收集 Tanium 問題記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Tanium Connect 的原生 AWS S3 匯出功能，將 Tanium Question 記錄檔擷取至 Google Security Operations。Tanium Question 記錄檔包含查詢執行中繼資料、稽核資訊和 JSON 格式的問題結果資料，可使用 Tanium Connect 直接匯出至 S3，不需自訂 Lambda 函式。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Tanium Core Platform 7.0 以上版本
• Tanium Interact 模組，用於管理問題
• 已安裝 Tanium Connect 模組並取得有效授權
• 具備管理權限的 Tanium 控制台特殊存取權
• AWS (S3、IAM) 的特殊存取權。

設定 Tanium 問題稽核服務帳戶

1. 登入 Tanium 控制台。
2. 依序前往「管理」>「通用設定」。
3. 前往「問題稽核」設定。
4. 設定稽核記錄，擷取問題執行中繼資料。
5. 確認服務帳戶具備適當的稽核存取權限。

收集 Tanium 問題的必要條件

1. 以管理員身分登入 Tanium Console。
2. 依序前往「管理」>「權限」>「使用者」。

3. 建立或找出具備下列角色的服務帳戶使用者：

   • 具備「問題作者」或「管理員」角色，才能存取問題。
   • 「連結使用者」角色權限。
   • 稽核內容集「讀取已儲存問題」權限。
   • 可存取受監控的電腦群組 (建議：所有電腦群組)。
   注意： Tanium Connect 會在內部使用服務帳戶憑證，驗證身分並擷取問題稽核資料。這些憑證是在 Tanium Console 介面中設定 Tanium Connect 來源時設定。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

1. 按照這份使用手冊的指示建立 Amazon S3 儲存空間：建立儲存空間
2. 儲存 bucket 的「名稱」和「區域」，以供日後參考 (例如 tanium-question-logs)。
3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「存取金鑰」部分，按一下「建立存取金鑰」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 新增說明標記 (如有需要)。
10. 按一下「建立存取金鑰」。
11. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」以供日後使用。
12. 按一下「完成」。
13. 選取 [權限] 分頁標籤。
14. 在「權限政策」部分，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」
17. 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
18. 點選「下一步」。
19. 按一下「Add permissions」。

設定 Tanium Connect AWS S3 目的地

1. 登入 Tanium 控制台。
2. 依序前往「模組」>「連結」。
3. 按一下「建立連線」。
4. 請提供下列設定詳細資料：
   • 名稱：輸入描述性名稱 (例如 Question Audit to S3 for SecOps)。
   • 說明：選填說明 (例如 Export question execution and audit data to AWS S3 for Google SecOps ingestion)。
   • 啟用：選取這個選項，即可啟用連線，並依排程執行。
5. 點選「下一步」。

設定連線來源

1. 在「來源」部分，提供下列設定詳細資料：
   • 來源類型：選取「已儲存的問題」。
   • 已儲存的問題：選取下列其中一個與問題稽核相關的已儲存問題：
     • 問題記錄：問題執行記錄。
     • 管理動作和問題部署的「動作記錄」。
     • 使用者活動：使用者與問題互動。
     • 平台成效指標的「系統狀態」。
   • 電腦群組：選取「所有電腦」或要監控的特定電腦群組。
   • 重新整理間隔：設定適當的資料收集間隔 (例如 30 分鐘)。
2. 點選「下一步」。

設定 AWS S3 目的地

1. 在「目的地」部分，提供下列設定詳細資料：
   • 目的地類型：選取「AWS S3」。
   • 目的地名稱：輸入不重複的名稱 (例如 Google SecOps Question S3 Destination)。
   • AWS 存取金鑰：輸入在 AWS S3 設定步驟中下載的 CSV 檔案中的 AWS 存取金鑰。
   • AWS Secret 存取金鑰：輸入在 AWS S3 設定步驟中下載的 CSV 檔案中的 AWS Secret 存取金鑰。
   • Bucket Name：輸入 S3 bucket 名稱 (例如 tanium-question-logs)。
   • 區域：選取 S3 儲存貯體所在的 AWS 區域。
   • 金鑰前置字串：輸入 S3 物件的前置字串 (例如 tanium/question/)。
2. 點選「下一步」。

設定篩選器

1. 在「Filters」(篩選器) 部分，設定資料篩選選項：
   • 只傳送新項目：選取這個選項，只傳送上次匯出後的新問題資料。
   • 欄篩選器：視需要根據特定問題屬性新增篩選器 (例如依問題類型、使用者或執行狀態篩選)。
2. 點選「下一步」。

設定 AWS S3 資料格式

1. 在「格式」部分，設定資料格式：
   • 格式：選取「JSON」。
   • 選項：
     • 包含標頭：取消選取可避免 JSON 輸出內容包含標頭。
     • 包含空白儲存格：視需要選取。
   • 進階選項：
     • 檔案命名：使用預設的時間戳記型命名方式。
     • 壓縮：選取「Gzip」，即可降低儲存空間費用和縮短傳輸時間。
2. 點選「下一步」。

安排連結時間

1. 在「排程」部分，設定匯出排程：
   • 啟用時間表：選取這個選項，即可啟用自動排定匯出作業。
   • 時間表類型：選取「週期性」。
   • 頻率：選取「每 30 分鐘」，定期匯出問題稽核資料。
   • 開始時間：為首次匯出設定適當的開始時間。
2. 點選「下一步」。

儲存並驗證連結

1. 查看摘要畫面中的連線設定。
2. 按一下「儲存」即可建立連結。
3. 按一下「測試連線」，驗證設定。
4. 如果測試成功，請按一下「立即執行」，執行初始匯出作業。
5. 在「連結總覽」頁面中監控連線狀態。

在 Google SecOps 中設定動態饋給，擷取 Tanium Question 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「+ 新增動態消息」。
3. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Tanium Question logs)。
4. 選取「Amazon S3 V2」做為「來源類型」。
5. 選取「Tanium Question」做為「記錄類型」。
6. 點選「下一步」。
7. 指定下列輸入參數的值：
   • S3 URI：s3://tanium-question-logs/tanium/question/
   • 來源刪除選項：根據偏好設定選取刪除選項。
   • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。
   • 存取金鑰 ID：具有 S3 儲存貯體存取權的使用者存取金鑰。
   • 私密存取金鑰：具有 S3 bucket 存取權的使用者私密金鑰。
   • 資產命名空間：資產命名空間。
   • 擷取標籤：套用至這個動態饋給事件的標籤。
8. 點選「下一步」。
9. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

記錄欄位	UDM 對應	邏輯
os_label	additional.fields	已合併
has_principal	extensions.auth.type	已對應：true → AUTHTYPE_UNSPECIFIED
date	metadata.event_timestamp	已剖析為 MMM dd HH:mm:ss
has_principal	metadata.event_type	已對應：true → USER_LOGIN、true → STATUS_UPDATE
has_user	metadata.event_type	已對應：true → USER_UNCATEGORIZED
eventtype	metadata.product_event_type	直接對應
src_app	principal.application	直接對應
comp_name	principal.asset.hostname	直接對應
src_hostname	principal.asset.hostname	直接對應
tanium_client_ip	principal.asset.ip	已合併
mac_address	principal.asset.mac	已合併
comp_name	principal.hostname	直接對應
src_hostname	principal.hostname	直接對應
tanium_client_ip	principal.ip	已合併
mac_address	principal.mac	已合併
user	principal.user.userid	直接對應
Ip	target.asset.ip	已合併
Ip	target.ip	已合併
不適用	extensions.auth.type	常數：AUTHTYPE_UNSPECIFIED
不適用	metadata.event_type	常數：USER_LOGIN
不適用	metadata.product_name	常數：TANIUM_QUESTION

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。