收集 Tanium Question 記錄

支援的服務：

本文說明如何使用 Tanium Connect 的原生 AWS S3 匯出功能，將 Tanium Question 記錄擷取至 Google Security Operations。Tanium Question 記錄包含查詢執行中繼資料、稽核資訊和 JSON 格式的問題結果資料，可使用 Tanium Connect 直接匯出至 S3，不需自訂 Lambda 函式。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • Tanium Core Platform 7.0 以上版本
  • Tanium Interact 模組，用於管理問題
  • 已安裝 Tanium Connect 模組，且具備有效授權
  • 具備管理員權限，可存取 Tanium 控制台
  • AWS (S3、IAM) 的特殊存取權。

設定 Tanium 問題稽核服務帳戶

  1. 登入 Tanium 控制台。
  2. 依序前往「Administration」>「Global Settings」。
  3. 前往「問題稽核」設定。
  4. 設定稽核記錄，擷取問題執行中繼資料。
  5. 確認服務帳戶具備適當的稽核存取權限。

收集 Tanium 問題必要條件

  1. 以管理員身分登入 Tanium 控制台。
  2. 依序前往「管理」>「權限」>「使用者」。

  3. 建立或找出具備下列角色的服務帳戶使用者：

    • 問題作者或管理員角色，可存取問題。
    • Connect 使用者角色權限。
    • 稽核內容集的讀取已儲存問題權限。
    • 可存取受監控的電腦群組 (建議：所有電腦群組)。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

  1. 按照這份使用手冊建立 Amazon S3 bucket：建立 bucket
  2. 儲存 bucket 的「名稱」和「區域」，供日後參考 (例如 tanium-question-logs)。
  3. 按照這份使用手冊建立使用者：建立 IAM 使用者。
  4. 選取建立的使用者。
  5. 選取「安全憑證」分頁標籤。
  6. 在「Access Keys」部分，按一下「Create Access Key」。
  7. 在「用途」部分選取「第三方服務」。
  8. 點選「下一步」。
  9. 選用：新增說明標記。
  10. 按一下「Create access key」。
  11. 按一下「Download CSV file」，儲存「Access Key」和「Secret Access Key」，以供日後使用。
  12. 按一下「完成」。
  13. 選取 [權限] 分頁標籤。
  14. 在「權限政策」部分，按一下「新增權限」。
  15. 選取「新增權限」。
  16. 選取「直接附加政策」
  17. 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
  18. 點選「下一步」。
  19. 按一下「Add permissions」。

設定 Tanium Connect AWS S3 目的地

  1. 登入 Tanium 控制台。
  2. 依序前往「Modules」>「Connect」。
  3. 按一下「Create Connection」(建立連線)。
  4. 提供下列設定詳細資料：
    • 名稱：輸入描述性名稱 (例如 Question Audit to S3 for SecOps)。
    • 說明：選填說明 (例如 Export question execution and audit data to AWS S3 for Google SecOps ingestion)。
    • 啟用：選取後，連線就會按照排程執行。
  5. 點選「下一步」。

設定連線來源

  1. 在「Source」(來源) 部分，提供下列設定詳細資料：
    • 來源類型：選取「已儲存的問題」。
    • 已儲存的問題：選取下列其中一個與問題稽核相關的已儲存問題：
      • 問題記錄：問題執行記錄。
      • 動作記錄：管理動作和問題部署。
      • 使用者活動：使用者與問題的互動。
      • 系統狀態：平台成效指標。
    • 電腦群組：選取「所有電腦」或要監控的特定電腦群組。
    • 重新整理間隔：設定適當的資料收集間隔 (例如 30 分鐘)。
  2. 點選「下一步」。

設定 AWS S3 目的地

  1. 在「Destination」(目的地) 部分，提供下列設定詳細資料：
    • Destination Type：選取「AWS S3」。
    • Destination Name：輸入不重複的名稱 (例如 Google SecOps Question S3 Destination)。
    • AWS 存取金鑰：輸入 AWS S3 設定步驟中下載的 CSV 檔案中的 AWS 存取金鑰。
    • AWS 存取密鑰：輸入在 AWS S3 設定步驟中，從下載的 CSV 檔案取得的 AWS 存取密鑰。
    • Bucket Name：輸入 S3 bucket 名稱 (例如 tanium-question-logs)。
    • Region：選取 S3 bucket 所在的 AWS 區域。
    • Key Prefix：輸入 S3 物件的前置字串 (例如 tanium/question/)。
  2. 點選「下一步」。

設定篩選器

  1. 在「篩選器」部分，設定資料篩選選項：
    • 僅傳送新項目：選取這個選項，系統只會傳送上次匯出後新增的問題資料。
    • 資料欄篩選器：視需要根據特定問題屬性新增篩選器 (例如依問題類型、使用者或執行狀態篩選)。
  2. 點選「下一步」。

設定 AWS S3 資料格式

  1. 在「Format」(格式) 部分，設定資料格式：
    • 格式：選取「JSON」。
    • 選項：
      • 包含標頭：取消選取，避免 JSON 輸出內容中出現標頭。
      • 包含空白儲存格：依偏好選取。
    • 進階選項：
      • 檔案命名：使用預設的時間戳記命名。
      • 壓縮：選取「Gzip」，降低儲存費用和傳輸時間。
  2. 點選「下一步」。

排定連結時間

  1. 在「Schedule」(排程) 專區，設定匯出排程：
    • 啟用排程：選取即可啟用自動排定的匯出作業。
    • Schedule type (排程類型)：選取「Recurring」(週期性)。
    • 頻率：選取「每 30 分鐘」，定期匯出問題稽核資料。
    • 開始時間：為首次匯出設定適當的開始時間。
  2. 點選「下一步」。

儲存並驗證連線

  1. 在摘要畫面中查看連線設定。
  2. 點選「儲存」建立連結。
  3. 按一下「測試連線」，驗證設定。
  4. 如果測試成功，請按一下「立即執行」，執行初始匯出作業。
  5. 在「Connect Overview」(Connect 總覽) 頁面中監控連線狀態。

在 Google SecOps 中設定動態饋給，以便擷取 Tanium Question 記錄

  1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
  2. 按一下「+ 新增動態饋給」。
  3. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Tanium Question logs)。
  4. 在「來源類型」部分，選取「Amazon S3 V2」。
  5. 選取「Tanium Question」做為「記錄類型」。
  6. 點選「下一步」。
  7. 指定下列輸入參數的值：
    • S3 URI：s3://tanium-question-logs/tanium/question/
    • 來源刪除選項：根據偏好選取刪除選項。
    • 檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。
    • 存取金鑰 ID：可存取 S3 bucket 的使用者存取金鑰。
    • Secret Access Key：可存取 S3 bucket 的使用者私密金鑰。
    • Asset namespace：資產命名空間。
    • 擷取標籤：套用至這個動態饋給事件的標籤。
  8. 點選「下一步」。
  9. 在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
os_label additional.fields 已合併
has_principal extensions.auth.type 對應：true → AUTHTYPE_UNSPECIFIED
date metadata.event_timestamp 剖析為 MMM dd HH:mm:ss
has_principal metadata.event_type 對應：true → USER_LOGIN，true → STATUS_UPDATE
has_user metadata.event_type 對應：true → USER_UNCATEGORIZED
eventtype metadata.product_event_type 直接對應
src_app principal.application 直接對應
comp_name principal.asset.hostname 直接對應
src_hostname principal.asset.hostname 直接對應
tanium_client_ip principal.asset.ip 已合併
mac_address principal.asset.mac 已合併
comp_name principal.hostname 直接對應
src_hostname principal.hostname 直接對應
tanium_client_ip principal.ip 已合併
mac_address principal.mac 已合併
user principal.user.userid 直接對應
Ip target.asset.ip 已合併
Ip target.ip 已合併
不適用 extensions.auth.type 常數：AUTHTYPE_UNSPECIFIED
不適用 metadata.event_type 常數：USER_LOGIN
不適用 metadata.product_name 常數：TANIUM_QUESTION

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。