收集 Tines 稽核記錄

支援的國家/地區：

本文說明如何使用 Amazon S3，將 Tines 稽核記錄擷取至 Google Security Operations。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • Tines 的特殊存取權。
  • AWS 的特殊權限 (S3、Identity and Access Management (IAM)、Lambda、EventBridge)。

取得 Tines 網址

  1. 在瀏覽器中開啟租戶的 Tines UI。
  2. 從網址列複製網域，並將其做為 TINES_BASE_URL 使用。
    • 格式：https://<tenant-domain> (例如 https://<tenant-domain>.tines.com)。

請儲存下列值，以供後續步驟使用：

  • TINES_BASE_URL - 例如 https://<domain>.tines.com
  • TINES_API_KEY：您在後續步驟中建立的權杖

方法 1 - 服務 API 金鑰 (建議)

  1. 依序前往「導覽選單」>「API 金鑰」。
  2. 按一下「+ 新增金鑰」。
  3. 選取「服務 API 金鑰」。
  4. 輸入描述性名稱 (例如 SecOps Audit Logs)。
  5. 點選「建立」。
  6. 請立即複製產生的權杖並妥善保存，您會將其做為 TINES_API_KEY 使用。

選項 2 - 個人 API 金鑰 (如果沒有服務金鑰)

  1. 依序前往「導覽選單」>「API 金鑰」。
  2. 按一下「+ 新增金鑰」。
  3. 選取「個人 API 金鑰」。
  4. 輸入描述性名稱。
  5. 點選「建立」。

  6. 複製產生的權杖並妥善儲存。

授予「讀取稽核記錄」權限

  1. 以租戶擁有者身分登入 (或請租戶擁有者執行這項操作)。
  2. 依序前往「設定」>「管理」>「使用者管理」 (或點選左上選單中的團隊名稱，然後選取「使用者」)。
  3. 找出與 Service API 金鑰相關聯的服務帳戶使用者 (名稱會與 API 金鑰相同)。
    • 如果使用個人 API 金鑰，請改為尋找自己的使用者帳戶。
  4. 按一下使用者名稱，開啟對方的個人資料。
  5. 在「Tenant permissions」部分，啟用「AUDIT_LOG_READ」。
  6. 按一下 [儲存]。

(選用) 驗證 API 存取權

  1. 使用 curl 或任何 HTTP 用戶端測試端點：

    curl -X GET "https://<tenant-domain>/api/v1/audit_logs?per_page=1" \
    -H "Authorization: Bearer <TINES_API_KEY>" \
    -H "Content-Type: application/json"

  2. 您應該會收到含有稽核記錄項目的 JSON 回應。

  3. 您也可以在使用者介面中依序前往「設定」>「監控」>「稽核記錄」，確認稽核記錄是否存在 (需要 AUDIT_LOG_READ 權限)。

設定 AWS S3 儲存桶

  1. 按照這份使用者指南建立 Amazon S3 bucket：建立 bucket
  2. 儲存 bucket 的「名稱」和「區域」，以供日後參考 (例如 tines-audit-logs)。

設定 Lambda S3 上傳的身分與存取權管理政策和角色

  1. 在 AWS 控制台中，依序前往「IAM」>「Policies」>「Create policy」>「JSON」分頁標籤。
  2. 複製並貼上下列政策。

  3. 政策 JSON (如果您輸入的 bucket 名稱不同，請替換 tines-audit-logs)：

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutObjects",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::tines-audit-logs/*"
    },
    {
      "Sid": "AllowGetStateObject",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::tines-audit-logs/tines/audit/state.json"
    }
  ]
}

  4. 依序點選「下一步」>「建立政策」。

  5. 將政策命名為 TinesLambdaS3Policy。

  6. 依序前往「IAM」>「Roles」>「Create role」>「AWS service」>「Lambda」。

  7. 附加剛建立的 TinesLambdaS3Policy。

  8. 為角色命名 TinesAuditToS3Role，然後按一下「建立角色」。

建立 Lambda 函式

  1. 在 AWS 控制台中，依序前往「Lambda」>「Functions」>「Create function」。
  2. 按一下「從頭開始撰寫」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 tines_audit_to_s3
    執行階段 Python 3.13
    架構 x86_64
    執行角色 TinesAuditToS3Role

  4. 建立函式後，開啟「程式碼」分頁，刪除存根並貼上以下程式碼 (tines_audit_to_s3.py)。

    #!/usr/bin/env python3
# Lambda: Pull Tines Audit Logs to S3 (no transform)

import os, json, time, urllib.parse
from urllib.request import Request, urlopen
from urllib.error import HTTPError, URLError
import boto3

S3_BUCKET      = os.environ["S3_BUCKET"]
S3_PREFIX      = os.environ.get("S3_PREFIX", "tines/audit/")
STATE_KEY      = os.environ.get("STATE_KEY", "tines/audit/state.json")
LOOKBACK_SEC   = int(os.environ.get("LOOKBACK_SECONDS", "3600"))  # default 1h
PAGE_SIZE      = int(os.environ.get("PAGE_SIZE", "500"))  # Max is 500 for Tines
MAX_PAGES      = int(os.environ.get("MAX_PAGES", "20"))
TIMEOUT        = int(os.environ.get("HTTP_TIMEOUT", "60"))
HTTP_RETRIES   = int(os.environ.get("HTTP_RETRIES", "3"))
TINES_BASE_URL = os.environ["TINES_BASE_URL"]
TINES_API_KEY  = os.environ["TINES_API_KEY"]

s3 = boto3.client("s3")

def _iso(ts: float) -> str:
    return time.strftime("%Y-%m-%dT%H:%M:%SZ", time.gmtime(ts))

def _load_state() -> dict:
    try:
        obj = s3.get_object(Bucket=S3_BUCKET, Key=STATE_KEY)
        b = obj["Body"].read()
        return json.loads(b) if b else {}
    except Exception:
        return {}

def _save_state(st: dict) -> None:
    s3.put_object(
        Bucket=S3_BUCKET, Key=STATE_KEY,
        Body=json.dumps(st, separators=(",", ":")).encode("utf-8"),
        ContentType="application/json",
    )

def _req(url: str) -> dict:
    attempt = 0
    while True:
        try:
            req = Request(url, method="GET")
            req.add_header("Authorization", f"Bearer {TINES_API_KEY}")
            req.add_header("Accept", "application/json")
            req.add_header("Content-Type", "application/json")
            with urlopen(req, timeout=TIMEOUT) as r:
                data = r.read()
            return json.loads(data.decode("utf-8"))
        except HTTPError as e:
            if e.code in (429, 500, 502, 503, 504) and attempt < HTTP_RETRIES:
                retry_after = 1 + attempt
                try:
                    retry_after = int(e.headers.get("Retry-After", retry_after))
                except Exception:
                    pass
                time.sleep(max(1, retry_after))
                attempt += 1
                continue
            raise
        except URLError:
            if attempt < HTTP_RETRIES:
                time.sleep(1 + attempt)
                attempt += 1
                continue
            raise

def _write(payload, page: int) -> str:
    ts = time.gmtime()
    key = f"{S3_PREFIX}{time.strftime('%Y/%m/%d/%H%M%S', ts)}-tines-audit-{page:05d}.json"
    s3.put_object(
        Bucket=S3_BUCKET, Key=key,
        Body=json.dumps(payload, separators=(",", ":")).encode("utf-8"),
        ContentType="application/json",
    )
    return key

def _extract_items(payload) -> list:
    if isinstance(payload, list):
        return payload
    if isinstance(payload, dict):
        audit_logs = payload.get("audit_logs")
        if isinstance(audit_logs, list):
            return audit_logs
    return []

def _extract_newest_ts(items: list, current: str | None) -> str | None:
    newest = current
    for it in items:
        # Use created_at as the timestamp field
        t = it.get("created_at")
        if isinstance(t, str) and (newest is None or t > newest):
            newest = t
    return newest

def lambda_handler(event=None, context=None):
    st = _load_state()
    since = st.get("since") or _iso(time.time() - LOOKBACK_SEC)

    page = 1
    pages = 0
    total = 0
    newest_ts = since

    while pages < MAX_PAGES:
        # Build URL with query parameters
        # Note: Tines audit logs API uses 'after' parameter for filtering
        base_url = f"{TINES_BASE_URL.rstrip('/')}/api/v1/audit_logs"
        params = {
            "after": since,  # Filter for logs created after this timestamp
            "page": page,
            "per_page": PAGE_SIZE
        }
        url = f"{base_url}?{urllib.parse.urlencode(params)}"

        payload = _req(url)
        _write(payload, page)
        items = _extract_items(payload)
        total += len(items)
        newest_ts = _extract_newest_ts(items, newest_ts)
        pages += 1

        # Check if there's a next page using meta.next_page_number
        meta = payload.get("meta") or {}
        next_page = meta.get("next_page_number")

        if not next_page:
            break
        page = next_page

    if newest_ts and newest_ts != since:
        st["since"] = newest_ts
        _save_state(st)

    return {"ok": True, "pages": pages, "items": total, "since": st.get("since")}

if __name__ == "__main__":
    print(lambda_handler())

  5. 依序前往「設定」>「環境變數」。

  6. 依序點選「編輯」> 新增環境變數。

  7. 輸入下表提供的環境變數，並將範例值換成您的值。

    環境變數

    鍵 範例值
    S3_BUCKET tines-audit-logs
    S3_PREFIX tines/audit/
    STATE_KEY tines/audit/state.json
    TINES_BASE_URL https://your-tenant.tines.com
    TINES_API_KEY your-tines-api-key
    LOOKBACK_SECONDS 3600
    PAGE_SIZE 500
    MAX_PAGES 20
    HTTP_TIMEOUT 60
    HTTP_RETRIES 3

  8. 建立函式後，請留在函式頁面 (或依序開啟「Lambda」>「Functions」>「your-function」)。

  9. 選取「設定」分頁標籤。

  10. 在「一般設定」面板中，按一下「編輯」。

  11. 將「Timeout」(逾時間隔) 變更為「5 minutes (300 seconds)」(5 分鐘 (300 秒))，然後按一下「Save」(儲存)。

建立 EventBridge 排程

  1. 依序前往「Amazon EventBridge」>「Scheduler」>「Create schedule」。
  2. 提供下列設定詳細資料：
    • 週期性時間表：費率 (1 hour)。
    • 目標：您的 Lambda 函式 tines_audit_to_s3。
    • 名稱：tines-audit-1h。
  3. 按一下「建立時間表」。

為 Google SecOps 建立唯讀 IAM 使用者和金鑰

  1. 在 AWS 控制台中，依序前往「IAM」>「Users」。
  2. 點選 [Add users] (新增使用者)。
  3. 提供下列設定詳細資料：
    • 使用者：輸入 secops-reader。
    • 存取類型：選取「存取金鑰 - 程式輔助存取」。
  4. 按一下「建立使用者」。
  5. 附加最低讀取權限政策 (自訂)：依序選取「Users」(使用者) >「secops-reader」>「Permissions」(權限) >「Add permissions」(新增權限) >「Attach policies directly」(直接附加政策) >「Create policy」(建立政策)。

  6. JSON：

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tines-audit-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tines-audit-logs"
    }
  ]
}

  7. Name = secops-reader-policy。

  8. 依序點選「建立政策」> 搜尋/選取 >「下一步」>「新增權限」。

  9. 為 secops-reader 建立存取金鑰：依序點選「安全憑證」>「存取金鑰」。

  10. 按一下「建立存取金鑰」。

  11. 下載 .CSV。(您會將這些值貼到動態饋給中)。

在 Google SecOps 中設定動態饋給，擷取 Tines 稽核記錄

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「+ 新增動態消息」。
  3. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Tines Audit Logs)。
  4. 選取「Amazon S3 V2」做為「來源類型」。
  5. 選取「Tines」做為「記錄類型」。
  6. 點選「下一步」。
  7. 指定下列輸入參數的值：
    • S3 URI：s3://tines-audit-logs/tines/audit/
    • 來源刪除選項：根據偏好選取刪除選項。
    • 檔案存在時間上限：包含在過去天數內修改的檔案。預設值為 180 天。
    • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰。
    • 存取密鑰：具有 S3 bucket 存取權的使用者私密金鑰。
    • 資產命名空間：資產命名空間。
    • 擷取標籤：套用至這個動態饋給事件的標籤。
  8. 點選「下一步」。
  9. 在「完成」畫面中檢查新的動態饋給設定，然後按一下「提交」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。