Tanium Comply-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Tanium Comply-Logs mit Amazon S3 und der nativen S3-Exportfunktion von Tanium Connect in Google Security Operations aufnehmen. Der Parser wandelt JSON-Logdaten in ein einheitliches Datenmodell (Unified Data Model, UDM) um. Es extrahiert wichtige Informationen zu Sicherheitslücken wie CVE-ID, CVSS-Bewertungen, betroffene IP-Adressen und Zeitstempel und strukturiert sie dann in das standardisierte UDM-Format um, um eine konsistente Sicherheitsanalyse zu ermöglichen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf Tanium Connect und die Tanium Console
  • Tanium Comply 2.1 oder höher installiert und konfiguriert
  • Privilegierter Zugriff auf AWS (S3, IAM)

AWS S3-Bucket und IAM für Google SecOps konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. tanium-comply-logs).
  3. Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
  7. Wählen Sie als Anwendungsfall die Option Drittanbieterdienst aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  18. Klicken Sie auf Weiter.
  19. Klicken Sie auf Berechtigungen hinzufügen.

Berechtigungen für Amazon S3-Bucket konfigurieren

  1. Wählen Sie in der Amazon S3-Konsole den zuvor erstellten Bucket aus.
  2. Klicken Sie auf Berechtigungen > Bucket-Richtlinie.

  3. Fügen Sie im Bucket-Richtlinieneditor die folgende Richtlinie hinzu:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::tanium-comply-logs",
        "arn:aws:s3:::tanium-comply-logs/*"
      ]
    }
  ]
}

  4. Ersetzen Sie die folgenden Variablen:

    • Ändern Sie YOUR_ACCOUNT_ID in Ihre AWS-Konto-ID.
    • Ändern Sie tanium-comply-logs in den tatsächlichen Bucket-Namen, falls dieser abweicht.
    • Ändern Sie tanium-connect-s3-user in Ihren tatsächlichen IAM-Nutzernamen, falls dieser abweicht.

  5. Klicken Sie auf Speichern.

Tanium Connect für den S3-Export konfigurieren

  1. Melden Sie sich als Administrator in der Tanium Console an.
  2. Gehen Sie zu Tanium Connect > Connections.
  3. Klicken Sie auf Create Connection.
  4. Geben Sie im Abschnitt Allgemeine Informationen die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Tanium Comply to S3).
    • Beschreibung: Geben Sie eine aussagekräftige Beschreibung ein (z. B. Export Tanium Comply findings to S3 for Google SecOps ingestion).
    • Aktivieren: Wählen Sie diese Option aus, um die Verbindung zu aktivieren.
    • Logebene: Wählen Sie Information (Standard) aus oder passen Sie die Einstellung nach Bedarf an.

  5. Wählen Sie im Abschnitt Konfiguration für Quelle die Option Tanium Comply (Ergebnisse) aus.

  6. Konfigurieren Sie die Comply-Quelleneinstellungen:

    • Ergebnistyp: Wählen Sie den Typ der zu exportierenden Ergebnisse aus (Alle, Compliance oder Sicherheitslücke).
    • Behobene Ergebnisse einbeziehen: Wählen Sie aus, ob Ergebnisse einbezogen werden sollen, die behoben wurden.
    • Computer Groups (Computergruppen): Wählen Sie die Computergruppen aus, die in den Export einbezogen werden sollen (Standard: „All Computers“ (Alle Computer)).

  7. Wählen Sie als Ziel die Option AWS S3 aus.

  8. Geben Sie die folgenden Konfigurationsdetails an:

    • Zielname: Geben Sie einen Namen ein (z. B. Google SecOps S3 Bucket).
    • AWS-Zugriffsschlüssel: Geben Sie die Zugriffsschlüssel-ID des zuvor erstellten IAM-Nutzers ein.
    • Geheimer AWS-Schlüssel: Geben Sie den geheimen Zugriffsschlüssel des zuvor erstellten IAM-Nutzers ein.
    • Bucket-Name: Geben Sie den Namen Ihres S3-Buckets ein (z. B. tanium-comply-logs).
    • Bucket-Pfad: Optional. Geben Sie ein Pfadpräfix ein (z. B. tanium/comply/).
    • Region: Wählen Sie die AWS-Region aus, in der sich Ihr Bucket befindet (z. B. us-east-1).

  9. Konfigurieren Sie im Abschnitt Format das Ausgabeformat:

    • Formattyp: Wählen Sie JSON aus.
    • Spaltenüberschriften einbeziehen: Wählen Sie diese Option aus, wenn Spaltenüberschriften einbezogen werden sollen.
    • Dokument generieren: Deaktivieren Sie diese Option, um JSON-Rohdaten zu senden.

  10. Optional: Konfigurieren Sie im Bereich Ausgabe konfigurieren nach Bedarf Filter und benutzerdefinierte Spalten.

  11. Konfigurieren Sie im Abschnitt Zeitplan, wann die Verbindung ausgeführt werden soll:

    • Zeitplantyp: Wählen Sie Cron aus.
    • Cron-Ausdruck: Geben Sie einen Cron-Ausdruck für regelmäßige Exporte ein (z. B. 0 */4 * * * für alle 4 Stunden).
    • Startdatum: Legen Sie das Startdatum für den Zeitplan fest.

  12. Klicken Sie auf Änderungen speichern.

  13. Rufen Sie auf der Seite Connect-Übersicht die Option Verbindungen auf.

  14. Klicken Sie auf die von Ihnen erstellte Verbindung (Tanium Comply zu S3).

  15. Klicken Sie auf Jetzt ausführen, um die Verbindung zu testen.

  16. Bestätigen Sie, dass Sie die Verbindung ausführen möchten.

  17. Beobachten Sie den Verbindungsstatus und prüfen Sie, ob Compliance-Ergebnisse in Ihren S3-Bucket exportiert werden.

Optional: IAM-Nutzer und ‑Schlüssel mit Lesezugriff für Google SecOps erstellen

  1. Rufen Sie die AWS-Konsole > IAM > Users > Add users auf.
  2. Klicken Sie auf Nutzer hinzufügen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Nutzer: Geben Sie secops-reader ein.
    • Zugriffstyp: Wählen Sie Zugriffsschlüssel – Programmatischer Zugriff aus.
  4. Klicken Sie auf Nutzer erstellen.
  5. Richtlinie für minimalen Lesezugriff (benutzerdefiniert) anhängen: Nutzer > secops-reader > Berechtigungen > Berechtigungen hinzufügen > Richtlinien direkt anhängen > Richtlinie erstellen.

  6. Geben Sie im JSON-Editor die folgende Richtlinie ein:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-comply-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-comply-logs"
    }
  ]
}

  7. Legen Sie secops-reader-policy als Name fest.

  8. Gehen Sie zu Richtlinie erstellen > Suchen/Auswählen > Weiter > Berechtigungen hinzufügen.

  9. Gehen Sie zu Sicherheitsanmeldedaten > Zugriffsschlüssel > Zugriffsschlüssel erstellen.

  10. Laden Sie die CSV herunter. Diese Werte werden in den Feed eingegeben.

Feed in Google SecOps konfigurieren, um Tanium Comply-Logs aufzunehmen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf + Neuen Feed hinzufügen.
  3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tanium Comply logs.
  4. Wählen Sie als Quelltyp Amazon S3 V2 aus.
  5. Wählen Sie Tanium Comply als Logtyp aus.
  6. Klicken Sie auf Weiter.
  7. Geben Sie Werte für die folgenden Eingabeparameter an:
    • S3-URI: s3://tanium-comply-logs/tanium/comply/ (Passen Sie den Pfad an, wenn Sie einen anderen Bucket-Namen oder Pfad verwendet haben.)
    • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.
    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket (vom oben erstellten Nutzer mit Lesezugriff).
    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket (vom oben erstellten Nutzer mit Lesezugriff).
    • Asset-Namespace: Der Asset-Namespace.
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
  8. Klicken Sie auf Weiter.
  9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Computername entity.entity.asset.hostname Wird direkt aus dem Feld „Computername“ zugeordnet, nachdem Leerzeichen durch Unterstriche ersetzt wurden.
CVE entity.entity.asset.vulnerabilities.cve_id Direkt aus dem Feld „CVE“ zugeordnet.
CVSS v3-Wert entity.entity.asset.vulnerabilities.cvss_base_score Wird nach dem Umbenennen in „cvss_base_score“ direkt aus dem Feld „CVSS v3 Score“ zugeordnet.
CVSS v3-Schweregrad entity.entity.asset.vulnerabilities.severity_details Direkt aus dem Feld „CVSS v3-Schweregrad“ zugeordnet.
CVSS v3-Vektor entity.entity.asset.vulnerabilities.cvss_vector Direkt aus dem Feld „CVSS v3 Vector“ zugeordnet.
Datum des ersten Fundes entity.entity.asset.vulnerabilities.first_found Aus dem Feld „First Found Date“ geparst und in das RFC 3339-UTC-Format konvertiert. Wenn das Datum „-“ enthält, wird „T00:00:00Z“ angehängt. Andernfalls wird das Datum mit grok extrahiert und dann konvertiert.
IP-Adresse entity.entity.asset.ip Jede IP-Adresse aus dem Array „IP Address“ wird einem separaten „ip“-Feld im UDM zugeordnet.
Datum des letzten Fundes entity.entity.asset.vulnerabilities.last_found Aus dem Feld „Last Found Date“ geparst und in das RFC 3339-UTC-Format konvertiert. Wenn das Datum „-“ enthält, wird „T00:00:00Z“ angehängt. Andernfalls wird das Datum mit Grok extrahiert und dann konvertiert.
Titel entity.entity.asset.vulnerabilities.name Direkt aus dem Feld „Titel“ zugeordnet.
collection_time.nanos entity.metadata.collected_timestamp.nanos Direkt aus dem Feld „collection_time.nanos“ zugeordnet.
collection_time.seconds entity.metadata.collected_timestamp.seconds Direkt aus dem Feld „collection_time.seconds“ zugeordnet.
Zeit entity.metadata.interval.start_time Aus dem Feld „time“ geparst und in das RFC 3339-UTC-Format konvertiert.
- entity.metadata.entity_type Legen Sie diesen Wert auf „ASSET“ fest.
- entity.metadata.product_entity_id Legen Sie „Tanium: “ fest, verkettet mit dem Wert des Felds „computerName“.
- entity.metadata.product_name Legen Sie diesen Wert auf „Comply“ fest.
- entity.metadata.vendor_name Legen Sie diesen Wert auf „Tanium“ fest.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten