Mengumpulkan log Tanium Discover

Didukung di:

Dokumen ini menjelaskan cara menyerap log Tanium Discover ke Google Security Operations menggunakan Amazon S3 menggunakan kemampuan ekspor S3 native Tanium Connect. Tanium Discover otomatis menemukan antarmuka dan aset jaringan di seluruh lingkungan Anda, sehingga memberikan visibilitas ke endpoint terkelola dan tidak terkelola, perangkat jaringan, serta sistem terhubung lainnya. Parser mengekstrak kolom dari log JSON, mengubah kolom tertentu seperti alamat MAC dan informasi OS, serta memetakannya ke UDM. Parser ini menangani berbagai jenis data, menambahkan metadata seperti detail vendor dan produk, serta menggabungkan kolom yang diekstrak ke dalam struktur peristiwa UDM akhir.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke Tanium Connect dan Tanium Console
  • Tanium Discover 2.11 atau yang lebih baru telah diinstal dan dikonfigurasi
  • Akses istimewa ke AWS (S3, IAM)

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

  1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
  2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, tanium-discover-logs).
  3. Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
  4. Pilih User yang dibuat.
  5. Pilih tab kredensial keamanan.
  6. Klik Create Access Key di bagian Access Keys.
  7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
  8. Klik Berikutnya.
  9. Opsional: tambahkan tag deskripsi.
  10. Klik Create access key.
  11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
  12. Klik Done.
  13. Pilih tab Izin.
  14. Klik Tambahkan izin di bagian Kebijakan Izin.
  15. Pilih Add permissions.
  16. Pilih Attach policies directly
  17. Telusuri dan pilih kebijakan AmazonS3FullAccess.
  18. Klik Berikutnya.
  19. Klik Add permissions.

Mengonfigurasi izin di bucket Amazon S3

  1. Di Amazon S3 console, pilih bucket yang Anda buat sebelumnya.
  2. Klik Permissions > Bucket policy.

  3. Di Bucket Policy Editor, tambahkan kebijakan berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::tanium-discover-logs",
        "arn:aws:s3:::tanium-discover-logs/*"
      ]
    }
  ]
}

  4. Ganti variabel berikut:

    • Ubah YOUR_ACCOUNT_ID menjadi ID akun AWS Anda.
    • Ubah tanium-discover-logs menjadi nama bucket Anda yang sebenarnya jika berbeda.
    • Ubah tanium-connect-s3-user menjadi nama pengguna IAM Anda yang sebenarnya jika berbeda.

  5. Klik Simpan.

Mengonfigurasi Tanium Connect untuk ekspor S3

  1. Login ke Tanium Console sebagai administrator.
  2. Buka Tanium Connect > Connections.
  3. Klik Buat Koneksi.
  4. Di bagian General Information, berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, Tanium Discover to S3).
    • Description: Masukkan deskripsi yang bermakna (misalnya, Export Tanium Discover interface data to S3 for Google SecOps ingestion).
    • Enable: Pilih untuk mengaktifkan koneksi.
    • Log Level: Pilih Information (default) atau sesuaikan seperlunya.
  5. Di bagian Configuration, untuk Source, pilih Tanium Discover.
  6. Konfigurasikan setelan sumber Discover:
    • Jenis Laporan: Pilih jenis antarmuka yang akan diekspor:
      • Semua: Mengekspor semua antarmuka di Discover.
      • Terkelola: Mengekspor antarmuka yang telah menginstal Tanium Client.
      • Tidak dikelola: Ekspor antarmuka yang tidak menginstal Klien Tanium.
      • Berlabel: Ekspor semua antarmuka yang memiliki label yang diterapkan.
      • Tidak berlabel: Antarmuka ekspor yang tidak menerapkan label apa pun.
      • Diabaikan: Antarmuka ekspor yang ditandai sebagai diabaikan.
      • Tidak dapat dikelola: Antarmuka ekspor yang ditandai sebagai tidak dapat dikelola.
  7. Untuk Destination, pilih AWS S3.
  8. Berikan detail konfigurasi berikut:
    • Nama Tujuan: Masukkan nama (misalnya, Google SecOps S3 Bucket).
    • AWS Access Key: Masukkan ID Kunci Akses dari pengguna IAM yang dibuat sebelumnya.
    • AWS Secret Key: Masukkan Secret Access Key dari pengguna IAM yang dibuat sebelumnya.
    • Bucket Name: Masukkan nama bucket S3 Anda (misalnya, tanium-discover-logs).
    • Bucket Path: Opsional. Masukkan awalan jalur (misalnya, tanium/discover/).
    • Region: Pilih region AWS tempat bucket Anda berada (misalnya, us-east-1).
  9. Di bagian Format, konfigurasikan format output:
    • Format Type: Pilih JSON.
    • Sertakan Header Kolom: Pilih jika Anda ingin menyertakan header kolom.
    • Generate Document: Batalkan pilihan opsi ini untuk mengirim data JSON mentah.
  10. Opsional: Di bagian Configure Output, konfigurasikan filter:
    • Filter: Anda dapat menggunakan filter untuk mengekspor label tertentu. Misalnya, jika Anda ingin mengekspor semua antarmuka yang diberi tag "Lost Interface", terapkan filter ekspresi reguler dan ketik "Lost Interface" sebagai teks yang akan dicocokkan di kolom target Label.
    • Kolom Kustom: Tambahkan kolom kustom yang relevan untuk kasus penggunaan Anda.
  11. Di bagian Schedule, konfigurasikan kapan koneksi akan dijalankan:
    • Schedule Type: Pilih Cron.
    • Cron Expression: Masukkan ekspresi cron untuk ekspor reguler (misalnya, 0 */6 * * * untuk setiap 6 jam).
    • Tanggal Mulai: Tetapkan tanggal mulai untuk jadwal.
  12. Klik Simpan Perubahan.
  13. Dari halaman Ringkasan Connect, buka Koneksi.
  14. Klik koneksi yang Anda buat (Tanium Discover to S3).
  15. Klik Run Now untuk menguji koneksi.
  16. Konfirmasi bahwa Anda ingin menjalankan koneksi.
  17. Pantau status koneksi dan pastikan data antarmuka penemuan diekspor ke bucket S3 Anda.

Opsional: Membuat pengguna & kunci IAM hanya baca untuk Google SecOps

  1. Buka AWS Console > IAM > Users > Add users.
  2. Klik Add users.
  3. Berikan detail konfigurasi berikut:
    • Pengguna: Masukkan secops-reader.
    • Access type: Pilih Access key – Programmatic access.
  4. Klik Create user.
  5. Lampirkan kebijakan baca minimal (kustom): Users > secops-reader > Permissions > Add permissions > Attach policies directly > Create policy.

  6. Di editor JSON, masukkan kebijakan berikut:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-discover-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-discover-logs"
    }
  ]
}

  7. Tetapkan nama ke secops-reader-policy.

  8. Buka Create policy > telusuri/pilih > Next > Add permissions.

  9. Buka Security credentials > Access keys > Create access key.

  10. Download CSV (nilai ini dimasukkan ke dalam feed).

Mengonfigurasi feed di Google SecOps untuk menyerap log Tanium Discover

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik + Tambahkan Feed Baru.
  3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Tanium Discover logs).
  4. Pilih Amazon S3 V2 sebagai Jenis sumber.
  5. Pilih Tanium Discover sebagai Log type.
  6. Klik Berikutnya.
  7. Tentukan nilai untuk parameter input berikut:
    • S3 URI: s3://tanium-discover-logs/tanium/discover/ (sesuaikan jalur jika Anda menggunakan nama atau jalur bucket yang berbeda).
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
    • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3 (dari pengguna hanya baca yang dibuat di atas).
    • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3 (dari pengguna hanya baca yang dibuat di atas).
    • Namespace aset: Namespace aset.
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
  8. Klik Berikutnya.
  9. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
CentralizedNmap principal.asset.attribute.labels.key Nilai "CentralizedNmap" ditetapkan oleh parser.
CentralizedNmap principal.asset.attribute.labels.value Diambil langsung dari kolom CentralizedNmap di log mentah dan dikonversi menjadi string.
IpAddress principal.asset.ip Diambil langsung dari kolom IpAddress di log mentah.
IpAddress principal.ip Diambil langsung dari kolom IpAddress di log mentah.
Labels principal.asset.attribute.labels.key Nilai "Labels" ditetapkan oleh parser.
Labels principal.asset.attribute.labels.value Diambil langsung dari kolom Labels di log mentah.
MacAddress principal.asset.mac Diambil langsung dari kolom MacAddress di log mentah, tanda hubung diganti dengan titik dua, dan nilainya dikonversi menjadi huruf kecil.
MacAddress principal.asset.product_object_id Menggabungkan "TANIUM:" dengan kolom MacAddress (setelah mengonversinya menjadi huruf kecil dan mengganti tanda hubung dengan titik dua).
MacAddress principal.mac Diambil langsung dari kolom MacAddress di log mentah, tanda hubung diganti dengan titik dua, dan nilainya dikonversi menjadi huruf kecil.
MacOrganization principal.asset.attribute.labels.key Nilai "MacOrganization" ditetapkan oleh parser.
MacOrganization principal.asset.attribute.labels.value Diambil langsung dari kolom MacOrganization di log mentah dan dikonversi menjadi string.
Managed principal.asset.attribute.labels.key Nilai "Managed" ditetapkan oleh parser.
Managed principal.asset.attribute.labels.value Diambil langsung dari kolom Managed di log mentah dan dikonversi menjadi string.
Os principal.asset.platform_software.platform Jika Os adalah "Windows", nilai ditetapkan ke "WINDOWS". Jika Os adalah "Linux", nilai ditetapkan ke "LINUX". Jika tidak, nilai ditetapkan ke "UNKNOWN_PLATFORM".
Os principal.platform Jika Os adalah "Windows", nilai akan ditetapkan ke "WINDOWS". Jika Os adalah "Linux", nilai ditetapkan ke "LINUX". Jika tidak, nilai ditetapkan ke "UNKNOWN_PLATFORM".
OsGeneration principal.asset.platform_software.platform_version Diambil langsung dari kolom OsGeneration di log mentah dan dikonversi menjadi string.
OsGeneration principal.platform_version Diambil langsung dari kolom OsGeneration di log mentah dan dikonversi menjadi string.
Ports principal.asset.attribute.labels.key Nilai "Ports" ditetapkan oleh parser.
Ports principal.asset.attribute.labels.value Diambil langsung dari kolom Ports di log mentah.
Profile principal.asset.attribute.labels.key Nilai "Profile" ditetapkan oleh parser.
Profile principal.asset.attribute.labels.value Diambil langsung dari kolom Profile di log mentah.
TaniumComputerId principal.asset.attribute.labels.key Nilai "TaniumComputerId" ditetapkan oleh parser.
TaniumComputerId principal.asset.attribute.labels.value Diambil langsung dari kolom TaniumComputerId di log mentah dan dikonversi menjadi string.
Unmanageable principal.asset.attribute.labels.key Nilai "Unmanageable" ditetapkan oleh parser.
Unmanageable principal.asset.attribute.labels.value Diambil langsung dari kolom Unmanageable di log mentah dan dikonversi menjadi string. Diambil dari kolom time di log mentah, diuraikan dan dikonversi ke detik epoch. Nilai "SCAN_NETWORK" ditetapkan oleh parser. Nilai "TANIUM_DISCOVER" ditetapkan oleh parser. Nilai "Discover" ditetapkan oleh parser. Nilai "Tanium" ditetapkan oleh parser. Diambil langsung dari kolom HostName di log mentah. Diambil dari kolom time di log mentah, diuraikan dan dikonversi ke detik epoch.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.