Recopilar registros de Tailscale

Disponible en:

En este documento se explica cómo ingerir registros de Tailscale en Google Security Operations mediante la función nativa de streaming de registros de Amazon S3 de Tailscale. Tailscale genera datos operativos en forma de registros de auditoría de configuración y registros de flujo de red. Esta integración usa la función de streaming de S3 integrada de Tailscale para enviar automáticamente estos registros a Google SecOps para que se analicen y monitoricen.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Acceso privilegiado a la consola de administración de Tailscale (rol de propietario, administrador, administrador de red o administrador de TI)
  • Acceso privilegiado a AWS (S3, IAM)

Recopilar los requisitos previos de Tailscale (información de la tailnet)

  1. Inicia sesión en la consola de administración de Tailscale.
  2. Anota el nombre de la tailnet (por ejemplo, example.com o el nombre de tu organización).
  3. Asegúrate de que tienes el plan necesario:
    • Streaming de registros de auditoría de configuración: disponible en los planes Personal, Personal Plus y Enterprise.
    • Streaming de registros de flujo de red: solo disponible en el plan Enterprise.

Configurar un segmento de AWS S3 y IAM para Google SecOps

  1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
  2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, tailscale-logs).
  3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
  4. Selecciona el Usuario creado.
  5. Selecciona la pestaña Credenciales de seguridad.
  6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
  7. Selecciona Servicio de terceros como Caso práctico.
  8. Haz clic en Siguiente.
  9. Opcional: añade una etiqueta de descripción.
  10. Haz clic en Crear clave de acceso.
  11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
  12. Haz clic en Listo.
  13. Selecciona la pestaña Permisos.
  14. En la sección Políticas de permisos, haz clic en Añadir permisos.
  15. Selecciona Añadir permisos.
  16. Seleccione Adjuntar políticas directamente.
  17. Busca y selecciona la política AmazonS3FullAccess.
  18. Haz clic en Siguiente.
  19. Haz clic en Añadir permisos.

Configurar la política y el rol de gestión de identidades y accesos para las subidas de S3

  1. En la consola de AWS, ve a IAM > Policies > Create policy > pestaña JSON.

  2. Introduce la siguiente política:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowTailscalePutObjects",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": "arn:aws:s3:::tailscale-logs/*"
    }
  ]
}
    • Sustituye tailscale-logs si has introducido otro nombre de segmento.

  3. Haz clic en Siguiente > Crear política.

  4. Ve a IAM > Roles > Crear rol > Política de confianza personalizada.

  5. Introduce la siguiente política de confianza:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::982722776073:role/tailscale-log-streaming"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_TAILNET_NAME"
        }
      }
    }
  ]
}
    • Sustituye YOUR_TAILNET_NAME por el nombre de tu tailnet.

  6. Haz clic en Siguiente.

  7. Adjunta la política creada en el paso 1.

  8. Dale el nombre TailscaleS3StreamingRole al rol y haz clic en Crear rol.

  9. Copia el ARN del rol para usarlo en la configuración de Tailscale.

Configurar la transmisión de registros de S3 nativa de Tailscale

Configurar la transmisión de registros de auditoría de configuración

  1. En la consola de administración de Tailscale, ve a Registros > Registros de configuración.
  2. Haz clic en Iniciar emisión.
  3. Seleccione Amazon S3 como destino.
  4. Proporcione los siguientes detalles de configuración:
    • ID de cuenta de AWS: el ID de tu cuenta de AWS.
    • Nombre del segmento de S3: tailscale-logs.
    • ARN del rol: el ARN del rol de gestión de identidades y accesos que has creado.
    • Prefijo de clave de S3: tailscale/configuration/ (opcional).
  5. Haz clic en Iniciar emisión.
  6. Comprueba que el estado sea Activo.

Configurar el streaming de registros de flujo de red (solo en el plan Enterprise)

  1. Si aún no lo has hecho, ve a Ajustes > Registros de flujo de red y habilita los registros de flujo de red de tu tailnet.
  2. Ve a Registros > Registros de flujo de red.
  3. Haz clic en Iniciar emisión.
  4. Seleccione Amazon S3 como destino.
  5. Proporcione los siguientes detalles de configuración:
    • ID de cuenta de AWS: tu ID de cuenta de AWS
    • Nombre del contenedor de S3: tailscale-logs
    • ARN del rol: el ARN del rol de gestión de identidades y accesos que has creado.
    • Prefijo de clave de S3: tailscale/network/ (opcional)
  6. Haz clic en Iniciar emisión.
  7. Comprueba que el estado sea Activo.

Opcional: Crear un usuario y claves de gestión de identidades y accesos de solo lectura para Google SecOps

  1. En la consola de AWS, ve a IAM > Usuarios > Añadir usuarios.
  2. Haz clic en Add users (Añadir usuarios).
  3. Proporcione los siguientes detalles de configuración:
    • Usuario: secops-reader
    • Tipo de acceso: clave de acceso (acceso programático)
  4. Haz clic en Crear usuario.
  5. Asigna una política de lectura mínima (personalizada): Usuarios > secops-reader > Permisos > Añadir permisos > Asignar políticas directamente > Crear política.

  6. En el editor de JSON, introduce la siguiente política:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tailscale-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tailscale-logs"
    }
  ]
}

  7. Asigna el nombre secops-reader-policy.

  8. Ve a Crear política > busca o selecciona > Siguiente > Añadir permisos.

  9. Ve a Credenciales de seguridad > Claves de acceso > Crear clave de acceso.

  10. Descarga el archivo CSV (estos valores se introducen en el feed).

Configurar un feed en Google SecOps para ingerir registros de Tailscale

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en + Añadir nuevo feed.
  3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Tailscale logs).
  4. Selecciona Amazon S3 V2 como Tipo de fuente.
  5. Seleccione Tailscale como Tipo de registro.
  6. Haz clic en Siguiente.
  7. Especifique los valores de los siguientes parámetros de entrada:
    • URI de S3: s3://tailscale-logs/tailscale/
    • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
    • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
    • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
    • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
    • Espacio de nombres de recursos: el espacio de nombres de recursos.
    • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
  8. Haz clic en Siguiente.
  9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.