איסוף יומני שאלות של Tanium

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני שאלות של Tanium ב-Google Security Operations באמצעות פונקציית הייצוא המקורית של Tanium Connect ל-AWS S3. יומני השאלות של Tanium מכילים מטא-נתונים של ביצוע שאילתות, פרטי ביקורת ונתונים של תוצאות השאלות בפורמט JSON, שאפשר לייצא ישירות ל-S3 באמצעות Tanium Connect בלי להשתמש בפונקציות Lambda מותאמות אישית.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Tanium Core Platform גרסה 7.0 ואילך
• מודול Tanium Interact לניהול שאלות
• מודול Tanium Connect מותקן עם רישיון תקף
• גישה עם הרשאות אדמין ל-Tanium Console
• גישה עם הרשאות ל-AWS‏ (S3, ‏ IAM).

הגדרת חשבון שירות לביקורת שאלות ב-Tanium

1. נכנסים ל-Tanium Console.
2. עוברים אל Administration > Global Settings.
3. עוברים אל ההגדרות של בדיקת שאלות.
4. כדי לתעד את המטא-נתונים של ביצוע השאלה, צריך להגדיר רישום ביומן לצורכי ביקורת.
5. מוודאים שלחשבון השירות יש הרשאות גישה מתאימות לביקורת.

דרישות מוקדמות לאיסוף שאלות של Tanium

1. נכנסים לTanium Console כאדמינים.
2. עוברים אל Administration > Permissions > Users.

3. יוצרים או מאתרים משתמש בחשבון שירות עם התפקידים הבאים:

   • תפקיד יוצר שאלות או אדמין כדי לגשת לשאלות.
   • הרשאת התפקיד Connect User.
   • הרשאה Read Saved Question לערכות תוכן של ביקורת.
   • גישה לקבוצות מחשבים שנמצאות במעקב (מומלץ: הקבוצה All Computers).
   הערה: פרטי הכניסה של חשבון השירות משמשים באופן פנימי את Tanium Connect לאימות ולאחזור נתוני ביקורת של שאלות. פרטי הכניסה האלה מוגדרים במהלך הגדרת המקור של Tanium Connect בממשק של Tanium Console.

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה
2. שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה, tanium-question-logs).
3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
4. בוחרים את המשתמש שנוצר.
5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
6. בקטע Access Keys, לוחצים על Create Access Key.
7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש השימוש.
8. לוחצים על הבא.
9. אופציונלי: מוסיפים תג תיאור.
10. לוחצים על Create access key (יצירת מפתח גישה).
11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לשימוש מאוחר יותר.
12. לוחצים על סיום.
13. לוחצים על הכרטיסייה הרשאות.
14. בקטע Permissions policies, לוחצים על Add permissions.
15. לוחצים על הוספת הרשאות.
16. בוחרים באפשרות צירוף מדיניות ישירות.
17. מחפשים את המדיניות AmazonS3FullAccess ובוחרים בה.
18. לוחצים על הבא.
19. לוחצים על הוספת הרשאות.

הגדרת יעד Tanium Connect AWS S3

1. נכנסים ל-Tanium Console.
2. עוברים אל Modules > Connect (מודולים > חיבור).
3. לוחצים על יצירת חיבור.
4. מספקים את פרטי ההגדרה הבאים:
   • שם: מזינים שם תיאורי (לדוגמה, Question Audit to S3 for SecOps).
   • תיאור: תיאור אופציונלי (לדוגמה, Export question execution and audit data to AWS S3 for Google SecOps ingestion).
   • הפעלה: בוחרים באפשרות הזו כדי להפעיל את החיבור כך שיפעל לפי לוח הזמנים.
5. לוחצים על הבא.

הגדרת מקור החיבור

1. בקטע מקור, מציינים את פרטי ההגדרה הבאים:
   • סוג המקור: בוחרים באפשרות שאלה שמורה.
   • שאלה שמורה: בוחרים אחת מהשאלות השמורות הבאות שקשורות לביקורת על שאלות:
     • יומן השאלות להיסטוריית הביצוע של השאלות.
     • היסטוריית פעולות לפעולות אדמיניסטרטיביות ולפריסת שאלות.
     • פעילות משתמשים שקשורה לאינטראקציה של משתמשים עם שאלות.
     • סטטוס המערכת למדדי ביצועים של הפלטפורמה.
   • קבוצת מחשבים: בוחרים באפשרות כל המחשבים או בקבוצות מחשבים ספציפיות למעקב.
   • מרווח רענון: הגדרת מרווח מתאים לאיסוף הנתונים (לדוגמה, 30 דקות).
2. לוחצים על הבא.

הגדרת יעד ב-AWS S3

1. בקטע יעד, מספקים את פרטי ההגדרה הבאים:
   • Destination Type: בוחרים באפשרות AWS S3.
   • שם היעד: מזינים שם ייחודי (לדוגמה, Google SecOps Question S3 Destination).
   • מפתח גישה ל-AWS: מזינים את מפתח הגישה ל-AWS מקובץ ה-CSV שהורדתם בשלב ההגדרה של AWS S3.
   • מפתח גישה סודי של AWS: מזינים את מפתח הגישה הסודי של AWS מקובץ ה-CSV שהורדתם בשלב ההגדרה של AWS S3.
   • שם הקטגוריה: מזינים את שם הקטגוריה ב-S3 (לדוגמה, tanium-question-logs).
   • ‫Region (אזור): בוחרים את אזור AWS שבו נמצאת קטגוריית ה-S3.
   • Key Prefix (קידומת מפתח): מזינים קידומת לאובייקטים ב-S3 (לדוגמה, tanium/question/).
2. לוחצים על הבא.

הגדרת מסננים

1. בקטע Filters, מגדירים את האפשרויות לסינון נתונים:
   • שליחת פריטים חדשים בלבד: בוחרים באפשרות הזו כדי לשלוח רק נתונים של שאלות חדשות מאז הייצוא האחרון.
   • מסנני עמודות: אם צריך, אפשר להוסיף מסננים על סמך מאפיינים ספציפיים של שאלות (לדוגמה, סינון לפי סוג השאלה, המשתמש או סטטוס הביצוע).
2. לוחצים על הבא.

פורמט נתונים ל-AWS S3

1. בקטע Format (פורמט), מגדירים את פורמט הנתונים:
   • פורמט: בוחרים באפשרות JSON.
   • אפשרויות:
     • כולל כותרות: מבטלים את הסימון כדי שהכותרות לא ייכללו בפלט JSON.
     • כולל תאים ריקים: בוחרים לפי ההעדפה.
   • אפשרויות מתקדמות:
     • שמות קבצים: שימוש בשמות שמוגדרים כברירת מחדל על סמך חותמת זמן.
     • דחיסה: בוחרים באפשרות Gzip כדי לצמצם את עלויות האחסון ואת זמן ההעברה.
2. לוחצים על הבא.

תזמון החיבור

1. בקטע Schedule (לוח זמנים), מגדירים את לוח הזמנים לייצוא:
   • הפעלת תזמון: בוחרים באפשרות הזו כדי להפעיל ייצוא אוטומטי מתוזמן.
   • סוג התזמון: בוחרים באפשרות חוזר.
   • תדירות: בוחרים באפשרות כל 30 דקות כדי לייצא נתונים של ביקורת על שאלות באופן קבוע.
   • שעת התחלה: מגדירים שעת התחלה מתאימה לייצוא הראשון.
2. לוחצים על הבא.

שמירה ואימות של החיבור

1. בודקים את הגדרות הקישור במסך הסיכום.
2. לוחצים על שמירה כדי ליצור את הקישור.
3. לוחצים על בדיקת החיבור כדי לוודא שההגדרה תקינה.
4. אם הבדיקה הצליחה, לוחצים על הפעלה מיידית כדי לבצע ייצוא ראשוני.
5. עוקבים אחרי סטטוס החיבור בדף Connect Overview.

הגדרת פיד ב-Google SecOps להטמעת יומנים של שאלות Tanium

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על + הוספת פיד חדש.
3. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Tanium Question logs).
4. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
5. בוחרים באפשרות Tanium Question בתור סוג היומן.
6. לוחצים על הבא.
7. מציינים ערכים לפרמטרים הבאים של הקלט:
   • S3 URI: s3://tanium-question-logs/tanium/question/
   • אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
   • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
   • מרחב השמות של הנכס: מרחב השמות של הנכס.
   • תוויות להוספה: התווית שמוחלת על האירועים מהפיד הזה.
8. לוחצים על הבא.
9. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
os_label	additional.fields	ממוזג
has_principal	extensions.auth.type	מיפוי: true → AUTHTYPE_UNSPECIFIED
date	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM dd HH:mm:ss
has_principal	metadata.event_type	מיפוי: true ← USER_LOGIN, ‏ true ← STATUS_UPDATE
has_user	metadata.event_type	מיפוי: true → USER_UNCATEGORIZED
eventtype	metadata.product_event_type	מיפוי ישיר
src_app	principal.application	מיפוי ישיר
comp_name	principal.asset.hostname	מיפוי ישיר
src_hostname	principal.asset.hostname	מיפוי ישיר
tanium_client_ip	principal.asset.ip	ממוזג
mac_address	principal.asset.mac	ממוזג
comp_name	principal.hostname	מיפוי ישיר
src_hostname	principal.hostname	מיפוי ישיר
tanium_client_ip	principal.ip	ממוזג
mac_address	principal.mac	ממוזג
user	principal.user.userid	מיפוי ישיר
Ip	target.asset.ip	ממוזג
Ip	target.ip	ממוזג
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: USER_LOGIN
לא רלוונטי	metadata.product_name	קבוע: TANIUM_QUESTION

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.