorer, 데이터를 가로질러 검색하기 위해 SQL 쿼리를 작성하고 실행할 수 있습니다. 또한 검색을 저장하고 예약할 수 있습니다, 생성 템플릿화된 검색 을 재사용할 수 있으며, 그 밖에도 더 많은 기능이 있습니다.

다음을 시작하세요: Data Explorer 문서.

GraphQL API

다음을 통해 데이터 레이크에 대해 쿼리를 실행할 수 있습니다: Panther GraphQL API.

다음에서 예제 쿼리를 확인하세요: Data Lake 쿼리.

Panther의 조사 및 검색 기능

Search와 Data Explorer 외에도 Panther는 데이터를 빠르고 효율적으로 검색할 수 있는 다른 기능을 제공합니다. 자세한 내용을 보려면 아래 상자를 펼치세요.

표준 필드

Panther의 로그 분석은 모든 로그 레코드에 정규화 필드(IP, 도메인 등)를 적용합니다. 이러한 필드는 모든 데이터 소스에서 속성 이름을 표준화하여 빠르고 쉽게 데이터 상관분석을 가능하게 합니다. 자세한 내용은 다음을 참조하세요: 표준 필드.

시각화 및 대시보드

Panther Console에서 사용자 지정 대시보드를 만들고, 또는 Panther가 관리하는 다양한 시각화를 사용하세요. 자세한 내용은 다음에서 확인하세요: 시각화 및 대시보드.

저장된 검색 및 예약된 검색

저장된 검색을 사용하면 Search, Data Explorer 또는 CLI 워크플로에서 만든 검색을 저장, 재사용, 업데이트, 삭제할 수 있습니다. 따라서 실행할 때마다 쿼리를 다시 작성하거나 다시 만들 필요가 없습니다.

Panther의 예약된 검색은 일정에 따라 실행되도록 구성된 저장된 검색입니다. 이들은 예약된 룰과 연결할 수 있으며, 이를 통해 검색에서 반환된 데이터를 실시간 "스트리밍" 데이터가 아니라 룰의 이벤트 입력으로 사용할 수 있습니다. 예약된 검색이 실행되는 동안, 해당 예약된 룰 일치 항목이 생성되면, 신호 (그리고 선택적으로 알러트)이 생성됩니다.

자세한 내용은 저장된 검색 및 예약된 검색.

검색 기록

Panther Console의 검색 기록 페이지에는 Console에서 실행된 지난 30일간의 검색이 표시됩니다. 검색 이름을 클릭하면 다음으로 이동합니다: Search 또는 Data Explorer 여기에서 결과를 확인하고 검색을 다시 실행할 수 있습니다. 실행 중인 검색을 취소할 수도 있습니다. 자세한 내용은 다음을 참조하세요: 검색 기록.

예시 검색

Panther는 로그에서 의심스러운 활동을 조사할 때 실행할 수 있는 일반적인 사용 사례와 예시 검색을 제공합니다:

• Data Explorer 쿼리 예시

• 예약된 검색 예시

사용 가능한 데이터베이스

Panther에서 분석할 수 있는 데이터베이스 목록은 다음을 참조하세요: 데이터 레이크.

Panther 검색 도구 문제 해결

Panther Knowledge Base를 방문하여 데이터 분석 관련 문서를 보기 이 문서는 자주 묻는 질문에 답하고 일반적인 오류 및 문제를 해결하는 데 도움이 됩니다.