Mengumpulkan log Tanium Comply

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Tanium Comply ke Google Security Operations menggunakan Amazon S3 menggunakan kemampuan ekspor S3 native Tanium Connect. Parser mengubah data log JSON menjadi model data terpadu (UDM). Parser ini mengekstrak informasi kerentanan utama seperti ID CVE, skor CVSS, alamat IP yang terpengaruh, dan stempel waktu, lalu menyusunnya kembali ke dalam format UDM standar untuk analisis keamanan yang konsisten.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke Tanium Connect dan Tanium Console
• Tanium Comply 2.1 atau yang lebih baru telah diinstal dan dikonfigurasi
• Akses istimewa ke AWS (S3, IAM)

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, tanium-comply-logs).
3. Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih User yang dibuat.
5. Pilih tab kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
12. Klik Done.
13. Pilih tab Izin.
14. Klik Tambahkan izin di bagian Kebijakan Izin.
15. Pilih Add permissions.
16. Pilih Attach policies directly
17. Telusuri dan pilih kebijakan AmazonS3FullAccess.
18. Klik Berikutnya.
19. Klik Add permissions.

Mengonfigurasi izin di bucket Amazon S3

1. Di Amazon S3 console, pilih bucket yang Anda buat sebelumnya.
2. Klik Permissions > Bucket policy.

3. Di Bucket Policy Editor, tambahkan kebijakan berikut:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
         },
         "Action": [
           "s3:PutObject",
           "s3:PutObjectAcl",
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::tanium-comply-logs",
           "arn:aws:s3:::tanium-comply-logs/*"
         ]
       }
     ]
   }
   

4. Ganti variabel berikut:

   • Ubah YOUR_ACCOUNT_ID menjadi ID akun AWS Anda.
   • Ubah tanium-comply-logs menjadi nama bucket Anda yang sebenarnya jika berbeda.
   • Ubah tanium-connect-s3-user menjadi nama pengguna IAM Anda yang sebenarnya jika berbeda.

5. Klik Simpan.

Mengonfigurasi Tanium Connect untuk ekspor S3

1. Login ke Tanium Console sebagai administrator.
2. Buka Tanium Connect > Connections.
3. Klik Buat Koneksi.
4. Di bagian General Information, berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Tanium Comply to S3).
   • Description: Masukkan deskripsi yang bermakna (misalnya, Export Tanium Comply findings to S3 for Google SecOps ingestion).
   • Enable: Pilih untuk mengaktifkan koneksi.
   • Log Level: Pilih Information (default) atau sesuaikan seperlunya.

5. Di bagian Configuration, untuk Source, pilih Tanium Comply (Findings).

   Catatan: Sumber Tanium Comply (Assessments) tidak digunakan lagi. Gunakan sumber Tanium Comply (Findings) untuk data temuan kepatuhan dan kerentanan.

6. Konfigurasi setelan sumber Comply:

   • Finding Type: Pilih jenis temuan yang akan diekspor (All, Compliance, atau Vulnerability).
   • Sertakan Temuan yang Telah Diselesaikan: Pilih apakah akan menyertakan temuan yang telah diselesaikan.
   • Computer Groups: Pilih grup komputer yang akan disertakan dalam ekspor (default: All Computers).

7. Untuk Destination, pilih AWS S3.

8. Berikan detail konfigurasi berikut:

   • Nama Tujuan: Masukkan nama (misalnya, Google SecOps S3 Bucket).
   • AWS Access Key: Masukkan ID Kunci Akses dari pengguna IAM yang dibuat sebelumnya.
   • AWS Secret Key: Masukkan Secret Access Key dari pengguna IAM yang dibuat sebelumnya.
   • Bucket Name: Masukkan nama bucket S3 Anda (misalnya, tanium-comply-logs).
   • Bucket Path: Opsional. Masukkan awalan jalur (misalnya, tanium/comply/).
   • Region: Pilih region AWS tempat bucket Anda berada (misalnya, us-east-1).

9. Di bagian Format, konfigurasikan format output:

   • Format Type: Pilih JSON.
   • Sertakan Header Kolom: Pilih jika Anda ingin menyertakan header kolom.
   • Generate Document: Batalkan pilihan opsi ini untuk mengirim data JSON mentah.

10. Opsional: Di bagian Configure Output, konfigurasikan filter dan kolom kustom sesuai kebutuhan.

11. Di bagian Schedule, konfigurasikan kapan koneksi berjalan:

    • Schedule Type: Pilih Cron.
    • Cron Expression: Masukkan ekspresi cron untuk ekspor reguler (misalnya, 0 */4 * * * untuk setiap 4 jam).
    • Tanggal Mulai: Tetapkan tanggal mulai untuk jadwal.

12. Klik Simpan Perubahan.

13. Dari halaman Ringkasan Connect, buka Koneksi.

14. Klik koneksi yang Anda buat (Tanium Comply to S3).

15. Klik Run Now untuk menguji koneksi.

16. Konfirmasi bahwa Anda ingin menjalankan koneksi.

17. Pantau status koneksi dan pastikan temuan kepatuhan diekspor ke bucket S3 Anda.

Opsional: Membuat pengguna & kunci IAM hanya baca untuk Google SecOps

1. Buka AWS Console > IAM > Users > Add users.
2. Klik Add users.
3. Berikan detail konfigurasi berikut:
   • Pengguna: Masukkan secops-reader.
   • Access type: Pilih Access key – Programmatic access.
4. Klik Create user.
5. Lampirkan kebijakan baca minimal (kustom): Users > secops-reader > Permissions > Add permissions > Attach policies directly > Create policy.

6. Di editor JSON, masukkan kebijakan berikut:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::tanium-comply-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::tanium-comply-logs"
       }
     ]
   }
   

7. Tetapkan nama ke secops-reader-policy.

8. Buka Create policy > telusuri/pilih > Next > Add permissions.

9. Buka Security credentials > Access keys > Create access key.

10. Download CSV (nilai ini dimasukkan ke dalam feed).

Mengonfigurasi feed di Google SecOps untuk menyerap log Tanium Comply

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik + Tambahkan Feed Baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Tanium Comply logs).
4. Pilih Amazon S3 V2 sebagai Jenis sumber.
5. Pilih Tanium Comply sebagai Log type.
6. Klik Berikutnya.
7. Tentukan nilai untuk parameter input berikut:
   • S3 URI: s3://tanium-comply-logs/tanium/comply/ (sesuaikan jalur jika Anda menggunakan nama atau jalur bucket yang berbeda).
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
   • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3 (dari pengguna hanya baca yang dibuat di atas).
   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3 (dari pengguna hanya baca yang dibuat di atas).
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
8. Klik Berikutnya.
9. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom log	pemetaan UDM	Logika
Nama Komputer	entity.entity.asset.hostname	Dipetakan langsung dari kolom "Nama Komputer" setelah mengganti spasi dengan garis bawah.
CVE	entity.entity.asset.vulnerabilities.cve_id	Dipetakan langsung dari kolom "CVE".
Skor CVSS v3	entity.entity.asset.vulnerabilities.cvss_base_score	Dipetakan langsung dari kolom "CVSS v3 Score" setelah diganti namanya menjadi cvss_base_score.
Tingkat Keparahan CVSS v3	entity.entity.asset.vulnerabilities.severity_details	Dipetakan langsung dari kolom "CVSS v3 Severity".
Vektor CVSS v3	entity.entity.asset.vulnerabilities.cvss_vector	Dipetakan langsung dari kolom "CVSS v3 Vector".
Tanggal Pertama Kali Ditemukan	entity.entity.asset.vulnerabilities.first_found	Diurai dari kolom "First Found Date" dan dikonversi ke format RFC 3339 UTC. Jika tanggal berisi "-", tanggal tersebut akan ditambahkan dengan "T00:00:00Z". Jika tidak, tanggal akan diekstrak menggunakan grok, lalu dikonversi.
Alamat IP	entity.entity.asset.ip	Setiap alamat IP dari array "IP Address" dipetakan ke kolom "ip" terpisah di UDM.
Tanggal Terakhir Ditemukan	entity.entity.asset.vulnerabilities.last_found	Diurai dari kolom "Last Found Date" dan dikonversi ke format RFC 3339 UTC. Jika tanggal berisi "-", tanggal tersebut akan ditambahkan dengan "T00:00:00Z". Jika tidak, tanggal akan diekstrak menggunakan grok, lalu dikonversi.
Judul	entity.entity.asset.vulnerabilities.name	Dipetakan langsung dari kolom "Judul".
collection_time.nanos	entity.metadata.collected_timestamp.nanos	Dipetakan langsung dari kolom "collection_time.nanos".
collection_time.seconds	entity.metadata.collected_timestamp.seconds	Dipetakan langsung dari kolom "collection_time.seconds".
waktu	entity.metadata.interval.start_time	Diurai dari kolom "time" dan dikonversi ke format RFC 3339 UTC.
-	entity.metadata.entity_type	Tetapkan ke "ASSET".
-	entity.metadata.product_entity_id	Tetapkan ke "Tanium: " yang digabungkan dengan nilai kolom "computerName".
-	entity.metadata.product_name	Tetapkan ke "Comply".
-	entity.metadata.vendor_name	Tetapkan ke "Tanium".

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.