Mengumpulkan log Tanium Asset

Didukung di:

Dokumen ini menjelaskan cara menyerap log Aset Tanium ke Google Security Operations menggunakan dua metode yang berbeda.

Anda dapat memilih antara ekspor Amazon S3 native Tanium Connect atau penerusan syslog real-time menggunakan Bindplane. Kedua metode menggunakan modul Tanium Connect untuk mengekstrak data aset dari Tanium dan meneruskannya ke Chronicle untuk dianalisis dan dipantau.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke Tanium Console (modul Connect) untuk mengonfigurasi tujuan ekspor
  • Pilih metode integrasi yang Anda inginkan:
    • Opsi 1 (Direkomendasikan): Akses istimewa ke AWS (S3, IAM) untuk ekspor S3 native
    • Opsi 2: Host Windows 2016 atau yang lebih baru atau Linux dengan systemd untuk penginstalan agen BindPlane

Opsi 1: Mengonfigurasi ekspor log Tanium Asset menggunakan AWS S3

Buat bucket Amazon S3

  1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
  2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, tanium-asset-logs).
  3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
  4. Pilih User yang dibuat.
  5. Pilih tab kredensial keamanan.
  6. Klik Create Access Key di bagian Access Keys.
  7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
  8. Klik Berikutnya.
    • Opsional: Tambahkan tag deskripsi.
  9. Klik Create access key.
  10. Klik Download .csv file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
  11. Klik Done.
  12. Pilih tab Permissions.
  13. Klik Tambahkan izin di bagian Kebijakan izin.
  14. Pilih Tambahkan izin.
  15. Pilih Lampirkan kebijakan secara langsung.
  16. Telusuri kebijakan AmazonS3FullAccess.
  17. Pilih kebijakan.
  18. Klik Berikutnya.
  19. Klik Add permissions.

Mengonfigurasi Tanium Connect untuk S3 Export

  1. Login ke Tanium Console dengan hak istimewa administrator.
  2. Buka Modules > Connect > Overview, lalu klik Create Connection.
  3. Klik Create.
  4. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, Google SecOps Asset S3 Export).
    • Description: Deskripsi opsional untuk koneksi ini.
    • Aktifkan: Pilih Aktifkan untuk menjalankan sesuai jadwal.
  5. Klik Berikutnya.
  6. Di konfigurasi Source:
    • Source: Pilih Saved Question.
    • Question: Pilih pertanyaan tersimpan yang sudah ada yang menampilkan data Aset atau buat pertanyaan baru dengan sensor terkait Aset (misalnya, Computer Name, alamat IP, OS Platform, Domain).
    • Computer Group: Pilih grup komputer yang akan ditargetkan untuk pengumpulan data aset.
  7. Klik Berikutnya.
  8. Dalam konfigurasi Tujuan:
    • Tujuan: Pilih AWS S3.
    • Name: Masukkan nama tujuan (misalnya, Chronicle Asset S3).
    • AWS Access Key ID: Masukkan Access Key ID dari pengguna IAM.
    • AWS Secret Access Key: Masukkan Secret Access Key dari pengguna IAM.
    • S3 Bucket Name: tanium-asset-logs.
    • S3 Key Prefix: tanium/assets/ (awalan opsional untuk organisasi).
    • Region: Pilih region AWS tempat bucket S3 Anda berada.
  9. Klik Berikutnya.
  10. Di konfigurasi Formatting:
    • Format: Pilih JSON untuk ekspor data terstruktur.
    • Kolom: Pilih kolom Aset yang ingin Anda ekspor dan format dengan tepat.
  11. Klik Berikutnya.
  12. Di konfigurasi Schedule:
    • Jadwal: Konfigurasi jadwal pengiriman (misalnya, setiap jam atau setiap hari).
    • Tanggal/Waktu Mulai: Tetapkan kapan koneksi harus mulai berjalan.
  13. Klik Simpan untuk membuat koneksi dan memulai ekspor S3 otomatis.

(Opsional) Membuat pengguna & kunci IAM hanya baca untuk Google SecOps

  1. Buka AWS Console > IAM > Users > Add users.
  2. Klik Add users.
  3. Berikan detail konfigurasi berikut:
    • Pengguna: Masukkan secops-reader.
    • Access type: Pilih Access key — Programmatic access.
  4. Klik Create user.
  5. Lampirkan kebijakan baca minimal (kustom): Users > secops-reader > Permissions > Add permissions > Attach policies directly > Create policy.

  6. JSON:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-asset-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-asset-logs"
    }
  ]
}

  7. Nama = secops-reader-policy.

  8. Klik Create policy > search/select > Next > Add permissions.

  9. Buat kunci akses untuk secops-reader: Kredensial keamanan > Kunci akses > Buat kunci akses > download .csv (Anda akan menempelkan nilai ini ke feed).

Mengonfigurasi feed di Google SecOps untuk memproses log Aset Tanium

  1. Buka SIEM Settings > Feeds.
  2. Klik + Tambahkan Feed Baru.
  3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Tanium Asset logs).
  4. Pilih Amazon S3 V2 sebagai Jenis sumber.
  5. Pilih Tanium Asset sebagai Log type.
  6. Klik Berikutnya.
  7. Tentukan nilai untuk parameter input berikut:
    • S3 URI: s3://tanium-asset-logs/tanium/assets/
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
    • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.
    • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3.
    • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.
    • Namespace aset: namespace aset.
    • Label penyerapan: label yang diterapkan ke peristiwa dari feed ini.
  8. Klik Berikutnya.
  9. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Opsi 2: Mengonfigurasi ekspor log Aset Tanium menggunakan syslog dan Bindlane

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

  • Deployment baru: Gunakan Chronicle API (Opsi 1).
  • Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.
  1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
  2. Buka IAM & Admin > Service Accounts.
  3. Klik Create service account.
  4. Berikan detail konfigurasi berikut:
    • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
    • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
  5. Klik Create and continue.
  6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
  7. Klik Continue lalu klik Done.
  8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
  9. Klik Add key > Create new key.
  10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
  11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
  12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Collection Agents.
  3. Download file autentikasi penyerapan.
  4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat Panduan penginstalan agen Bindplane.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:

    • Cari file config.yaml. Biasanya, file ini berada di direktori /opt/observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan mengawali chronicle.googleapis.com dengan nilai ini.
    • Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
    • Ganti <PLACEHOLDER_CUSTOMER_ID> dengan ID Pelanggan yang sebenarnya.
    • Perbarui /path/to/ingestion-authentication-file.json ke jalur file tempat file kunci akun layanan (Opsi 1) disimpan di Langkah 1.

Pengekspor API penyerapan lama

  • Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop observiq-otel-collector && net start observiq-otel-collector

Mengonfigurasi penerusan Syslog di Tanium Asset

  1. Login ke Tanium Console dengan hak istimewa administrator.
  2. Buka Modules > Connect > Overview, lalu klik Create Connection.
  3. Klik Create.
  4. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, Google SecOps Asset Integration).
    • Description: Deskripsi opsional untuk koneksi ini.
    • Aktifkan: Pilih Aktifkan untuk menjalankan sesuai jadwal.
  5. Klik Berikutnya.
  6. Di konfigurasi Source:
    • Source: Pilih Saved Question.
    • Pertanyaan: Pilih pertanyaan tersimpan yang ada yang menampilkan data Aset atau buat pertanyaan baru dengan sensor terkait Aset.
    • Grup Komputer: Pilih grup komputer yang akan ditargetkan untuk pengumpulan data aset.
  7. Klik Berikutnya.
  8. Di konfigurasi Destination:
    • Tujuan: Pilih SIEM/Syslog.
    • Name: Masukkan nama tujuan (misalnya, Chronicle Asset Syslog).
    • Host: Masukkan IP Bindplane.
    • Port: Masukkan nomor port Bindplane (misalnya, 514).
    • Protocol: Pilih UDP.
    • Format: Pilih SYSLOG RFC 5424.
    • Timezone: Pilih zona waktu UTC untuk konsistensi universal di seluruh sistem.
  9. Klik Berikutnya.
  10. Di konfigurasi Formatting:
    • Format: Pilih JSON.
    • Kolom: Pilih kolom Aset yang ingin Anda teruskan (misalnya, Nama Komputer, Alamat IP, Platform OS, Domain).
  11. Klik Berikutnya.
  12. Di konfigurasi Schedule:
    • Jadwal: Konfigurasikan jadwal pengiriman (misalnya, setiap jam).
    • Tanggal/Waktu Mulai: Tetapkan kapan koneksi harus mulai berjalan.
  13. Klik Simpan untuk membuat koneksi dan mulai meneruskan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
application_name entity.metadata.source_labels.value Nilai diambil dari kolom "application_name" jika ada di log mentah.
application_vendor entity.metadata.source_labels.value Nilai diambil dari kolom "application_vendor" jika ada di log mentah.
application_version entity.metadata.product_version Nilai diambil dari kolom "application_version" jika ada dalam log mentah.
BIOS_Current_Language entity.metadata.source_labels.value Nilai diambil dari kolom "BIOS_Current_Language" jika ada di log mentah.
BIOS_Release_Date entity.metadata.source_labels.value Nilai diambil dari kolom "BIOS_Release_Date" jika ada di log mentah.
BIOS_Vendor entity.metadata.source_labels.value Nilai diambil dari kolom "BIOS_Vendor" jika ada dalam log mentah.
BIOS_Version entity.metadata.product_version Nilai diambil dari kolom "BIOS_Version" jika ada di log mentah.
Chassis Type entity.entity.asset.category Nilai diambil dari kolom "Chassis Type" jika ada di log mentah.
Computer ID entity.entity.asset.product_object_id Nilai diambil dari kolom "Computer ID" jika ada di log mentah. Juga digunakan untuk mengisi entity.relations.entity.asset.asset_id dengan awalan "id: ".
Computer Name entity.entity.asset.hostname Nilai diambil dari kolom "Computer Name" jika ada di log mentah.
Count entity.metadata.source_labels.value Nilai diambil dari kolom "Count" jika ada dalam log mentah.
Endpoint Fingerprint entity.entity.asset.hardware.serial_number Nilai diambil dari kolom "Endpoint Fingerprint" jika ada di log mentah.
IP Address entity.entity.asset.ip Nilai diambil dari kolom "IP Address" dan ditambahkan sebagai alamat IP terpisah ke array.
Last Logged In User entity.relations.entity.user.userid Nilai diambil dari kolom "Last Logged In User", dengan awalan domain apa pun dihapus, jika ada dalam log mentah.
Last Reboot entity.entity.asset.last_boot_time Nilai diuraikan dari kolom "Last Reboot" dan diformat sebagai stempel waktu jika ada dalam log mentah.
MAC Address entity.entity.asset.mac Nilai diambil dari kolom "Alamat MAC" dan ditambahkan sebagai alamat MAC terpisah ke array.
Manufacturer entity.entity.asset.hardware.manufacturer Nilai diambil dari kolom "Produsen" jika ada di log mentah.
Operating System entity.entity.asset.platform_software.platform_version Nilai diambil dari kolom "Sistem Operasi" jika ada di log mentah. Digunakan untuk menentukan nilai entity.entity.asset.platform_software.platform (WINDOWS, LINUX, atau MAC).
platform entity.entity.asset.platform_software.platform_version Nilai diambil dari kolom "platform" jika ada di log mentah. Digunakan untuk menentukan nilai entity.entity.asset.platform_software.platform (WINDOWS, LINUX, atau MAC).
serial_number entity.entity.asset.hardware.serial_number Nilai diambil dari kolom "serial_number" jika ada di log mentah.
version entity.entity.asset.platform_software.platform_version Nilai diambil dari kolom "version" jika ada dalam log mentah. Digunakan untuk menentukan nilai entity.entity.asset.platform_software.platform (WINDOWS, LINUX, atau MAC).
T/A entity.metadata.collected_timestamp Disetel ke create_time batch.
T/A entity.metadata.vendor_name Selalu ditetapkan ke "TANIUM_ASSET".
T/A entity.metadata.product_name Selalu ditetapkan ke "TANIUM_ASSET".
T/A entity.metadata.entity_type Selalu ditetapkan ke "ASSET".
T/A entity.relations.entity_type Selalu ditetapkan ke "USER".
T/A entity.relations.relationship Selalu ditetapkan ke "MEMILIKI".
comp_serial_num _asset_entity.asset.product_object_id Dipetakan dari log perubahan
application_name", "count", "application_vendor", "BIOS_Release_Date", "BIOS_Vendor", and "BIOS_Current_Language metadata.source_labels Dipetakan dari log perubahan
application_version" and "BIOS_Version metadata.product_version Dipetakan dari log perubahan
computer_id entity.asset.asset_id Dipetakan dari log perubahan
comp_serial_num hardware.serial_number Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.