Panther는 클라우드 기반 보안 분석 플랫폼입니다. 이 가이드에서는 Fluentd를 사용하여 Teleport 감사 이벤트를 Panther로 전달하는 방법을 설명합니다.

작동 방식

Teleport Event Handler는 mTLS를 사용하여 Fluentd와 통신하여 보안 채널을 설정하도록 설계되었습니다. 이 설정에서, Event Handler는 이벤트를 Fluentd로 전송하며, Fluentd는 이를 S3로 전달하여 Panther가 수집하도록 합니다.

필수 조건

• 실행 중인 Teleport 클러스터 버전 이상. Teleport를 시작하려면, 가입하기 위해 무료 평가판에 등록하거나 데모 환경 설정하기를 참조하세요.

• tctl 관리 도구와 tsh 클라이언트 도구.

  tctl과 tsh 다운로드에 대한 지침은 설치를 방문하세요.

권장 사항: 짧은 수명의 Teleport 자격 증명을 플러그인에 제공하기 위해 머신 ID를 구성하십시오. 이 가이드를 따르기 전에 tbot 바이너리를 귀하의 인프라에서 실행하기 위해 머신 ID 배포 가이드를 따르십시오.

• Panther 계정.
• Event Handler를 실행할 서버, 가상 머신, Kubernetes 클러스터 또는 Docker 환경. 아래 지침에서는 테스트를 위한 로컬 Docker 컨테이너를 가정합니다.
• Fluentd 버전 v1.12.4 이상. Teleport Event Handler는 기존 Fluentd 시스템에 통합할 수 있는 새로운 fluent.conf 파일을 생성하거나 새로 설정할 수 있습니다.
• 로그를 저장할 S3 버킷. Panther는 이 버킷에서 로그를 수집합니다.

아래 지침은 VM에서 Event Handler 플러그인의 로컬 테스트를 보여줍니다. 다른 환경에 맞게 경로, 포트 및 도메인을 조정해야 합니다.

• 당신의 Teleport 클러스터에 연결할 수 있는지 확인하려면, tsh login으로 로그인한 다음 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오. 예를 들어:

  tsh login --proxy=teleport.example.com --user=email@example.com
  tctl status
  클러스터  teleport.example.com
  버전  16.2.0
  CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

  클러스터에 연결하고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 작업대에서 후속 tctl 명령어를 실행할 수 있습니다. 자신의 Teleport 클러스터를 호스팅하는 경우, Teleport 인증 서비스를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

단계 1/7. Event Handler 플러그인 설치

Teleport Event Handler는 Fluentd 포워더와 함께 실행되며, Teleport의 이벤트 API에서 이벤트를 수신하고 이를 Fluentd로 전달합니다.

curl -L -O https://cdn.teleport.dev/teleport-event-handler-v16.2.0-linux-ARCH-bin.tar.gz
tar -zxvf teleport-event-handler-v16.2.0-linux-ARCH-bin.tar.gz
sudo ./teleport-event-handler/install

curl -L -O https://cdn.teleport.dev/teleport-event-handler-v16.2.0-darwin-ARCH-bin.tar.gz
tar -zxvf teleport-event-handler-v16.2.0-darwin-ARCH-bin.tar.gz
sudo ./teleport-event-handler/install

docker pull public.ecr.aws/gravitational/teleport-plugin-event-handler:16.2.0

helm repo add teleport https://charts.releases.teleport.dev

helm repo update

git clone https://github.com/gravitational/teleport.git --depth 1 -b branch/v16
cd teleport/integrations/event-handler
make build

단계 2/7. 플러그인 구성 생성

teleport-event-handler configure . mytenant.teleport.sh:443

teleport-event-handler configure . teleport.example.com:443

TELEPORT_CLUSTER_ADDRESS=mytenant.teleport.sh:443
docker run -v `pwd`:/opt/teleport-plugin -w /opt/teleport-plugin public.ecr.aws/gravitational/teleport-plugin-event-handler:16.2.0 configure . ${TELEPORT_CLUSTER_ADDRESS?}

kubectl create secret generic teleport-event-handler-client-tls --from-file=ca.crt=ca.crt,client.crt=client.crt,client.key=client.key

docker run -v `pwd`:/opt/teleport-plugin -w /opt/teleport-plugin public.ecr.aws/gravitational/teleport-plugin-event-handler:16.2.0 configure .

다음 출력을 볼 수 있습니다:

Teleport event handler 16.2.0

[1] mTLS Fluentd 인증서가 생성되어 ca.crt, ca.key, server.crt, server.key, client.crt, client.key에 저장되었습니다.
[2] 샘플 teleport-event-handler 역할 및 사용자 파일 teleport-event-handler-role.yaml이 생성되었습니다.
[3] 샘플 fluentd 구성 파일 fluent.conf가 생성되었습니다.
[4] 플러그인 구성 파일 teleport-event-handler.toml이 생성되었습니다.

플러그인은 여러 설정 파일을 생성합니다:

ls -l
-rw------- 1 bob bob     1038 Jul  1 11:14 ca.crt
-rw------- 1 bob bob     1679 Jul  1 11:14 ca.key
-rw------- 1 bob bob     1042 Jul  1 11:14 client.crt
-rw------- 1 bob bob     1679 Jul  1 11:14 client.key
-rw------- 1 bob bob      541 Jul  1 11:14 fluent.conf
-rw------- 1 bob bob     1078 Jul  1 11:14 server.crt
-rw------- 1 bob bob     1766 Jul  1 11:14 server.key
-rw------- 1 bob bob      260 Jul  1 11:14 teleport-event-handler-role.yaml
-rw------- 1 bob bob      343 Jul  1 11:14 teleport-event-handler.toml

teleport-event-handler configure --cn=handler.example.com --dns-names=forwarder.example.com

단계 3/7. 감사 이벤트 읽기를 위한 사용자 및 역할 생성

teleport-event-handler configure 명령어는 teleport-event-handler-role.yaml이라는 파일을 생성했습니다. 이 파일은 teleport-event-handler 역할과 event API에 대한 읽기 전용 접근 권한을 가진 사용자를 정의합니다:

kind: role
metadata:
  name: teleport-event-handler
spec:
  allow:
    rules:
      - resources: ['event', 'session']
        verbs: ['list','read']
version: v5
---
kind: user
metadata:
  name: teleport-event-handler
spec:
  roles: ['teleport-event-handler']
version: v2

이 파일을 작업 공간으로 이동시키거나 (위의 스니펫을 붙여넣어) 재생성하고, 작업 공간에서 tctl을 사용하여 역할과 사용자를 생성하세요:

tctl create -f teleport-event-handler-role.yaml
사용자 "teleport-event-handler"가 생성되었습니다
역할 'teleport-event-handler'가 생성되었습니다

단계 4/7. teleport-event-handler 자격 증명 생성

Event Handler 역할에 대한 자격 증명 발급 활성화

tctl bots update my-bot --add-roles teleport-event-handler

kind: role
version: v5
metadata:
  name: teleport-event-handler-impersonator
spec:
  options:
    # max_session_ttl은 이 역할을 가진 사용자에게 발급된 SSH 인증서의 TTL(유효 기간)을 정의합니다.
    max_session_ttl: 10h

  # 이 섹션은 이 역할의 사용자에게 허용되는 리소스/동작 조합 목록을 선언합니다.
  # 기본적으로 아무것도 허용되지 않습니다.
  allow:
    impersonate:
      users: ["teleport-event-handler"]
      roles: ["teleport-event-handler"]

tctl create teleport-event-handler-impersonator.yaml

Event Handler 플러그인 사용자에 대한 정체성 파일 내보내기

플러그인에 Teleport 정체성 파일에 대한 접근 권한을 부여합니다. 짧은 생애의 정체성 파일을 생성하는 데 Machine ID를 사용하는 것이 좋습니다. 이는 유출될 경우 덜 위험하지만, 데모 배포에서는 tctl로 긴 생애의 정체성 파일을 생성할 수 있습니다:

outputs:
- type: identity
  destination:
    type: directory
    # 이 가이드에서는 /opt/machine-id를 목적지 디렉토리로 사용합니다.
    # 필요에 따라 사용자 정의할 수 있습니다. 여러 출력은 동일한
    # 대상을 공유할 수 없습니다.
    path: /opt/machine-id

outputs:
  - type: identity
    destination:
      type: kubernetes_secret
      name: teleport-event-handler-identity

tctl auth sign --user=teleport-event-handler --out=identity

tsh login --proxy=teleport.example.com --ttl=60060

sudo mkdir -p /var/lib/teleport/api-credentials
sudo mv identity /var/lib/teleport/plugins/api-credentials

kubectl -n teleport create secret generic --from-file=identity teleport-event-handler-identity

단계 5/7. Fluentd 및 S3 플러그인이 포함된 Dockerfile 생성

로그를 Panther로 보내려면 S3용 Fluentd 출력 플러그인을 사용해야 합니다. 다음 내용을 포함하여 Dockerfile을 생성합니다:

FROM fluent/fluentd:edge
USER root
RUN fluent-gem install fluent-plugin-s3
USER fluent

Docker 이미지를 빌드합니다:

$ docker build -t fluentd-s3 .

docker run -u $(id -u root):$(id -g root) -p 8888:8888 -v $(pwd):/keys -v \$(pwd)/fluent.conf:/fluentd/etc/fluent.conf --entrypoint=/bin/sh -i --tty fluentd-s3

Panther를 위한 Fluentd 구성

Teleport Event Handler를 실행하면 fluent.conf 파일이 생성됩니다. 이 파일은 Panther에 로그를 전송하기 위해 업데이트해야 합니다. 즉, 파일에 <filter> 및 <match> 섹션을 추가해야 합니다. 이 섹션들은 로그를 필터링하고 형식을 지정하여 S3로 전송되기 전에 맞춤 설정합니다. record_transformer는 Panther에 맞는 올바른 날짜 및 시간 형식을 전송하는 데 중요합니다.

<!--
# 아래 코드는 teleport-event-handler에서 4단계에서 자동 생성되기 때문에 주석 처리되었습니다.
fluent.conf 
S3로 로그를 전송하기 위한 Fluentd 샘플 구성 파일입니다. 
Teleport Event Handler 플러그인에서 생성함.
<filter> 및 <match> 섹션을 파일에 추가하세요.
<source>
     @type http
     port 8888

     <transport tls>
         client_cert_auth true
         ca_path "/keys/ca.crt"
         cert_path "/keys/server.crt"
         private_key_path "/keys/server.key"
         private_key_passphrase "AUTOGENERATED"
     </transport>

     <parse>
       @type json
       json_parser oj

       # 이 시간 형식은 Teleport Event Handler에서 사용됩니다.
       time_type string
       time_format %Y-%m-%dT%H:%M:%S
     </parse>

     # 이벤트 수가 많으면 Fluentd가 다음 오류 메시지와 함께 수집 실패를 일으키기 시작합니다: buffer space has too many data errors.
     # 아래 구성은 재시작 시 데이터 손실을 방지하고 기본 Fluentd 버퍼 구성의 제한을 극복합니다.
     # 이 구성은 선택 사항입니다.
     # 자세한 내용은 https://docs.fluentd.org/configuration/buffer-section 을 참조합니다.
     <buffer>
       @type file
       flush_thread_count 8
       flush_interval 1s
       chunk_limit_size 10M
       queue_limit_length 16
       retry_max_interval 30
       retry_forever true
  </buffer>
</source>
-->
<filter test.log>
  @type record_transformer
  enable_ruby true
  <record>
    time ${time.utc.strftime("%Y-%m-%dT%H:%M:%SZ")}
  </record>
</filter>
<match test.log>
  @type s3
  aws_key_id  REPLACE_aws_access_key
  aws_sec_key  REPLACE_aws_secret_access_key
  s3_bucket  REPLACE_s3_bucket
  s3_region us-west-2
  path teleport/logs
  <buffer>
    @type file
    path /var/log/fluent/buffer/s3-events
    timekey 60
    timekey_wait 0
    timekey_use_utc true
    chunk_limit_size 256m
  </buffer>
  time_slice_format %Y%m%d%H%M%S
  <format>
    @type json
    </format>
</match>
<match session.*>
  @type stdout
</match>

Fluentd 컨테이너를 시작합니다:

$ docker run -p 8888:8888 -v $(pwd):/keys -v $(pwd)/fluent.conf:/fluentd/etc/fluent.conf fluentd-s3

이렇게 하면 Fluentd 컨테이너가 시작되고 Teleport Event Handler가 로그를 전송할 수 있도록 포트 8888이 공개됩니다.

단계 6/7. Teleport Event Handler 플러그인 실행

Event Handler 구성

이 섹션에서는 환경에 맞게 Teleport Event Handler를 구성합니다.

storage = "./storage"
timeout = "10s"
batch = 20
namespace = "default"
# 창 크기는 이벤트 핸들러가 Teleport로부터 이벤트를 요청하는 
# 시간 창의 지속 시간을 구성합니다. 기본적으로, 이는 24시간으로 설정됩니다.
# 기본 창 크기에 대해 이벤트 볼륨을 관리할 수 없는 경우
# 창 크기를 줄이세요.
# 창 크기는 Go의 time.ParseDuration으로 구문 분석된 지속 시간 문자열로 지정해야 합니다.
window-size = "24h"

[forward.fluentd]
ca = "/home/bob/event-handler/ca.crt"
cert = "/home/bob/event-handler/client.crt"
key = "/home/bob/event-handler/client.key"
url = "https://fluentd.example.com:8888/test.log"
session-url = "https://fluentd.example.com:8888/session"

[teleport]
addr = "example.teleport.com:443"
identity = "identity"

eventHandler:
  storagePath: "./storage"
  timeout: "10s"
  batch: 20
  namespace: "default"
  # 창 크기는 이벤트 핸들러가 Teleport로부터 이벤트를 요청하는 
  # 시간 창의 지속 시간을 구성합니다. 기본적으로, 이는 24시간으로 설정됩니다.
  # 기본 창 크기에 대해 이벤트 볼륨을 관리할 수 없는 경우 
  # 창 크기를 줄이세요.
  # 창 크기는 Go의 time.ParseDuration으로 구문 분석된 지속 시간 문자열로 지정해야 합니다.
  windowSize: "24h"

teleport:
  address: "example.teleport.com:443"
  identitySecretName: teleport-event-handler-identity
  identitySecretPath: identity

fluentd:
  url: "https://fluentd.fluentd.svc.cluster.local/events.log"
  sessionUrl: "https://fluentd.fluentd.svc.cluster.local/session.log"
  certificate:
    secretName: "teleport-event-handler-client-tls"
    caPath: "ca.crt"
    certPath: "client.crt"
    keyPath: "client.key"

persistentVolumeClaim:
  enabled: true

그 후, 다음과 같이 구성 파일을 수정합니다:

이벤트 핸들러에 tbot 바이너리를 사용하여 자격 증명을 제공하는 경우, 리눅스 서버에서 실행됩니다. 이벤트 핸들러 구성의 identity 값이 tbot이 생성하도록 구성한 아이덴티티 파일의 경로인 /opt/machine-id/identity와 동일한지 확인하세요.

Teleport Event Handler 시작

Teleport 이벤트 핸들러를 시작하려면 아래 지침을 따르세요.

[Unit]
Description=Teleport Event Handler
After=network.target

[Service]
Type=simple
Restart=always
ExecStart=/usr/local/bin/teleport-event-handler start --config=/etc/teleport-event-handler.toml --teleport-refresh-enabled=true
ExecReload=/bin/kill -HUP $MAINPID
PIDFile=/run/teleport-event-handler.pid

[Install]
WantedBy=multi-user.target

sudo systemctl enable teleport-event-handler
sudo systemctl start teleport-event-handler

teleport-event-handler start --config /etc/teleport-event-handler.toml --start-time "2021-05-05T00:00:00Z"

sudo journalctl -u teleport-event-handler
DEBU   Event sent id:f19cf375-4da6-4338-bfdc-e38334c60fd1 index:0 ts:2022-09-2118:51:04.849 +0000 UTC type:cert.create event-handler/app.go:140...

helm install teleport-plugin-event-handler teleport/teleport-plugin-event-handler \  --values teleport-plugin-event-handler-values.yaml \  --version 16.2.0

docker run --network host -v `pwd`:/opt/teleport-plugin -w /opt/teleport-plugin public.ecr.aws/gravitational/teleport-plugin-event-handler:16.2.0 start --config=teleport-event-handler.toml

이제 Panther의 로그 보기에서 Teleport 클러스터 이벤트가 보고되어야 합니다.

단계 7/7. S3에서 로그를 수집하도록 Panther 구성

로그가 S3로 전송되면 Panther에서 이를 수집하도록 구성할 수 있습니다. S3 버킷을 데이터 소스로 설정하려면 Panther 문서를 따르세요.

연결 문제 해결

Teleport Event Handler가 Teleport 클러스터에 연결하는 동안 오류 로그를 표시하는 경우, 다음을 확인하십시오:

• Teleport Event Handler가 Teleport 클러스터에 연결하는 데 사용하는 인증서가 만료되지 않았는지 확인하십시오. 이는 tctl auth sign 명령에서 --ttl 플래그의 값으로, 기본값은 12시간입니다.
• Teleport Event Handler 구성 파일(teleport-event-handler.toml)에서 Teleport 프록시 서비스에 대한 올바른 호스트 및 포트를 제공했는지 확인하십시오.
• Teleport Event Handler를 시작하기 전에 FluentD 컨테이너를 시작하십시오. Event Handler는 시작 시 FluentD에 즉시 연결하려고 시도합니다.

다음 단계

• 임시 권한 부여(impersonation)에 대해 자세히 알아보세요.
• Panther 탐지, 경고 및 알림에 대해 더 알아보세요.
• teleport-plugin-event-handler Helm 차트에 설정할 수 있는 모든 옵션을 보려면 참조 가이드를 참조하십시오.