Collecter les journaux Tanium Comply

Compatible avec :

Ce document explique comment ingérer des journaux Tanium Comply dans Google Security Operations à l'aide d'Amazon S3 en utilisant la fonctionnalité d'exportation S3 native de Tanium Connect. L'analyseur transforme les données de journal JSON en un modèle de données unifié (UDM). Il extrait les informations clés sur les failles, telles que l'ID CVE, les scores CVSS, les adresses IP concernées et les codes temporels, puis les restructure au format UDM standardisé pour une analyse de sécurité cohérente.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié à Tanium Connect et à la console Tanium
  • Tanium Comply 2.1 ou version ultérieure installé et configuré
  • Accès privilégié à AWS (S3, IAM)

Configurer un bucket AWS S3 et IAM pour Google SecOps

  1. Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
  2. Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, tanium-comply-logs).
  3. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
  4. Sélectionnez l'utilisateur créé.
  5. Sélectionnez l'onglet Identifiants de sécurité.
  6. Cliquez sur Create Access Key (Créer une clé d'accès) dans la section Access Keys (Clés d'accès).
  7. Sélectionnez Service tiers comme Cas d'utilisation.
  8. Cliquez sur Suivant.
  9. Facultatif : ajoutez une balise de description.
  10. Cliquez sur Créer une clé d'accès.
  11. Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour une utilisation ultérieure.
  12. Cliquez sur OK.
  13. Sélectionnez l'onglet Autorisations.
  14. Cliquez sur Ajouter des autorisations dans la section Stratégies d'autorisation.
  15. Sélectionnez Ajouter des autorisations.
  16. Sélectionnez Associer directement des règles.
  17. Recherchez et sélectionnez la règle AmazonS3FullAccess.
  18. Cliquez sur Suivant.
  19. Cliquez sur Ajouter des autorisations.

Configurer les autorisations sur le bucket Amazon S3

  1. Dans la console Amazon S3, sélectionnez le bucket que vous avez créé précédemment.
  2. Cliquez sur Autorisations > Règle de bucket.

  3. Dans l'éditeur de règles de bucket, ajoutez la règle suivante :

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::tanium-comply-logs",
        "arn:aws:s3:::tanium-comply-logs/*"
      ]
    }
  ]
}

  4. Remplacez les variables suivantes :

    • Remplacez YOUR_ACCOUNT_ID par l'ID de votre compte AWS.
    • Remplacez tanium-comply-logs par le nom réel de votre bucket s'il est différent.
    • Remplacez tanium-connect-s3-user par votre nom d'utilisateur IAM réel s'il est différent.

  5. Cliquez sur Enregistrer.

Configurer Tanium Connect pour l'exportation S3

  1. Connectez-vous à la console Tanium en tant qu'administrateur.
  2. Accédez à Tanium Connect > Connections (Tanium Connect > Connexions).
  3. Cliquez sur Créer une connexion.
  4. Dans la section Informations générales, fournissez les détails de configuration suivants :
    • Nom : saisissez un nom descriptif (par exemple, Tanium Comply to S3).
    • Description : saisissez une description pertinente (par exemple, Export Tanium Comply findings to S3 for Google SecOps ingestion).
    • Activer : sélectionnez cette option pour activer la connexion.
    • Niveau de journalisation : sélectionnez Information (par défaut) ou ajustez selon vos besoins.

  5. Dans la section Configuration, pour Source, sélectionnez Tanium Comply (Résultats).

  6. Configurez les paramètres de la source Comply :

    • Type de résultat : sélectionnez le type de résultats à exporter (Tous, Conformité ou Vulnérabilité).
    • Inclure les résultats résolus : indiquez si vous souhaitez inclure les résultats qui ont été résolus.
    • Groupes d'ordinateurs : sélectionnez les groupes d'ordinateurs à inclure dans l'exportation (par défaut : Tous les ordinateurs).

  7. Pour Destination, sélectionnez AWS S3.

  8. Fournissez les informations de configuration suivantes :

    • Nom de la destination : saisissez un nom (par exemple, Google SecOps S3 Bucket).
    • Clé d'accès AWS : saisissez l'ID de clé d'accès de l'utilisateur IAM créé précédemment.
    • Clé secrète AWS : saisissez la clé d'accès secrète de l'utilisateur IAM créé précédemment.
    • Nom du bucket : saisissez le nom de votre bucket S3 (par exemple, tanium-comply-logs).
    • Chemin d'accès au bucket : facultatif. Saisissez un préfixe de chemin d'accès (par exemple, tanium/comply/).
    • Région : sélectionnez la région AWS où se trouve votre bucket (par exemple, us-east-1).

  9. Dans la section Format, configurez le format de sortie :

    • Type de format : sélectionnez JSON.
    • Inclure les en-têtes de colonne : sélectionnez cette option si vous souhaitez inclure les en-têtes de colonne.
    • Générer un document : désélectionnez cette option pour envoyer des données JSON brutes.

  10. (Facultatif) Dans la section Configurer la sortie, configurez les filtres et les colonnes personnalisées selon vos besoins.

  11. Dans la section Planification, configurez l'exécution de la connexion :

    • Type de planification : sélectionnez Cron.
    • Expression Cron : saisissez une expression Cron pour les exportations régulières (par exemple, 0 */4 * * * pour toutes les quatre heures).
    • Date de début : définissez la date de début de la programmation.

  12. Cliquez sur Enregistrer les modifications.

  13. Sur la page Présentation de Connect, accédez à Connexions.

  14. Cliquez sur la connexion que vous avez créée (Tanium Comply vers S3).

  15. Cliquez sur Exécuter maintenant pour tester la connexion.

  16. Confirmez que vous souhaitez exécuter la connexion.

  17. Surveillez l'état de la connexion et vérifiez que les résultats de conformité sont exportés vers votre bucket S3.

Facultatif : Créez un utilisateur et des clés IAM en lecture seule pour Google SecOps

  1. Accédez à Console AWS > IAM > Users > Add users (Console AWS > IAM > Utilisateurs > Ajouter des utilisateurs).
  2. Cliquez sur Add users (Ajouter des utilisateurs).
  3. Fournissez les informations de configuration suivantes :
    • Utilisateur : saisissez secops-reader.
    • Type d'accès : sélectionnez Clé d'accès – Accès programmatique.
  4. Cliquez sur Create User (Créer un utilisateur).
  5. Associez une stratégie de lecture minimale (personnalisée) : Utilisateurs > secops-reader > Autorisations > Ajouter des autorisations > Associer directement des stratégies > Créer une stratégie.

  6. Dans l'éditeur JSON, saisissez la stratégie suivante :

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-comply-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-comply-logs"
    }
  ]
}

  7. Définissez le nom sur secops-reader-policy.

  8. Accédez à Créer une règle > recherchez/sélectionnez > Suivant > Ajouter des autorisations.

  9. Accédez à Security credentials > Access keys > Create access key (Identifiants de sécurité > Clés d'accès > Créer une clé d'accès).

  10. Téléchargez le fichier CSV (ces valeurs sont saisies dans le flux).

Configurer un flux dans Google SecOps pour ingérer les journaux Tanium Comply

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur + Ajouter un flux.
  3. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Tanium Comply logs).
  4. Sélectionnez Amazon S3 V2 comme Type de source.
  5. Sélectionnez Tanium Comply comme type de journal.
  6. Cliquez sur Suivant.
  7. Spécifiez les valeurs des paramètres d'entrée suivants :
    • URI S3 : s3://tanium-comply-logs/tanium/comply/ (ajustez le chemin d'accès si vous avez utilisé un nom de bucket ou un chemin d'accès différent).
    • Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
    • ID de clé d'accès : clé d'accès de l'utilisateur ayant accès au bucket S3 (à partir de l'utilisateur en lecture seule créé ci-dessus).
    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3 (à partir de l'utilisateur en lecture seule créé ci-dessus).
    • Espace de noms de l'élément : espace de noms de l'élément.
    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.
  8. Cliquez sur Suivant.
  9. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal mappage UDM Logique
Nom de l'ordinateur entity.entity.asset.hostname Mappé directement à partir du champ "Nom de l'ordinateur" après avoir remplacé les espaces par des traits de soulignement.
CVE entity.entity.asset.vulnerabilities.cve_id Mappé directement à partir du champ "CVE".
Score CVSS v3 entity.entity.asset.vulnerabilities.cvss_base_score Mappé directement à partir du champ "Score CVSS v3" après avoir été renommé cvss_base_score.
Gravité CVSS v3 entity.entity.asset.vulnerabilities.severity_details Mappé directement à partir du champ "Gravité CVSS v3".
Vecteur CVSS v3 entity.entity.asset.vulnerabilities.cvss_vector Mappé directement à partir du champ "Vecteur CVSS v3".
Date de la première détection entity.entity.asset.vulnerabilities.first_found Analysé à partir du champ "First Found Date" (Date de première détection) et converti au format RFC 3339 UTC. Si la date contient "-", elle est suivie de "T00:00:00Z". Sinon, la date est extraite à l'aide de grok, puis convertie.
Adresse IP entity.entity.asset.ip Chaque adresse IP du tableau "IP Address" est mappée à un champ "ip" distinct dans l'UDM.
Date de la dernière détection entity.entity.asset.vulnerabilities.last_found Analysé à partir du champ "Last Found Date" (Date de dernière détection) et converti au format RFC 3339 UTC. Si la date contient "-", elle est suivie de "T00:00:00Z". Sinon, la date est extraite à l'aide de grok, puis convertie.
Titre entity.entity.asset.vulnerabilities.name Mappé directement à partir du champ "Titre".
collection_time.nanos entity.metadata.collected_timestamp.nanos Mappé directement à partir du champ "collection_time.nanos".
collection_time.seconds entity.metadata.collected_timestamp.seconds Mappé directement à partir du champ "collection_time.seconds".
heure entity.metadata.interval.start_time Analysé à partir du champ "time" et converti au format RFC 3339 UTC.
- entity.metadata.entity_type Défini sur "ASSET".
- entity.metadata.product_entity_id Définissez la valeur sur "Tanium: " concaténé avec la valeur du champ "computerName".
- entity.metadata.product_name Définissez cette option sur "Respecter".
- entity.metadata.vendor_name Défini sur "Tanium".

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.