このページは Cloud Translation API によって翻訳されました。

Tanium Asset のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、2 つの異なる方法を使用して Tanium Asset ログを Google Security Operations に取り込む方法について説明します。Tanium Connect のネイティブの Amazon S3 エクスポートまたは Bindplane によるリアルタイムの syslog 転送のいずれかを選択できます。どちらの方法でも、Tanium Connect モジュールを使用して Tanium からアセットデータを抽出し、分析とモニタリングのために Chronicle に転送します。パーサーは、未加工ログを Chronicle UDM に準拠した構造化形式に変換します。この処理は、まずさまざまな入力形式（JSON、Syslog）の Key-Value ペアを正規化し、抽出されたフィールドをアセット、ユーザー、関係エンティティを表すネストされた JSON オブジェクト内の対応する UDM 属性にマッピングすることで実現されます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
エクスポート先を構成するための Tanium Console（Connect モジュール）への特権アクセス
統合方法を選択します。
- オプション 1（推奨）: ネイティブ S3 エクスポート用の AWS（S3、IAM）への特権アクセス
- オプション 2: Windows 2016 以降、または Bindplane エージェントのインストールに systemd を使用する Linux ホスト

オプション 1: AWS S3 を使用して Tanium Asset ログのエクスポートを構成する

Amazon S3 バケットを作成する

バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
後で参照できるように、バケットの名前とリージョンを保存します（例: tanium-asset-logs）。
IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
作成したユーザーを選択します。
[セキュリティ認証情報] タブを選択します。
[アクセスキー] セクションで [アクセスキーを作成] をクリックします。
[ユースケース] で [サードパーティサービス] を選択します。
[次へ] をクリックします。
省略可: 説明タグを追加します。
[アクセスキーを作成] をクリックします。
[CSV ファイルをダウンロード] をクリックして、[アクセスキー] と [シークレットアクセスキー] を保存し、後で使用できるようにします。
[完了] をクリックします。
[権限] タブを選択します。
[権限ポリシー] セクションで、[権限を追加] をクリックします。
[権限を追加] を選択します。
[ポリシーを直接アタッチする] を選択します。
AmazonS3FullAccess ポリシーを検索して選択します。
[次へ] をクリックします。
[権限を追加] をクリックします。

S3 エクスポート用に Tanium Connect を構成する

管理者権限で Tanium Console にログインします。
[Modules] > [Connect] > [Overview] に移動し、[Create Connection] をクリックします。
[作成] をクリックします。
次の構成の詳細を入力します。
- 名前: わかりやすい名前を入力します（例: Google SecOps Asset S3 Export）。
- 説明: この接続の説明（省略可）。
- 有効: スケジュールどおりに実行するには、[有効] を選択します。
[次へ] をクリックします。
[ソース] 構成で次の操作を行います。
- Source: [Saved Question] を選択します。
- 質問: アセットデータを返す既存の保存済み質問を選択するか、アセット関連のセンサー（コンピュータ名、IP アドレス、OS プラットフォーム、ドメインなど）を使用して新しい質問を作成します。
- コンピュータグループ: アセットデータ収集のターゲットにするコンピュータグループを選択します。
[次へ] をクリックします。
[送信先] 構成で、次の操作を行います。
- 宛先: [AWS S3] を選択します。
- 名前: 宛先の名前を入力します（例: Chronicle Asset S3）。
- AWS アクセスキー ID: IAM ユーザーのアクセスキー ID を入力します。
- AWS シークレットアクセスキー: IAM ユーザーのシークレットアクセスキーを入力します。
- S3 バケット名: tanium-asset-logs。
- S3 キーの接頭辞: tanium/assets/（組織の省略可能な接頭辞）。
- リージョン: S3 バケットが配置されている AWS リージョンを選択します。
[次へ] をクリックします。
[書式設定] 構成で次の操作を行います。
- 形式: 構造化データのエクスポートには [JSON] を選択します。
- 列: エクスポートするアセットフィールドを選択し、適切な形式に設定します。
[次へ] をクリックします。
[スケジュール] の構成で、次の操作を行います。
- スケジュール: 配信スケジュールを設定します（例: 1 時間ごと、毎日）。
- 開始日時: 接続の実行を開始する日時を設定します。
[保存] をクリックして接続を作成し、S3 の自動エクスポートを開始します。

省略可: Google SecOps 用の読み取り専用の IAM ユーザーと鍵を作成する

AWS コンソール > IAM > ユーザー > ユーザーを追加 に移動します。
[ユーザーを追加] をクリックします。
次の構成の詳細を入力します。
- ユーザー: 「secops-reader」と入力します。
- アクセスの種類: [アクセスキー - プログラムによるアクセス] を選択します。
[ユーザーを作成] をクリックします。
最小限の読み取りポリシー（カスタム）を関連付ける: [ユーザー] > [secops-reader] > [権限] > [権限を追加] > [ポリシーを直接関連付ける] > [ポリシーを作成]。

JSON エディタで、次のポリシーを入力します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-asset-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-asset-logs"
    }
  ]
}

名前を secops-reader-policy に設定します。
[ポリシーの作成> 検索/選択> 次へ> 権限を追加] に移動します。
[セキュリティ認証情報] > [アクセスキー] > [アクセスキーを作成] に移動します。
CSV をダウンロードします（これらの値はフィードに入力されます）。

Tanium Asset のログを取り込むように Google SecOps でフィードを構成する

[SIEM 設定] > [フィード] に移動します。
[+ 新しいフィードを追加] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Tanium Asset logs）。
[ソースタイプ] として [Amazon S3 V2] を選択します。
[ログタイプ] として [Tanium Asset] を選択します。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- S3 URI: s3://tanium-asset-logs/tanium/assets/
- Source deletion options: 必要に応じて削除オプションを選択します。
- ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
- アクセスキー ID: S3 バケットにアクセスできるユーザーアクセスキー。
- シークレットアクセスキー: S3 バケットにアクセスできるユーザーのシークレットキー。
- Asset namespace: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

オプション 2: syslog と Bindplane を使用して Tanium Asset ログのエクスポートを構成する

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [コレクションエージェント] に移動します。
Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

root 権限または sudo 権限でターミナルを開きます。