Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Tanium Asset-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Tanium Asset-Logs mit zwei verschiedenen Methoden in Google Security Operations aufnehmen.

Sie können zwischen dem nativen Amazon S3-Export von Tanium Connect oder der Echtzeit-Syslog-Weiterleitung mit Bindplane wählen. Bei beiden Methoden wird das Tanium Connect-Modul verwendet, um Asset-Daten aus Tanium zu extrahieren und zur Analyse und Überwachung an Chronicle weiterzuleiten.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Privilegierter Zugriff auf die Tanium Console (Connect-Modul) zum Konfigurieren von Exportzielen
Wählen Sie die gewünschte Integrationsmethode aus:
- Option 1 (empfohlen): Privilegierter Zugriff auf AWS (S3, IAM) für den nativen S3-Export
- Option 2: Ein Windows 2016- oder Linux-Host mit systemd für die Installation des Bindplane-Agents

Option 1: Tanium Asset-Logs mit AWS S3 exportieren

Amazon S3-Bucket erstellen

Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung in diesem Nutzerhandbuch: Bucket erstellen.
Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. tanium-asset-logs).
Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
Wählen Sie den erstellten Nutzer aus.
Wählen Sie den Tab Sicherheitsanmeldedaten aus.
Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
Klicken Sie auf Weiter.
- Optional: Fügen Sie ein Beschreibungstag hinzu.
Klicken Sie auf Zugriffsschlüssel erstellen.
Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.
Klicken Sie auf Fertig.
Wählen Sie den Tab Berechtigungen aus.
Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
Wählen Sie Berechtigungen hinzufügen aus.
Wählen Sie Richtlinien direkt anhängen aus.
Suchen Sie nach der Richtlinie AmazonS3FullAccess.
Wählen Sie die Richtlinie aus.
Klicken Sie auf Weiter.
Klicken Sie auf Berechtigungen hinzufügen.

Tanium Connect für den S3-Export konfigurieren

Melden Sie sich mit Administratorberechtigungen in der Tanium Console an.
Gehen Sie zu Module > „Verbinden“ > „Übersicht“ und klicken Sie auf Verbindung erstellen.
Klicken Sie auf Erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Asset S3 Export.
- Beschreibung: Optionale Beschreibung für diese Verbindung.
- Aktivieren: Wählen Sie Aktivieren aus, um die Ausführung nach einem Zeitplan zu aktivieren.
Klicken Sie auf Weiter.
In der Quellkonfiguration:
- Quelle: Wählen Sie Gespeicherte Frage aus.
- Frage: Wählen Sie eine vorhandene gespeicherte Frage aus, die Asset-Daten zurückgibt, oder erstellen Sie eine neue Frage mit Asset-bezogenen Sensoren (z. B. Computername, IP-Adresse, Betriebssystemplattform, Domain).
- Computer Group (Computergruppe): Wählen Sie die Computergruppe aus, für die Asset-Daten erfasst werden sollen.
Klicken Sie auf Weiter.
Bei der Konfiguration des Ziels:
- Ziel: Wählen Sie AWS S3 aus.
- Name: Geben Sie einen Zielnamen ein, z. B. Chronicle Asset S3.
- AWS-Zugriffsschlüssel-ID: Geben Sie die Zugriffsschlüssel-ID des IAM-Nutzers ein.
- Geheimer AWS-Zugriffsschlüssel: Geben Sie den geheimen Zugriffsschlüssel des IAM-Nutzers ein.
- S3 Bucket Name: tanium-asset-logs.
- S3-Schlüsselpräfix: tanium/assets/ (optionales Präfix für die Organisation).
- Region: Wählen Sie die AWS-Region aus, in der sich Ihr S3-Bucket befindet.
Klicken Sie auf Weiter.
In der Konfiguration Formatierung:
- Format: Wählen Sie JSON für den Export strukturierter Daten aus.
- Spalten: Wählen Sie die Asset-Felder aus, die Sie exportieren möchten, und formatieren Sie sie entsprechend.
Klicken Sie auf Weiter.
In der Zeitplan-Konfiguration:
- Zeitplan: Konfigurieren Sie den Zustellungszeitplan (z. B. stündlich oder täglich).
- Startdatum/‑zeit: Legen Sie fest, wann die Verbindung ausgeführt werden soll.
Klicken Sie auf Speichern, um die Verbindung zu erstellen und den automatischen S3-Export zu starten.

Optional: IAM-Nutzer mit Lesezugriff und Schlüssel für Google SecOps erstellen

Rufen Sie die AWS-Konsole > IAM > Nutzer > Nutzer hinzufügen auf.
Klicken Sie auf Nutzer hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Nutzer: Geben Sie secops-reader ein.
- Zugriffstyp: Wählen Sie Zugriffsschlüssel – programmatischer Zugriff aus.
Klicken Sie auf Nutzer erstellen.
Minimale Leserichtlinien (benutzerdefiniert) anhängen: Nutzer > secops-reader > Berechtigungen > Berechtigungen hinzufügen > Richtlinien direkt anhängen > Richtlinie erstellen.

JSON:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-asset-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-asset-logs"
    }
  ]
}

Name = secops-reader-policy.
Klicken Sie auf Richtlinie erstellen > suchen/auswählen > „Weiter“ > Berechtigungen hinzufügen.
Erstellen Sie einen Zugriffsschlüssel für secops-reader: Sicherheitsanmeldedaten > Zugriffsschlüssel > Zugriffsschlüssel erstellen > .csv herunterladen (diese Werte fügen Sie in den Feed ein).

Feed in Google SecOps konfigurieren, um Tanium Asset-Protokolle aufzunehmen

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf + Neuen Feed hinzufügen.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tanium Asset logs.
Wählen Sie Amazon S3 V2 als Quelltyp aus.
Wählen Sie Tanium Asset als Log type (Protokolltyp) aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- S3-URI: s3://tanium-asset-logs/tanium/assets/
- Optionen zum Löschen von Quellen: Wählen Sie die gewünschte Option zum Löschen aus.
- Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
- Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
- Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
- Asset-Namespace: der Asset-Namespace.
- Labels für die Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
Klicken Sie auf Weiter.
Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Option 2: Tanium Asset-Protokollexport mit Syslog und Bindlane konfigurieren

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agenten für die Aufnahme von Syslog-Daten und das Senden an Google SecOps konfigurieren

Rufen Sie die Konfigurationsdatei auf:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <PLACEHOLDER_CUSTOMER_ID> durch die tatsächliche Kundennummer.
Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei in Schritt 1 gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
Um den Bindplane-Agent unter Windows neu zu starten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Syslog-Weiterleitung auf Tanium Asset konfigurieren

Melden Sie sich mit Administratorberechtigungen in der Tanium Console an.
Gehen Sie zu Module > „Verbinden“ > „Übersicht“ und klicken Sie auf Verbindung erstellen.
Klicken Sie auf Erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Asset Integration.
- Beschreibung: Optionale Beschreibung für diese Verbindung.
- Aktivieren: Wählen Sie Aktivieren aus, um die Ausführung nach einem Zeitplan zu aktivieren.
Klicken Sie auf Weiter.
In der Quellkonfiguration:
- Quelle: Wählen Sie Gespeicherte Frage aus.
- Frage: Wählen Sie eine vorhandene gespeicherte Frage aus, die Asset-Daten zurückgibt, oder erstellen Sie eine neue Frage mit Asset-bezogenen Sensoren.
- Computer Group (Computergruppe): Wählen Sie die Computergruppe aus, für die Asset-Daten erfasst werden sollen.
Klicken Sie auf Weiter.
Bei der Konfiguration des Ziels:
- Ziel: Wählen Sie SIEM/Syslog aus.
- Name: Geben Sie einen Zielnamen ein, z. B. Chronicle Asset Syslog.
- Host: Geben Sie die Bindplane-IP-Adresse ein.
- Port: Geben Sie die Bindplane-Portnummer ein (z. B. 514).
- Protokoll: Wählen Sie UDP aus.
- Format: Wählen Sie SYSLOG RFC 5424 aus.
- Zeitzone: Wählen Sie die Zeitzone UTC aus, um eine universelle Konsistenz zwischen den Systemen zu gewährleisten.
Klicken Sie auf Weiter.
In der Konfiguration Formatierung:
- Format: Wählen Sie JSON aus.
- Spalten: Wählen Sie die Asset-Felder aus, die Sie weiterleiten möchten, z. B. „Computername“, „IP-Adresse“, „Betriebssystemplattform“ und „Domain“.
Klicken Sie auf Weiter.
In der Zeitplan-Konfiguration:
- Zeitplan: Konfigurieren Sie den Bereitstellungszeitplan (z. B. stündlich).
- Startdatum/‑zeit: Legen Sie fest, wann die Verbindung ausgeführt werden soll.
Klicken Sie auf Speichern, um die Verbindung zu erstellen und die Weiterleitung zu starten.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`application_name`	`entity.metadata.source_labels.value`	Der Wert wird aus dem Feld „application_name“ übernommen, sofern es im Rohlog vorhanden ist.
`application_vendor`	`entity.metadata.source_labels.value`	Der Wert wird aus dem Feld „application_vendor“ übernommen, sofern es im Rohlog vorhanden ist.
`application_version`	`entity.metadata.product_version`	Der Wert wird aus dem Feld „application_version“ übernommen, sofern es im Rohlog vorhanden ist.
`BIOS_Current_Language`	`entity.metadata.source_labels.value`	Der Wert wird aus dem Feld „BIOS_Current_Language“ übernommen, sofern es im Rohlog vorhanden ist.
`BIOS_Release_Date`	`entity.metadata.source_labels.value`	Der Wert wird aus dem Feld „BIOS_Release_Date“ übernommen, sofern es im Rohlog vorhanden ist.
`BIOS_Vendor`	`entity.metadata.source_labels.value`	Der Wert wird aus dem Feld „BIOS_Vendor“ übernommen, sofern es im Rohlog vorhanden ist.
`BIOS_Version`	`entity.metadata.product_version`	Der Wert wird aus dem Feld „BIOS_Version“ übernommen, sofern es im Rohlog vorhanden ist.
`Chassis Type`	`entity.entity.asset.category`	Der Wert wird aus dem Feld „Chassis Type“ (Chassistyp) übernommen, sofern es im Rohlog vorhanden ist.
`Computer ID`	`entity.entity.asset.product_object_id`	Der Wert wird aus dem Feld „Computer-ID“ übernommen, sofern es im Rohlog vorhanden ist. Wird auch verwendet, um „entity.relations.entity.asset.asset_id“ mit dem Präfix „id: “ zu füllen.
`Computer Name`	`entity.entity.asset.hostname`	Der Wert wird aus dem Feld „Computername“ übernommen, sofern es im Rohlog vorhanden ist.
`Count`	`entity.metadata.source_labels.value`	Der Wert wird aus dem Feld „Count“ (Anzahl) übernommen, sofern es im Rohlog vorhanden ist.
`Endpoint Fingerprint`	`entity.entity.asset.hardware.serial_number`	Der Wert wird aus dem Feld „Endpoint Fingerprint“ (Endpunkt-Fingerabdruck) übernommen, sofern es im Rohlog vorhanden ist.
`IP Address`	`entity.entity.asset.ip`	Die Werte werden aus dem Feld „IP-Adresse“ übernommen und als separate IP-Adressen in das Array eingefügt.
`Last Logged In User`	`entity.relations.entity.user.userid`	Der Wert wird aus dem Feld „Last Logged In User“ (Zuletzt angemeldeter Nutzer) übernommen. Dabei wird ein Domainpräfix entfernt, falls es im Rohlog vorhanden ist.
`Last Reboot`	`entity.entity.asset.last_boot_time`	Der Wert wird aus dem Feld „Last Reboot“ (Letzter Neustart) geparst und als Zeitstempel formatiert, sofern er im Rohlog vorhanden ist.
`MAC Address`	`entity.entity.asset.mac`	Die Werte werden aus dem Feld „MAC Address“ (MAC-Adresse) übernommen und als separate MAC-Adressen dem Array hinzugefügt.
`Manufacturer`	`entity.entity.asset.hardware.manufacturer`	Der Wert wird aus dem Feld „Hersteller“ übernommen, sofern es im Rohlog vorhanden ist.
`Operating System`	`entity.entity.asset.platform_software.platform_version`	Der Wert wird aus dem Feld „Betriebssystem“ übernommen, sofern es im Rohlog vorhanden ist. Wird verwendet, um den Wert von entity.entity.asset.platform_software.platform (WINDOWS, LINUX oder MAC) zu bestimmen.
`platform`	`entity.entity.asset.platform_software.platform_version`	Der Wert wird aus dem Feld „platform“ übernommen, sofern es im Rohlog vorhanden ist. Wird verwendet, um den Wert von entity.entity.asset.platform_software.platform (WINDOWS, LINUX oder MAC) zu bestimmen.
`serial_number`	`entity.entity.asset.hardware.serial_number`	Der Wert wird aus dem Feld „serial_number“ übernommen, sofern es im Rohlog vorhanden ist.
`version`	`entity.entity.asset.platform_software.platform_version`	Der Wert wird aus dem Feld „version“ übernommen, sofern es im Rohlog vorhanden ist. Wird verwendet, um den Wert von entity.entity.asset.platform_software.platform (WINDOWS, LINUX oder MAC) zu bestimmen.
–	`entity.metadata.collected_timestamp`	Auf die create_time des Batches festgelegt.
–	`entity.metadata.vendor_name`	Immer auf „TANIUM_ASSET“ festgelegt.
–	`entity.metadata.product_name`	Immer auf „TANIUM_ASSET“ festgelegt.
–	`entity.metadata.entity_type`	Immer auf „ASSET“ festgelegt.
–	`entity.relations.entity_type`	Immer auf „USER“ festgelegt.
–	`entity.relations.relationship`	Immer auf „OWNS“ festgelegt.
`comp_serial_num`	`_asset_entity.asset.product_object_id`	Aus dem Änderungsprotokoll zugeordnet
`application_name", "count", "application_vendor", "BIOS_Release_Date", "BIOS_Vendor", and "BIOS_Current_Language`	`metadata.source_labels`	Aus dem Änderungsprotokoll zugeordnet
`application_version" and "BIOS_Version`	`metadata.product_version`	Aus dem Änderungsprotokoll zugeordnet
`computer_id`	`entity.asset.asset_id`	Aus dem Änderungsprotokoll zugeordnet
`comp_serial_num`	`hardware.serial_number`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten