Tanium Asset-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Tanium Asset-Logs mit zwei verschiedenen Methoden in Google Security Operations aufnehmen.

Sie können zwischen dem nativen Amazon S3-Export von Tanium Connect oder der Echtzeit-Syslog-Weiterleitung mit Bindplane wählen. Bei beiden Methoden wird das Tanium Connect-Modul verwendet, um Asset-Daten aus Tanium zu extrahieren und zur Analyse und zum Monitoring an Chronicle weiterzuleiten.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf die Tanium Console (Connect-Modul) zum Konfigurieren von Exportzielen
  • Wählen Sie die gewünschte Integrationsmethode aus:
    • Option 1 (empfohlen): Privilegierter Zugriff auf AWS (S3, IAM) für den nativen S3-Export
    • Option 2: Ein Windows 2016- oder höherer oder Linux-Host mit systemd für die Installation des Bindplane-Agents

Option 1: Tanium Asset-Logs mit AWS S3 exportieren

Amazon S3-Bucket erstellen

  1. Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. tanium-asset-logs).
  3. Erstellen Sie einen Nutzer gemäß dem Nutzerhandbuch IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
  7. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
  8. Klicken Sie auf Weiter.
    • Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
  9. Klicken Sie auf Zugriffsschlüssel erstellen.
  10. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel zur späteren Verwendung zu speichern.
  11. Klicken Sie auf Fertig.
  12. Wählen Sie den Tab Berechtigungen aus.
  13. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  14. Wählen Sie Berechtigungen hinzufügen aus.
  15. Wählen Sie Richtlinien direkt anhängen aus.
  16. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
  17. Wählen Sie die Richtlinie aus.
  18. Klicken Sie auf Weiter.
  19. Klicken Sie auf Berechtigungen hinzufügen.

Tanium Connect für den S3-Export konfigurieren

  1. Melden Sie sich mit Administratorberechtigungen in der Tanium Console an.
  2. Gehen Sie zu Module > Connect > Übersicht und klicken Sie auf Verbindung erstellen.
  3. Klicken Sie auf Erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Asset S3 Export).
    • Beschreibung: Optionale Beschreibung für diese Verbindung.
    • Aktivieren: Wählen Sie Aktivieren aus, um die Ausführung nach einem Zeitplan zu aktivieren.
  5. Klicken Sie auf Weiter.
  6. In der Quellkonfiguration:
    • Quelle: Wählen Sie Gespeicherte Frage aus.
    • Frage: Wählen Sie eine vorhandene gespeicherte Frage aus, die Asset-Daten zurückgibt, oder erstellen Sie eine neue Frage mit Asset-bezogenen Sensoren (z. B. Computername, IP-Adresse, Betriebssystemplattform, Domain).
    • Computergruppe: Wählen Sie die Computergruppe aus, für die Asset-Daten erfasst werden sollen.
  7. Klicken Sie auf Weiter.
  8. Bei der Konfiguration des Ziels:
    • Ziel: Wählen Sie AWS S3 aus.
    • Name: Geben Sie einen Zielnamen ein (z. B. Chronicle Asset S3).
    • AWS-Zugriffsschlüssel-ID: Geben Sie die Zugriffsschlüssel-ID des IAM-Nutzers ein.
    • Geheimer AWS-Zugriffsschlüssel: Geben Sie den geheimen Zugriffsschlüssel des IAM-Nutzers ein.
    • S3 Bucket Name: tanium-asset-logs.
    • S3-Schlüsselpräfix: tanium/assets/ (optionales Präfix für die Organisation).
    • Region: Wählen Sie die AWS-Region aus, in der sich Ihr S3-Bucket befindet.
  9. Klicken Sie auf Weiter.
  10. In der Formatierungskonfiguration:
    • Format: Wählen Sie JSON für den Export strukturierter Daten aus.
    • Spalten: Wählen Sie die Asset-Felder aus, die Sie exportieren möchten, und formatieren Sie sie entsprechend.
  11. Klicken Sie auf Weiter.
  12. In der Zeitplan-Konfiguration:
    • Zeitplan: Konfigurieren Sie den Zustellungszeitplan (z. B. stündlich oder täglich).
    • Startdatum/-uhrzeit: Legen Sie fest, wann die Verbindung gestartet werden soll.
  13. Klicken Sie auf Speichern, um die Verbindung zu erstellen und den automatischen S3-Export zu starten.

Optional: IAM-Nutzer mit Lesezugriff und Schlüssel für Google SecOps erstellen

  1. Rufen Sie die AWS-Konsole > IAM > Users > Add users auf.
  2. Klicken Sie auf Nutzer hinzufügen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Nutzer: Geben Sie secops-reader ein.
    • Zugriffstyp: Wählen Sie Zugriffsschlüssel – Programmatischer Zugriff aus.
  4. Klicken Sie auf Nutzer erstellen.
  5. Richtlinie für minimalen Lesezugriff (benutzerdefiniert) anhängen: Nutzer > secops-reader > Berechtigungen > Berechtigungen hinzufügen > Richtlinien direkt anhängen > Richtlinie erstellen.

  6. JSON:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-asset-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-asset-logs"
    }
  ]
}

  7. Name = secops-reader-policy.

  8. Klicken Sie auf Richtlinie erstellen > Suchen/Auswählen > Weiter > Berechtigungen hinzufügen.

  9. Erstellen Sie einen Zugriffsschlüssel für secops-reader: Sicherheitsanmeldedaten > Zugriffsschlüssel > Zugriffsschlüssel erstellen > Laden Sie die .csv herunter (Sie fügen diese Werte in den Feed ein).

Feed in Google SecOps konfigurieren, um Tanium Asset-Protokolle aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf + Neuen Feed hinzufügen.
  3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tanium Asset logs.
  4. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  5. Wählen Sie Tanium Asset als Logtyp aus.
  6. Klicken Sie auf Weiter.
  7. Geben Sie Werte für die folgenden Eingabeparameter an:
    • S3-URI: s3://tanium-asset-logs/tanium/assets/
    • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.
    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
    • Asset-Namespace: der Asset-Namespace.
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
  8. Klicken Sie auf Weiter.
  9. Prüfen Sie die neue Nachrichten-Feed-Konfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Option 2: Export von Tanium Asset-Logs mit syslog und Bindlane konfigurieren

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agenten für die Aufnahme von Syslog-Daten und das Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:

    • Suchen Sie die Datei config.yaml. In der Regel befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran.
    • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
    • Ersetzen Sie <PLACEHOLDER_CUSTOMER_ID> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json mit dem Dateipfad, in dem die Dienstkontoschlüsseldatei (Option 1) in Schritt 1 gespeichert wurde.

Exporter für die Legacy Ingestion API

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

  • Wenn Sie den Bindplane-Agenten unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop observiq-otel-collector && net start observiq-otel-collector

Syslog-Weiterleitung auf Tanium Asset konfigurieren

  1. Melden Sie sich mit Administratorberechtigungen in der Tanium Console an.
  2. Gehen Sie zu Module > „Verbinden“ > „Übersicht“ und klicken Sie auf Verbindung erstellen.
  3. Klicken Sie auf Erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Asset Integration.
    • Beschreibung: Optionale Beschreibung für diese Verbindung.
    • Aktivieren: Wählen Sie Aktivieren aus, um die Ausführung nach einem Zeitplan zu aktivieren.
  5. Klicken Sie auf Weiter.
  6. In der Quellkonfiguration:
    • Quelle: Wählen Sie Gespeicherte Frage aus.
    • Frage: Wählen Sie eine vorhandene gespeicherte Frage aus, die Asset-Daten zurückgibt, oder erstellen Sie eine neue Frage mit Asset-bezogenen Sensoren.
    • Computergruppe: Wählen Sie die Computergruppe aus, für die Asset-Daten erfasst werden sollen.
  7. Klicken Sie auf Weiter.
  8. Bei der Konfiguration des Ziels:
    • Ziel: Wählen Sie SIEM/Syslog aus.
    • Name: Geben Sie einen Zielnamen ein (z. B. Chronicle Asset Syslog).
    • Host: Geben Sie die Bindplane-IP-Adresse ein.
    • Port: Geben Sie die BindPlane-Portnummer ein (z. B. 514).
    • Protokoll: Wählen Sie UDP aus.
    • Format: Wählen Sie SYSLOG RFC 5424 aus.
    • Zeitzone: Wählen Sie die Zeitzone UTC aus, um eine universelle Konsistenz zwischen den Systemen zu gewährleisten.
  9. Klicken Sie auf Weiter.
  10. In der Formatierungskonfiguration:
    • Format: Wählen Sie JSON aus.
    • Spalten: Wählen Sie die Asset-Felder aus, die Sie weiterleiten möchten (z. B. Computername, IP-Adresse, Betriebssystemplattform, Domain).
  11. Klicken Sie auf Weiter.
  12. In der Zeitplan-Konfiguration:
    • Zeitplan: Konfigurieren Sie den Lieferzeitplan (z. B. jede Stunde).
    • Startdatum/‑zeit: Legen Sie fest, wann die Verbindung ausgeführt werden soll.
  13. Klicken Sie auf Speichern, um die Verbindung zu erstellen und die Weiterleitung zu starten.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
application_name entity.metadata.source_labels.value Der Wert wird aus dem Feld „application_name“ übernommen, sofern er im Rohlog vorhanden ist.
application_vendor entity.metadata.source_labels.value Der Wert wird aus dem Feld „application_vendor“ übernommen, falls es im Rohlog vorhanden ist.
application_version entity.metadata.product_version Der Wert wird aus dem Feld „application_version“ übernommen, sofern es im Rohlog vorhanden ist.
BIOS_Current_Language entity.metadata.source_labels.value Der Wert wird aus dem Feld „BIOS_Current_Language“ übernommen, sofern es im Rohlog vorhanden ist.
BIOS_Release_Date entity.metadata.source_labels.value Der Wert wird aus dem Feld „BIOS_Release_Date“ übernommen, falls es im Rohlog vorhanden ist.
BIOS_Vendor entity.metadata.source_labels.value Der Wert wird aus dem Feld „BIOS_Vendor“ übernommen, sofern es im Rohlog vorhanden ist.
BIOS_Version entity.metadata.product_version Der Wert wird aus dem Feld „BIOS_Version“ übernommen, sofern es im Rohlog vorhanden ist.
Chassis Type entity.entity.asset.category Der Wert wird aus dem Feld „Chassis Type“ (Chassistyp) übernommen, sofern es im Rohlog vorhanden ist.
Computer ID entity.entity.asset.product_object_id Der Wert wird aus dem Feld „Computer-ID“ übernommen, sofern es im Rohlog vorhanden ist. Wird auch verwendet, um entity.relations.entity.asset.asset_id mit dem Präfix „id: “ zu füllen.
Computer Name entity.entity.asset.hostname Der Wert wird aus dem Feld „Computer Name“ übernommen, sofern er im Rohlog vorhanden ist.
Count entity.metadata.source_labels.value Der Wert wird aus dem Feld „Count“ übernommen, sofern es im Rohlog vorhanden ist.
Endpoint Fingerprint entity.entity.asset.hardware.serial_number Der Wert wird aus dem Feld „Endpoint Fingerprint“ (Endpunkt-Fingerabdruck) übernommen, sofern es im Rohlog vorhanden ist.
IP Address entity.entity.asset.ip Die Werte werden aus dem Feld „IP-Adresse“ übernommen und dem Array als separate IP-Adressen hinzugefügt.
Last Logged In User entity.relations.entity.user.userid Der Wert wird aus dem Feld „Last angemeldet User“ übernommen, wobei ein eventuell vorhandenes Domainpräfix aus dem Rohlog entfernt wird.
Last Reboot entity.entity.asset.last_boot_time Der Wert wird aus dem Feld „Last Reboot“ geparst und als Zeitstempel formatiert, wenn er im Rohlog vorhanden ist.
MAC Address entity.entity.asset.mac Die Werte werden aus dem Feld „MAC-Adresse“ übernommen und dem Array als separate MAC-Adressen hinzugefügt.
Manufacturer entity.entity.asset.hardware.manufacturer Der Wert wird aus dem Feld „Hersteller“ übernommen, sofern er im Rohlog vorhanden ist.
Operating System entity.entity.asset.platform_software.platform_version Der Wert wird aus dem Feld „Betriebssystem“ übernommen, sofern es im Rohlog vorhanden ist. Wird verwendet, um den Wert von entity.entity.asset.platform_software.platform (WINDOWS, LINUX oder MAC) zu bestimmen.
platform entity.entity.asset.platform_software.platform_version Der Wert wird aus dem Feld „platform“ übernommen, sofern es im Rohlog vorhanden ist. Wird verwendet, um den Wert von entity.entity.asset.platform_software.platform (WINDOWS, LINUX oder MAC) zu bestimmen.
serial_number entity.entity.asset.hardware.serial_number Der Wert wird aus dem Feld „serial_number“ übernommen, sofern es im Rohlog vorhanden ist.
version entity.entity.asset.platform_software.platform_version Der Wert wird aus dem Feld „version“ übernommen, sofern es im Rohlog vorhanden ist. Wird verwendet, um den Wert von entity.entity.asset.platform_software.platform (WINDOWS, LINUX oder MAC) zu bestimmen.
– entity.metadata.collected_timestamp Auf die create_time des Batches festgelegt.
– entity.metadata.vendor_name Immer auf „TANIUM_ASSET“ festgelegt.
– entity.metadata.product_name Immer auf „TANIUM_ASSET“ festgelegt.
– entity.metadata.entity_type Immer auf „ASSET“ festgelegt.
– entity.relations.entity_type Immer auf „USER“ festgelegt.
– entity.relations.relationship Immer auf „OWNS“ festgelegt.
comp_serial_num _asset_entity.asset.product_object_id Aus Änderungsprotokoll zugeordnet
application_name", "count", "application_vendor", "BIOS_Release_Date", "BIOS_Vendor", and "BIOS_Current_Language metadata.source_labels Aus Änderungsprotokoll zugeordnet
application_version" and "BIOS_Version metadata.product_version Aus Änderungsprotokoll zugeordnet
computer_id entity.asset.asset_id Aus Änderungsprotokoll zugeordnet
comp_serial_num hardware.serial_number Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten