Tanium Comply-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

In diesem Dokument wird beschrieben, wie Sie Tanium Comply-Logs mit Amazon S3 in Google Security Operations aufnehmen. Dazu wird die native S3-Exportfunktion von Tanium Connect verwendet. Der Parser wandelt JSON-Logdaten in ein einheitliches Datenmodell (Unified Data Model, UDM) um. Es werden wichtige Informationen zu Sicherheitslücken wie CVE-ID, CVSS-Werte, betroffene IP-Adressen und Zeitstempel extrahiert und dann in das standardisierte UDM-Format umstrukturiert, um eine einheitliche Sicherheitsanalyse zu ermöglichen.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf Tanium Connect und Tanium Console
• Tanium Comply 2.1 oder höher ist installiert und konfiguriert.
• Privilegierter Zugriff auf AWS (S3, IAM)

AWS S3-Bucket und IAM für Google SecOps konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. tanium-comply-logs).
3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
4. Wählen Sie den erstellten Nutzer aus.
5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
6. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
7. Wählen Sie als Anwendungsfall Drittanbieterdienst aus.
8. Klicken Sie auf Weiter.
9. Optional: Fügen Sie ein Beschreibungstag hinzu.
10. Klicken Sie auf Zugriffsschlüssel erstellen.
11. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) zur späteren Verwendung zu speichern.
12. Klicken Sie auf Fertig.
13. Wählen Sie den Tab Berechtigungen aus.
14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
15. Wählen Sie Berechtigungen hinzufügen aus.
16. Wählen Sie Richtlinien direkt anhängen aus.
17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
18. Klicken Sie auf Weiter.
19. Klicken Sie auf Berechtigungen hinzufügen.

Berechtigungen für Amazon S3-Bucket konfigurieren

1. Wählen Sie in der Amazon S3-Konsole den Bucket aus, den Sie zuvor erstellt haben.
2. Klicken Sie auf Berechtigungen > Bucket-Richtlinie.

3. Fügen Sie im Bucket-Richtlinieneditor die folgende Richtlinie hinzu:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
         },
         "Action": [
           "s3:PutObject",
           "s3:PutObjectAcl",
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::tanium-comply-logs",
           "arn:aws:s3:::tanium-comply-logs/*"
         ]
       }
     ]
   }
   

4. Ersetzen Sie die folgenden Variablen:

   • Ersetzen Sie YOUR_ACCOUNT_ID durch Ihre AWS-Konto-ID.
   • Ändern Sie tanium-comply-logs in Ihren tatsächlichen Bucket-Namen, falls er sich unterscheidet.
   • Ändern Sie tanium-connect-s3-user in Ihren tatsächlichen IAM-Nutzernamen, falls er sich unterscheidet.

5. Klicken Sie auf Speichern.

Tanium Connect für den S3-Export konfigurieren

1. Melden Sie sich als Administrator in der Tanium Console an.
2. Klicken Sie auf Tanium Connect > Connections (Tanium Connect > Verbindungen).
3. Klicken Sie auf Create Connection.
4. Geben Sie im Abschnitt Allgemeine Informationen die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Tanium Comply to S3.
   • Beschreibung: Geben Sie eine aussagekräftige Beschreibung ein, z. B. Export Tanium Comply findings to S3 for Google SecOps ingestion.
   • Aktivieren: Wählen Sie diese Option aus, um die Verbindung zu aktivieren.
   • Log-Ebene: Wählen Sie Informationen (Standard) aus oder passen Sie die Einstellung nach Bedarf an.

5. Wählen Sie im Abschnitt Konfiguration für Quelle die Option Tanium Comply (Findings) aus.

   Hinweis :Die Quelle „Tanium Comply (Assessments)“ wird nicht mehr unterstützt. Verwenden Sie die Quelle „Tanium Comply (Findings)“ für Daten zu Compliance- und Sicherheitslückenergebnissen.

6. Konfigurieren Sie die Einstellungen für die Comply-Quelle:

   • Ergebnistyp: Wählen Sie den Typ der zu exportierenden Ergebnisse aus („Alle“, „Compliance“ oder „Sicherheitslücke“).
   • Behobene Ergebnisse einschließen: Wählen Sie aus, ob behobene Ergebnisse einbezogen werden sollen.
   • Computer Groups (Computer-Gruppen): Wählen Sie die Computer-Gruppen aus, die in den Export aufgenommen werden sollen (Standard: Alle Computer).

7. Wählen Sie unter Ziel die Option AWS S3 aus.

8. Geben Sie die folgenden Konfigurationsdetails an:

   • Zielname: Geben Sie einen Namen ein, z. B. Google SecOps S3 Bucket.
   • AWS Access Key (AWS-Zugriffsschlüssel): Geben Sie die Zugriffsschlüssel-ID des zuvor erstellten IAM-Nutzers ein.
   • AWS Secret Key: Geben Sie den geheimen Zugriffsschlüssel des zuvor erstellten IAM-Nutzers ein.
   • Bucket-Name: Geben Sie den Namen Ihres S3-Buckets ein (z. B. tanium-comply-logs).
   • Bucket-Pfad: Optional. Geben Sie ein Pfadpräfix ein, z. B. tanium/comply/.
   • Region: Wählen Sie die AWS-Region aus, in der sich Ihr Bucket befindet, z. B. us-east-1.

9. Konfigurieren Sie im Abschnitt Format das Ausgabeformat:

   • Formattyp: Wählen Sie JSON aus.
   • Spaltenüberschriften einfügen: Wählen Sie aus, ob Spaltenüberschriften eingefügt werden sollen.
   • Dokument generieren: Deaktivieren Sie diese Option, um Roh-JSON-Daten zu senden.

10. Optional: Konfigurieren Sie im Bereich Ausgabe konfigurieren nach Bedarf Filter und benutzerdefinierte Spalten.

11. Konfigurieren Sie im Abschnitt Zeitplan, wann die Verbindung ausgeführt werden soll:

    • Schedule Type (Zeitplantyp): Wählen Sie Cron aus.
    • Cron-Ausdruck: Geben Sie einen Cron-Ausdruck für regelmäßige Exporte ein, z. B. 0 */4 * * * für alle 4 Stunden.
    • Startdatum: Legen Sie das Startdatum für den Zeitplan fest.

12. Klicken Sie auf Änderungen speichern.

13. Rufen Sie auf der Seite Connect-Übersicht die Seite Verbindungen auf.

14. Klicken Sie auf die von Ihnen erstellte Verbindung (Tanium Comply to S3).

15. Klicken Sie auf Jetzt ausführen, um die Verbindung zu testen.

16. Bestätigen Sie, dass Sie die Verbindung ausführen möchten.

17. Behalten Sie den Verbindungsstatus im Blick und prüfen Sie, ob Compliance-Ergebnisse in Ihren S3-Bucket exportiert werden.

Optional: IAM-Nutzer mit Lesezugriff und Schlüssel für Google SecOps erstellen

1. Rufen Sie die AWS-Konsole > IAM > Nutzer > Nutzer hinzufügen auf.
2. Klicken Sie auf Add users (Nutzer hinzufügen).
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Nutzer: Geben Sie secops-reader ein.
   • Zugriffstyp: Wählen Sie Zugriffsschlüssel – programmatischer Zugriff aus.
4. Klicken Sie auf Nutzer erstellen.
5. Minimale Leseberechtigung (benutzerdefiniert) anhängen: Nutzer > secops-reader > Berechtigungen > Berechtigungen hinzufügen > Richtlinien direkt anhängen > Richtlinie erstellen.

6. Geben Sie im JSON-Editor die folgende Richtlinie ein:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::tanium-comply-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::tanium-comply-logs"
       }
     ]
   }
   

7. Legen Sie secops-reader-policy als Name fest.

8. Gehen Sie zu Richtlinie erstellen> suchen/auswählen > Weiter > Berechtigungen hinzufügen.

9. Rufen Sie Sicherheitsanmeldedaten > Zugriffsschlüssel > Zugriffsschlüssel erstellen auf.

10. Laden Sie die CSV herunter (diese Werte werden in den Feed eingegeben).

Feed in Google SecOps konfigurieren, um Tanium Comply-Logs aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf + Neuen Feed hinzufügen.
3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tanium Comply logs.
4. Wählen Sie Amazon S3 V2 als Quelltyp aus.
5. Wählen Sie Tanium Comply als Logtyp aus.
6. Klicken Sie auf Weiter.
7. Geben Sie Werte für die folgenden Eingabeparameter an:
   • S3-URI: s3://tanium-comply-logs/tanium/comply/ (passen Sie den Pfad an, wenn Sie einen anderen Bucket-Namen oder Pfad verwendet haben).
   • Optionen zum Löschen von Quellen: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
   • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket (vom oben erstellten schreibgeschützten Nutzer).
   • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket (vom oben erstellten schreibgeschützten Nutzer).
   • Asset-Namespace: Der Asset-Namespace.
   • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
8. Klicken Sie auf Weiter.
9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Computername	entity.entity.asset.hostname	Direkt aus dem Feld „Computername“ übernommen, nachdem Leerzeichen durch Unterstriche ersetzt wurden.
CVE	entity.entity.asset.vulnerabilities.cve_id	Direkt aus dem Feld „CVE“ zugeordnet.
CVSS v3-Wert	entity.entity.asset.vulnerabilities.cvss_base_score	Direkt aus dem Feld „CVSS v3 Score“ zugeordnet, nachdem es in „cvss_base_score“ umbenannt wurde.
CVSS v3-Schweregrad	entity.entity.asset.vulnerabilities.severity_details	Direkt aus dem Feld „CVSS v3 Severity“ zugeordnet.
CVSS v3-Vektor	entity.entity.asset.vulnerabilities.cvss_vector	Direkt aus dem Feld „CVSS v3 Vector“ zugeordnet.
Datum des ersten Fundes	entity.entity.asset.vulnerabilities.first_found	Aus dem Feld „First Found Date“ (Erstes Funddatum) geparst und in das RFC 3339-UTC-Format konvertiert. Wenn das Datum „-“ enthält, wird „T00:00:00Z“ angehängt. Andernfalls wird das Datum mit „grok“ extrahiert und dann konvertiert.
IP-Adresse	entity.entity.asset.ip	Jede IP-Adresse aus dem Array „IP Address“ wird einem separaten Feld „ip“ im UDM zugeordnet.
Datum des letzten Fundes	entity.entity.asset.vulnerabilities.last_found	Wird aus dem Feld „Last Found Date“ (Datum des letzten Fundes) geparst und in das RFC 3339-UTC-Format konvertiert. Wenn das Datum „-“ enthält, wird „T00:00:00Z“ angehängt. Andernfalls wird das Datum mit „grok“ extrahiert und dann konvertiert.
Titel	entity.entity.asset.vulnerabilities.name	Direkt aus dem Feld „Titel“ zugeordnet.
collection_time.nanos	entity.metadata.collected_timestamp.nanos	Direkt aus dem Feld „collection_time.nanos“ zugeordnet.
collection_time.seconds	entity.metadata.collected_timestamp.seconds	Direkt aus dem Feld „collection_time.seconds“ zugeordnet.
Zeit	entity.metadata.interval.start_time	Aus dem Feld „time“ geparst und in das RFC 3339-UTC-Format konvertiert.
-	entity.metadata.entity_type	Legen Sie diesen Wert auf „ASSET“ fest.
-	entity.metadata.product_entity_id	Auf „Tanium: “ gesetzt, verkettet mit dem Wert des Felds „computerName“.
-	entity.metadata.product_name	Legen Sie diesen Wert auf „Comply“ fest.
-	entity.metadata.vendor_name	Legen Sie diesen Wert auf „Tanium“ fest.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten