Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux Tanium Discover

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Tanium Discover dans Google Security Operations à l'aide d'Amazon S3 en utilisant la fonctionnalité d'exportation S3 native de Tanium Connect. Tanium Discover détecte automatiquement les interfaces et les éléments réseau de votre environnement, ce qui vous permet de voir les points de terminaison gérés et non gérés, les appareils réseau et les autres systèmes connectés. L'analyseur extrait les champs des journaux JSON, transforme des champs spécifiques tels que les adresses MAC et les informations sur l'OS, puis les mappe vers l'UDM. Il gère différents types de données, ajoute des métadonnées telles que des informations sur le fournisseur et le produit, et fusionne les champs extraits dans la structure d'événement UDM finale.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Accès privilégié à Tanium Connect et à la console Tanium
Tanium Discover 2.11 ou version ultérieure installé et configuré
Accès privilégié à AWS (S3, IAM)

Configurer un bucket AWS S3 et IAM pour Google SecOps

Créez un bucket Amazon S3 en suivant ce guide de l'utilisateur : Créer un bucket.
Enregistrez le nom et la région du bucket pour référence ultérieure (par exemple, tanium-discover-logs).
Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
Sélectionnez l'utilisateur créé.
Sélectionnez l'onglet Identifiants de sécurité.
Cliquez sur Create Access Key (Créer une clé d'accès) dans la section Access Keys (Clés d'accès).
Sélectionnez Service tiers comme Cas d'utilisation.
Cliquez sur Suivant.
Facultatif : ajoutez une balise de description.
Cliquez sur Créer une clé d'accès.
Cliquez sur Télécharger le fichier CSV pour enregistrer la clé d'accès et la clé d'accès secrète pour une utilisation ultérieure.
Cliquez sur OK.
Sélectionnez l'onglet Autorisations.
Cliquez sur Ajouter des autorisations dans la section Stratégies d'autorisation.
Sélectionnez Ajouter des autorisations.
Sélectionnez Associer directement des règles.
Recherchez et sélectionnez la règle AmazonS3FullAccess.
Cliquez sur Suivant.
Cliquez sur Ajouter des autorisations.

Configurer les autorisations sur le bucket Amazon S3

Dans la console Amazon S3, sélectionnez le bucket que vous avez créé précédemment.
Cliquez sur Autorisations > Règle de bucket.

Dans l'éditeur de règles de bucket, ajoutez la règle suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::tanium-discover-logs",
        "arn:aws:s3:::tanium-discover-logs/*"
      ]
    }
  ]
}

Remplacez les variables suivantes :
- Remplacez YOUR_ACCOUNT_ID par l'ID de votre compte AWS.
- Remplacez tanium-discover-logs par le nom réel de votre bucket s'il est différent.
- Remplacez tanium-connect-s3-user par votre nom d'utilisateur IAM réel s'il est différent.
Cliquez sur Enregistrer.

Configurer Tanium Connect pour l'exportation S3

Connectez-vous à la console Tanium en tant qu'administrateur.
Accédez à Tanium Connect > Connections (Tanium Connect > Connexions).
Cliquez sur Créer une connexion.
Dans la section Informations générales, fournissez les détails de configuration suivants :
- Nom : saisissez un nom descriptif (par exemple, Tanium Discover to S3).
- Description : saisissez une description pertinente (par exemple, Export Tanium Discover interface data to S3 for Google SecOps ingestion).
- Activer : sélectionnez cette option pour activer la connexion.
- Niveau de journalisation : sélectionnez Information (par défaut) ou ajustez selon vos besoins.
Dans la section Configuration, pour Source, sélectionnez Tanium Discover.
Configurez les paramètres de la source Discover :
- Type de rapport : sélectionnez le type d'interfaces à exporter :
  - Toutes : exportez toutes les interfaces dans Discover.
  - Gérées : exportez les interfaces sur lesquelles le client Tanium est installé.
  - Non gérées : exportez les interfaces sur lesquelles le client Tanium n'est pas installé.
  - Avec libellé : exportez toutes les interfaces auxquelles un libellé est appliqué.
  - Sans libellé : exportez les interfaces auxquelles aucun libellé n'est appliqué.
  - Ignorées : interfaces d'exportation marquées comme ignorées.
  - Non gérable : exportez les interfaces marquées comme non gérables.
Pour Destination, sélectionnez AWS S3.
Fournissez les informations de configuration suivantes :
- Nom de la destination : saisissez un nom (par exemple, Google SecOps S3 Bucket).
- Clé d'accès AWS : saisissez l'ID de clé d'accès de l'utilisateur IAM créé précédemment.
- Clé secrète AWS : saisissez la clé d'accès secrète de l'utilisateur IAM créé précédemment.
- Nom du bucket : saisissez le nom de votre bucket S3 (par exemple, tanium-discover-logs).
- Chemin d'accès au bucket : facultatif. Saisissez un préfixe de chemin d'accès (par exemple, tanium/discover/).
- Région : sélectionnez la région AWS où se trouve votre bucket (par exemple, us-east-1).
Dans la section Format, configurez le format de sortie :
- Type de format : sélectionnez JSON.
- Inclure les en-têtes de colonne : sélectionnez cette option si vous souhaitez inclure les en-têtes de colonne.
- Générer un document : désélectionnez cette option pour envoyer des données JSON brutes.
Facultatif : Dans la section Configurer la sortie, configurez les filtres :
- Filtre : vous pouvez utiliser des filtres pour exporter des libellés spécifiques. Par exemple, si vous souhaitez exporter toutes les interfaces taguées "Interface perdue", appliquez un filtre d'expression régulière et saisissez "Interface perdue" comme texte à faire correspondre dans la colonne cible "Libellés".
- Colonnes personnalisées : ajoutez les colonnes personnalisées pertinentes pour votre cas d'utilisation.
Dans la section Planification, configurez l'exécution de la connexion :
- Type de planification : sélectionnez Cron.
- Expression Cron : saisissez une expression Cron pour les exportations régulières (par exemple, 0 */6 * * * pour toutes les six heures).
- Date de début : définissez la date de début de la programmation.
Cliquez sur Enregistrer les modifications.
Sur la page Présentation de Connect, accédez à Connexions.
Cliquez sur la connexion que vous avez créée (Tanium Discover vers S3).
Cliquez sur Exécuter maintenant pour tester la connexion.
Confirmez que vous souhaitez exécuter la connexion.
Surveillez l'état de la connexion et vérifiez que les données de l'interface Discover sont bien exportées vers votre bucket S3.

Facultatif : Créez un utilisateur et des clés IAM en lecture seule pour Google SecOps

Accédez à Console AWS > IAM > Users > Add users (Console AWS > IAM > Utilisateurs > Ajouter des utilisateurs).
Cliquez sur Add users (Ajouter des utilisateurs).
Fournissez les informations de configuration suivantes :
- Utilisateur : saisissez secops-reader.
- Type d'accès : sélectionnez Clé d'accès – Accès programmatique.
Cliquez sur Create User (Créer un utilisateur).
Associez une stratégie de lecture minimale (personnalisée) : Utilisateurs > secops-reader > Autorisations > Ajouter des autorisations > Associer directement des stratégies > Créer une stratégie.

Dans l'éditeur JSON, saisissez la stratégie suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-discover-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-discover-logs"
    }
  ]
}

Définissez le nom sur secops-reader-policy.
Accédez à Créer une règle > recherchez/sélectionnez > Suivant > Ajouter des autorisations.
Accédez à Security credentials > Access keys > Create access key (Identifiants de sécurité > Clés d'accès > Créer une clé d'accès).
Téléchargez le fichier CSV (ces valeurs sont saisies dans le flux).

Configurer un flux dans Google SecOps pour ingérer les journaux Tanium Discover

Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
Cliquez sur + Ajouter un flux.
Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Tanium Discover logs).
Sélectionnez Amazon S3 V2 comme Type de source.
Sélectionnez Tanium Discover comme Type de journal.
Cliquez sur Suivant.
Spécifiez les valeurs des paramètres d'entrée suivants :
- URI S3 : s3://tanium-discover-logs/tanium/discover/ (ajustez le chemin d'accès si vous avez utilisé un nom de bucket ou un chemin d'accès différent).
- Options de suppression de la source : sélectionnez l'option de suppression de votre choix.
- Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
- ID de clé d'accès : clé d'accès de l'utilisateur ayant accès au bucket S3 (à partir de l'utilisateur en lecture seule créé ci-dessus).
- Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3 (à partir de l'utilisateur en lecture seule créé ci-dessus).
- Espace de noms de l'élément : espace de noms de l'élément.
- Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.
Cliquez sur Suivant.
Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
`CentralizedNmap`	`principal.asset.attribute.labels.key`	La valeur "CentralizedNmap" est attribuée par l'analyseur.
`CentralizedNmap`	`principal.asset.attribute.labels.value`	Directement extrait du champ `CentralizedNmap` du journal brut et converti en chaîne.
`IpAddress`	`principal.asset.ip`	Directement extrait du champ `IpAddress` du journal brut.
`IpAddress`	`principal.ip`	Directement extrait du champ `IpAddress` du journal brut.
`Labels`	`principal.asset.attribute.labels.key`	La valeur "Labels" est attribuée par l'analyseur.
`Labels`	`principal.asset.attribute.labels.value`	Directement extrait du champ `Labels` du journal brut.
`MacAddress`	`principal.asset.mac`	Directement extraite du champ `MacAddress` du journal brut, les traits d'union sont remplacés par des deux-points et la valeur est convertie en minuscules.
`MacAddress`	`principal.asset.product_object_id`	Concatène "TANIUM:" avec le champ `MacAddress` (après l'avoir converti en minuscules et remplacé les traits d'union par des deux-points).
`MacAddress`	`principal.mac`	Directement extraite du champ `MacAddress` du journal brut, les traits d'union sont remplacés par des deux-points et la valeur est convertie en minuscules.
`MacOrganization`	`principal.asset.attribute.labels.key`	La valeur "MacOrganization" est attribuée par l'analyseur syntaxique.
`MacOrganization`	`principal.asset.attribute.labels.value`	Directement extrait du champ `MacOrganization` du journal brut et converti en chaîne.
`Managed`	`principal.asset.attribute.labels.key`	La valeur "Managed" est attribuée par l'analyseur syntaxique.
`Managed`	`principal.asset.attribute.labels.value`	Directement extrait du champ `Managed` du journal brut et converti en chaîne.
`Os`	`principal.asset.platform_software.platform`	Si `Os` est "Windows", la valeur est définie sur "WINDOWS". Si `Os` est "Linux", la valeur est définie sur "LINUX". Sinon, la valeur est définie sur "UNKNOWN_PLATFORM".
`Os`	`principal.platform`	Si `Os` est "Windows", la valeur est définie sur "WINDOWS". Si `Os` est "Linux", la valeur est définie sur "LINUX". Sinon, la valeur est définie sur "UNKNOWN_PLATFORM".
`OsGeneration`	`principal.asset.platform_software.platform_version`	Directement extrait du champ `OsGeneration` du journal brut et converti en chaîne.
`OsGeneration`	`principal.platform_version`	Directement extrait du champ `OsGeneration` du journal brut et converti en chaîne.
`Ports`	`principal.asset.attribute.labels.key`	La valeur "Ports" est attribuée par l'analyseur.
`Ports`	`principal.asset.attribute.labels.value`	Directement extrait du champ `Ports` du journal brut.
`Profile`	`principal.asset.attribute.labels.key`	La valeur "Profile" est attribuée par l'analyseur syntaxique.
`Profile`	`principal.asset.attribute.labels.value`	Directement extrait du champ `Profile` du journal brut.
`TaniumComputerId`	`principal.asset.attribute.labels.key`	La valeur "TaniumComputerId" est attribuée par l'analyseur.
`TaniumComputerId`	`principal.asset.attribute.labels.value`	Directement extrait du champ `TaniumComputerId` du journal brut et converti en chaîne.
`Unmanageable`	`principal.asset.attribute.labels.key`	La valeur "Unmanageable" est attribuée par l'analyseur syntaxique.
`Unmanageable`	`principal.asset.attribute.labels.value`	Directement extrait du champ `Unmanageable` du journal brut et converti en chaîne. Extrait du champ `time` du journal brut, analysé et converti en secondes depuis l'epoch. La valeur "SCAN_NETWORK" est attribuée par l'analyseur syntaxique. La valeur "TANIUM_DISCOVER" est attribuée par l'analyseur syntaxique. La valeur "Discover" est attribuée par l'analyseur. La valeur "Tanium" est attribuée par l'analyseur syntaxique. Directement extrait du champ `HostName` du journal brut. Extrait du champ `time` du journal brut, analysé et converti en secondes depuis l'epoch.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.