Tanium Question のログを収集する

以下でサポートされています。

このドキュメントでは、Tanium Connect のネイティブ AWS S3 エクスポート機能を使用して、Tanium Question のログを Google Security Operations に取り込む方法について説明します。Tanium Question のログには、クエリ実行メタデータ、監査情報、質問結果データが JSON 形式で含まれています。カスタム Lambda 関数を使用しなくても、Tanium Connect を使用して S3 に直接エクスポートできます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Tanium Core Platform 7.0 以降
  • 質問管理用の Tanium Interact モジュール
  • 有効なライセンスでインストールされた Tanium Connect モジュール
  • 管理者権限を持つ Tanium Console への特権アクセス
  • AWS （S3、IAM）への特権アクセス。

Tanium Question 監査サービス アカウントを構成する

  1. Tanium Console にログインします。
  2. [Administration] > [Global Settings] に移動します。
  3. [Question Audit] 設定に移動します。
  4. 質問実行メタデータをキャプチャするように監査ロギングを構成します。
  5. サービス アカウントに適切な監査アクセス権が付与されていることを確認します。

Tanium Question の前提条件を収集する

  1. 管理者として Tanium Console にログインします。
  2. [Administration] > [Permissions] > [Users] に移動します。

  3. 次のロールを持つサービス アカウント ユーザーを作成または特定します。

    • 質問アクセス用の Question Author または Administrator ロール。
    • Connect User ロールの権限。
    • 監査コンテンツ セットの Read Saved Question 権限。
    • モニタリング対象のコンピュータ グループへのアクセス（推奨: All Computers グループ）。

Google SecOps 用に AWS S3 バケットと IAM を構成する

  1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケット を作成します。
  2. バケットの名前 とリージョン を保存して、後で参照できるようにします（例: tanium-question-logs）。
  3. IAM ユーザーを作成するのユーザーガイドに沿って、ユーザーを作成します。
  4. 作成したユーザー を選択します。
  5. [Security credentials] タブを選択します。
  6. [Access Keys] セクションで [Create Access Key] をクリックします。
  7. [Use case] として [Third-party service] を選択します。
  8. [次へ] をクリックします。
  9. 省略可: 説明タグを追加します。
  10. [アクセスキーを作成] をクリックします。
  11. [Download CSV file] をクリックして、アクセスキー と シークレット アクセスキー を保存します。
  12. [完了] をクリックします。
  13. [権限] タブを選択します。
  14. [Permissions policies] セクションで [権限を追加] をクリックします。
  15. [権限を追加] を選択します。
  16. [Attach policies directly] を選択します。
  17. AmazonS3FullAccess ポリシーを検索して選択します。
  18. [次へ] をクリックします。
  19. [権限を追加] をクリックします。

Tanium Connect AWS S3 の宛先を構成する

  1. Tanium Console にログインします。
  2. [Modules] > [Connect] に移動します。
  3. [接続を作成] をクリックします。
  4. 次の構成情報を提供してください。
    • 名前: わかりやすい名前を入力します（例: Question Audit to S3 for SecOps）。
    • 説明: 省略可能な説明（例: Export question execution and audit data to AWS S3 for Google SecOps ingestion）。
    • 有効: スケジュールに従って接続を実行できるように選択します。
  5. [次へ] をクリックします。

接続元を構成する

  1. [Source] セクションで、次の構成情報を提供します。
    • ソースタイプ: [Saved Question] を選択します。
    • 保存済み質問: 質問監査に関連する保存済み質問のいずれかを選択します。
      • 質問実行履歴の [Question Log]。
      • 管理アクションと質問のデプロイの [Action History]。
      • 質問に対するユーザー操作の [User Activity]。
      • プラットフォームのパフォーマンス指標の [System Status]。
    • [Computer Group]: モニタリングする [All Computers] または特定のコンピュータ グループを選択します。
    • 更新間隔: データ収集に適した間隔を設定します（例: 30 minutes）。
  2. [次へ] をクリックします。

AWS S3 の宛先を構成する

  1. [Destination] セクションで、次の構成情報を提供します。
    • Destination Type: [AWS S3] を選択します。
    • 宛先名: 一意の名前を入力します（例: Google SecOps Question S3 Destination）。
    • AWS Access Key: AWS S3 の構成手順でダウンロードした CSV ファイルから AWS アクセスキーを入力します。
    • AWS Secret Access Key: AWS S3 の構成手順でダウンロードした CSV ファイルから AWS シークレット アクセスキーを入力します。
    • バケット名: S3 バケット名を入力します（例: tanium-question-logs）。
    • リージョン: S3 バケットがある AWS リージョンを選択します。
    • キープレフィックス: S3 オブジェクトの接頭辞を入力します（例: tanium/question/）。
  2. [次へ] をクリックします。

フィルタを構成する

  1. [Filters] セクションで、データフィルタリング オプションを構成します。
    • 新しいアイテムのみを送信: 前回のエクスポート以降の新しい質問データのみを送信する場合は、このオプションを選択します。
    • Column filters: 必要に応じて、特定の質問属性に基づいてフィルタを追加します（例: 質問タイプ、ユーザー、実行ステータスでフィルタします）。
  2. [次へ] をクリックします。

AWS S3 用にデータをフォーマットする

  1. [Format] セクションで、データ形式を構成します。
    • Format: [JSON] を選択します。
    • Options:
      • ヘッダーを含める: JSON 出力にヘッダーを含めない場合は、選択を解除します。
      • Include empty cells: 必要に応じて選択します。
    • Advanced Options:
      • ファイル命名: デフォルトのタイムスタンプ ベースの名前を使用します。
      • [Compression]: ストレージ コストと転送時間を短縮するには、[Gzip] を選択します。
  2. [次へ] をクリックします。

接続をスケジュールする

  1. [Schedule] セクションで、エクスポート スケジュールを構成します。
    • Enable schedule: 自動スケジュール エクスポートを有効にする場合に選択します。
    • Schedule type: [Recurring] を選択します。
    • Frequency: 定期的な質問監査データのエクスポートの場合は、[Every 30 minutes] を選択します。
    • 開始時刻: 最初のエクスポートに適した開始時刻を設定します。
  2. [次へ] をクリックします。

接続を保存して確認する

  1. 概要画面で接続構成を確認します。
  2. [Save] をクリックして接続を作成します。
  3. [Test Connection] をクリックして構成を確認します。
  4. テストが成功したら、[Run Now] をクリックして初期エクスポートを実行します。
  5. [Connect Overview] ページで接続ステータスをモニタリングします。

Tanium Question のログを取り込むように Google SecOps でフィードを構成する

  1. [SIEM Settings] > [Feeds] に移動します。
  2. [+ Add New Feed] をクリックします。
  3. [Feed name] フィールドに、フィードの名前を入力します（例: Tanium Question logs）。
  4. [ソースタイプ] として [Amazon S3 V2] を選択します。
  5. [Log type] として [Tanium Question] を選択します。
  6. [次へ] をクリックします。
  7. 次の入力パラメータの値を指定します。
    • S3 URI: s3://tanium-question-logs/tanium/question/
    • Source deletion options: 必要に応じて削除オプションを選択します。
    • Maximum File Age: 過去の指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
    • Access Key ID: S3 バケットにアクセスできるユーザー アクセスキー。
    • Secret Access Key: S3 バケットにアクセスできるユーザーのシークレット キー。
    • アセットの名前空間: アセットの名前空間。
    • Ingestion labels: このフィードのイベントに適用されるラベル。
  8. [次へ] をクリックします。
  9. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
os_label additional.fields 統合済み
has_principal extensions.auth.type マッピング: true → AUTHTYPE_UNSPECIFIED
date metadata.event_timestamp MMM dd HH:mm:ss として解析
has_principal metadata.event_type マッピング: true → USER_LOGIN、true → STATUS_UPDATE
has_user metadata.event_type マッピング: true → USER_UNCATEGORIZED
eventtype metadata.product_event_type 直接マッピングされます。
src_app principal.application 直接マッピングされます。
comp_name principal.asset.hostname 直接マッピングされます。
src_hostname principal.asset.hostname 直接マッピングされます。
tanium_client_ip principal.asset.ip 統合済み
mac_address principal.asset.mac 統合済み
comp_name principal.hostname 直接マッピングされます。
src_hostname principal.hostname 直接マッピングされます。
tanium_client_ip principal.ip 統合済み
mac_address principal.mac 統合済み
user principal.user.userid 直接マッピングされます。
Ip target.asset.ip 統合済み
Ip target.ip 統合済み
なし extensions.auth.type 定数: AUTHTYPE_UNSPECIFIED
なし metadata.event_type 定数: USER_LOGIN
なし metadata.product_name 定数: TANIUM_QUESTION

変更履歴

このパーサーの変更履歴を表示する

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。