InfoGrab DocsInfoGrab Docs

Teleport 감사 로그 분석 및 연관 분석

요약

이 가이드에서는 Teleport 클러스터가 감사 로그를 Identity Security 제품으로 전달하도록 구성하여 의심스러운 활동에 대한 가시성과 알림을 향상시키는 방법을 다룹니다. Teleport Identity Activity Center는 가시성을 향상시키고, 여러 데이터 소스에 걸쳐 사람과 비인간 ID 모두의 활동을 검색하고 분석할 수 있게 해주는 중앙 집중식 데이터 플랫폼입니다.

이 가이드에서는 Teleport 클러스터가 감사 로그를 Identity Security 제품으로 전달하도록 구성하여 의심스러운 활동에 대한 가시성과 알림을 향상시키는 방법을 다룹니다.

Teleport Identity Activity Center는 가시성을 향상시키고, 여러 데이터 소스에 걸쳐 사람과 비인간 ID 모두의 활동을 검색하고 분석할 수 있게 해주는 중앙 집중식 데이터 플랫폼입니다.

이는 AWS, GitHub, Okta, Teleport와 같은 서비스 전반의 접근 정책을 해당 ID들의 실시간 활동과 매핑하는 풍부한 시각화 계층을 제공합니다.

보안 및 운영 팀을 지원하기 위해 구축된 Identity Activity Center는 서로 다른 플랫폼에 걸쳐 동일한 ID의 활동을 결합하여 플랫폼 전반의 ID 기반 이벤트 상관관계를 개선하고 조사를 신속하게 처리합니다. 감사 로그에서 이상 징후를 감지하고, 비정상적인 동작을 강조하며, 각 ID가 기업 서비스 전반에서 갖는 접근 수준을 설명하는 지능형 알림 엔진을 통해 사고 대응 시 맥락적 인사이트를 제공합니다.

Identity Activity Center는 Teleport Identity Security 제품의 기능이며, Teleport Enterprise 고객만 이용할 수 있습니다.

작동 방식#

Teleport 클러스터는 수신되는 감사 로그를 지속적으로 모니터링하고 이를 Identity Security로 전달합니다. 전달된 로그는 그곳에서 수집, 표준화, 분석되어 장기간 보관됩니다.

사전 요구사항#

  • 실행 중인 Teleport Enterprise 클러스터 v18.0.0 이상.
  • 계정에 대해 Identity Security가 활성화되어 있어야 합니다.
  • 셀프 호스팅 클러스터의 경우:
    • Auth 서비스 구성에서 최신 license.pem이 사용되고 있는지 확인하세요.
    • Identity Activity Center가 활성화된, 실행 중인 Access Graph 노드 v1.28.0 이상. Access Graph를 설정하고 Identity Activity Center를 활성화하는 방법에 대한 자세한 내용은 Identity Security 페이지를 확인하세요.

단계 1/1. Teleport 감사 로그 내보내기 활성화#

이 섹션에서는 Teleport 클러스터를 구성하여 감사 로그를 Teleport Identity Security로 내보내는 과정을 안내합니다.

Note

start_date 매개변수는 선택 사항입니다. 설정하지 않으면 첫 번째 감사 로그 내보내기 성공 시점을 기준으로 10일 전으로 기본 설정됩니다. 이 매개변수는 이후에 수정할 수 없습니다.

클러스터를 배포할 때 사용한 배포 모드를 선택하세요.

셀프 호스팅 클러스터를 실행하는 경우, 각 Teleport Auth 서비스 인스턴스의 구성 파일(기본적으로 /etc/teleport.yaml)을 편집하고 다음 YAML 스니펫을 병합하세요:

access_graph:
    # <...>

    audit_log:
        # enables Audit Log export from Teleport
        enabled: true
        # start_date is an optional field. It defines the date when
        # Identity Activity Center should ingest the Teleport Logs.
        # If not defined, it defaults to 10 days prior to the first init.
        #
        # start_date: "2025-06-01T00:00:00Z"

완료되면 다음 명령으로 Teleport Auth 서비스를 재시작하세요:

$ sudo systemctl restart teleport

Teleport 클러스터가 teleport-cluster Helm 차트를 사용해 설치된 경우, 배포에 대한 값을 업데이트하고 다음 세부 정보를 포함하세요:

auth:
  teleportConfig:
    # <...>

    # Add a section for configuring the Access Graph connection.
    access_graph:
        # <...>
        audit_log:
            # enables Audit Log export from Teleport
            enabled: true
            # start_date is an optional field. It defines the date when
            # Identity Activity Center should ingest the Teleport Logs.
            # If not defined, it defaults to 10 days prior to the first init.
            #
            # start_date: "2025-06-01T00:00:00Z"

start_date 매개변수는 선택 사항입니다. 설정하지 않으면 첫 번째 감사 로그 내보내기 성공 시점을 기준으로 10일 전으로 기본 설정됩니다. 이 매개변수는 이후에 수정할 수 없습니다.

teleport-cluster Helm 차트를 사용하지 않는 경우, Teleport 클러스터 배포에 동등한 변경을 직접 수행해야 합니다:

  • Teleport Auth 서비스의 YAML 구성 파일 최상위 레벨에 access_graph: 섹션을 추가하세요.
  • Auth 서비스가 CA 인증서를 읽을 수 있도록 생성된 ConfigMap을 볼륨으로 마운트하세요.

마지막으로 (값이 values-teleport.yaml에 저장되어 있다고 가정하고) Helm 차트를 재배포하세요. Auth 서비스 변경이 성공하면 Proxy 서비스를 재시작하세요. teleport-cluster-deployment-name에 teleport-cluster 배포의 이름을 지정하세요:

$ helm upgrade -n teleport-cluster-namespace -f values-teleport.yaml \
  --version <version> teleport-cluster-deployment-name teleport/teleport-cluster
$ kubectl -n teleport-cluster-namespace rollout status deployment/teleport-auth   # Wait for the deployment to succeed
$ kubectl -n teleport-cluster-namespace rollout restart deployment/teleport-proxy
$ kubectl -n teleport-cluster-namespace rollout status deployment/teleport-proxy  # Wait for the deployment to succeed

Teleport 감사 로그 분석 및 연관 분석

Teleport v18.10
원문 보기

요약

이 가이드에서는 Teleport 클러스터가 감사 로그를 Identity Security 제품으로 전달하도록 구성하여 의심스러운 활동에 대한 가시성과 알림을 향상시키는 방법을 다룹니다. Teleport Identity Activity Center는 가시성을 향상시키고, 여러 데이터 소스에 걸쳐 사람과 비인간 ID 모두의 활동을 검색하고 분석할 수 있게 해주는 중앙 집중식 데이터 플랫폼입니다.

이 가이드에서는 Teleport 클러스터가 감사 로그를 Identity Security 제품으로 전달하도록 구성하여 의심스러운 활동에 대한 가시성과 알림을 향상시키는 방법을 다룹니다.

Teleport Identity Activity Center는 가시성을 향상시키고, 여러 데이터 소스에 걸쳐 사람과 비인간 ID 모두의 활동을 검색하고 분석할 수 있게 해주는 중앙 집중식 데이터 플랫폼입니다.

이는 AWS, GitHub, Okta, Teleport와 같은 서비스 전반의 접근 정책을 해당 ID들의 실시간 활동과 매핑하는 풍부한 시각화 계층을 제공합니다.

보안 및 운영 팀을 지원하기 위해 구축된 Identity Activity Center는 서로 다른 플랫폼에 걸쳐 동일한 ID의 활동을 결합하여 플랫폼 전반의 ID 기반 이벤트 상관관계를 개선하고 조사를 신속하게 처리합니다. 감사 로그에서 이상 징후를 감지하고, 비정상적인 동작을 강조하며, 각 ID가 기업 서비스 전반에서 갖는 접근 수준을 설명하는 지능형 알림 엔진을 통해 사고 대응 시 맥락적 인사이트를 제공합니다.

Identity Activity Center는 Teleport Identity Security 제품의 기능이며, Teleport Enterprise 고객만 이용할 수 있습니다.

작동 방식#

Teleport 클러스터는 수신되는 감사 로그를 지속적으로 모니터링하고 이를 Identity Security로 전달합니다. 전달된 로그는 그곳에서 수집, 표준화, 분석되어 장기간 보관됩니다.

사전 요구사항#

  • 실행 중인 Teleport Enterprise 클러스터 v18.0.0 이상.
  • 계정에 대해 Identity Security가 활성화되어 있어야 합니다.
  • 셀프 호스팅 클러스터의 경우:
    • Auth 서비스 구성에서 최신 license.pem이 사용되고 있는지 확인하세요.
    • Identity Activity Center가 활성화된, 실행 중인 Access Graph 노드 v1.28.0 이상. Access Graph를 설정하고 Identity Activity Center를 활성화하는 방법에 대한 자세한 내용은 Identity Security 페이지를 확인하세요.

단계 1/1. Teleport 감사 로그 내보내기 활성화#

이 섹션에서는 Teleport 클러스터를 구성하여 감사 로그를 Teleport Identity Security로 내보내는 과정을 안내합니다.

Note

start_date 매개변수는 선택 사항입니다. 설정하지 않으면 첫 번째 감사 로그 내보내기 성공 시점을 기준으로 10일 전으로 기본 설정됩니다. 이 매개변수는 이후에 수정할 수 없습니다.

클러스터를 배포할 때 사용한 배포 모드를 선택하세요.

셀프 호스팅 클러스터를 실행하는 경우, 각 Teleport Auth 서비스 인스턴스의 구성 파일(기본적으로 /etc/teleport.yaml)을 편집하고 다음 YAML 스니펫을 병합하세요:

access_graph:
    # <...>

    audit_log:
        # enables Audit Log export from Teleport
        enabled: true
        # start_date is an optional field. It defines the date when
        # Identity Activity Center should ingest the Teleport Logs.
        # If not defined, it defaults to 10 days prior to the first init.
        #
        # start_date: "2025-06-01T00:00:00Z"

완료되면 다음 명령으로 Teleport Auth 서비스를 재시작하세요:

$ sudo systemctl restart teleport

Teleport 클러스터가 teleport-cluster Helm 차트를 사용해 설치된 경우, 배포에 대한 값을 업데이트하고 다음 세부 정보를 포함하세요:

auth:
  teleportConfig:
    # <...>

    # Add a section for configuring the Access Graph connection.
    access_graph:
        # <...>
        audit_log:
            # enables Audit Log export from Teleport
            enabled: true
            # start_date is an optional field. It defines the date when
            # Identity Activity Center should ingest the Teleport Logs.
            # If not defined, it defaults to 10 days prior to the first init.
            #
            # start_date: "2025-06-01T00:00:00Z"

start_date 매개변수는 선택 사항입니다. 설정하지 않으면 첫 번째 감사 로그 내보내기 성공 시점을 기준으로 10일 전으로 기본 설정됩니다. 이 매개변수는 이후에 수정할 수 없습니다.

teleport-cluster Helm 차트를 사용하지 않는 경우, Teleport 클러스터 배포에 동등한 변경을 직접 수행해야 합니다:

  • Teleport Auth 서비스의 YAML 구성 파일 최상위 레벨에 access_graph: 섹션을 추가하세요.
  • Auth 서비스가 CA 인증서를 읽을 수 있도록 생성된 ConfigMap을 볼륨으로 마운트하세요.

마지막으로 (값이 values-teleport.yaml에 저장되어 있다고 가정하고) Helm 차트를 재배포하세요. Auth 서비스 변경이 성공하면 Proxy 서비스를 재시작하세요. teleport-cluster-deployment-name에 teleport-cluster 배포의 이름을 지정하세요:

$ helm upgrade -n teleport-cluster-namespace -f values-teleport.yaml \
  --version <version> teleport-cluster-deployment-name teleport/teleport-cluster
$ kubectl -n teleport-cluster-namespace rollout status deployment/teleport-auth   # Wait for the deployment to succeed
$ kubectl -n teleport-cluster-namespace rollout restart deployment/teleport-proxy
$ kubectl -n teleport-cluster-namespace rollout status deployment/teleport-proxy  # Wait for the deployment to succeed