Mengumpulkan log Tanium Integrity Monitor

Didukung di:

Dokumen ini menjelaskan cara menyerap log Tanium Integrity Monitor ke Google Security Operations menggunakan fungsi ekspor AWS S3 bawaan Tanium Connect. Tanium Integrity Monitor menghasilkan peristiwa pemantauan integritas file dan registri dalam format JSON, yang dapat diekspor langsung ke S3 menggunakan Tanium Connect tanpa memerlukan fungsi Lambda kustom. Parser pertama-tama mengekstrak kolom seperti "computer_name", "process_path", dan "change_type" dari kolom "message" log JSON Tanium Integrity Monitor menggunakan pencocokan pola. Kemudian, kolom yang diekstrak ini dan beberapa kolom JSON yang diuraikan secara langsung disusun ke dalam format model data terpadu (UDM), yang menangani kolom bernilai tunggal dan bernilai ganda.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke Tanium Console dengan modul Integrity Monitor dan Connect yang terinstal
  • Akses istimewa ke AWS (S3, IAM)

Mengumpulkan prasyarat Tanium Integrity Monitor

  1. Login ke Tanium Console sebagai administrator.
  2. Buka Administrasi > Izin > Pengguna.
  3. Buat atau identifikasi pengguna akun layanan dengan peran berikut:
    • Peran Integrity Monitor Service Account.
    • Hak istimewa peran Hubungkan Pengguna.
    • Akses ke grup komputer yang dipantau (direkomendasikan: grup Semua Komputer).

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

  1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
  2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, tanium-integrity-monitor-logs).
  3. Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
  4. Pilih Pengguna yang dibuat.
  5. Pilih tab Kredensial keamanan.
  6. Klik Create Access Key di bagian Access Keys.
  7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
  8. Klik Berikutnya.
  9. Opsional: tambahkan tag deskripsi.
  10. Klik Create access key.
  11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
  12. Klik Selesai.
  13. Pilih tab Izin.
  14. Klik Tambahkan izin di bagian Kebijakan izin.
  15. Pilih Tambahkan izin.
  16. Pilih Lampirkan kebijakan secara langsung
  17. Telusuri dan pilih kebijakan AmazonS3FullAccess.
  18. Klik Berikutnya.
  19. Klik Add permissions.

Mengonfigurasi tujuan AWS S3 Tanium Connect

  1. Login ke Tanium Console.
  2. Buka Modules > Connect.
  3. Klik Buat Koneksi.
  4. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama deskriptif (misalnya, Integrity Monitor to S3 for SecOps).
    • Deskripsi: Deskripsi opsional (misalnya, Export IM events to AWS S3 for Google SecOps ingestion).
    • Aktifkan: Pilih untuk mengaktifkan koneksi agar berjalan sesuai jadwal.
  5. Klik Berikutnya.

Mengonfigurasi sumber koneksi

  1. Pilih Peristiwa Integrity Monitor sebagai jenis sumber.
  2. Berikan detail konfigurasi berikut:
    • Sumber: Pilih Integrity Monitor - Monitor Events.
    • Akun Layanan: Koneksi akan menggunakan akun layanan Tanium Connect yang dikonfigurasi di setelan Integrity Monitor.
    • Monitor: Pilih Semua Monitor atau pilih monitor tertentu yang akan diekspor.
    • Jenis acara: Pilih jenis acara yang akan disertakan:
      • Peristiwa file: Mencakup peristiwa pembuatan, modifikasi, penghapusan file.
      • Peristiwa registry: Mencakup perubahan kunci registry (khusus Windows).
      • Peristiwa izin: Menyertakan perubahan izin file.
    • Sertakan acara berlabel: Pilih untuk menyertakan acara dengan label.
    • Sertakan peristiwa yang tidak berlabel: Pilih untuk menyertakan peristiwa tanpa label.
  3. Klik Berikutnya.

Mengonfigurasi tujuan AWS S3

  1. Pilih AWS S3 sebagai jenis tujuan.
  2. Berikan detail konfigurasi berikut:
    • Nama tujuan: Masukkan nama unik (misalnya, Google SecOps S3 Destination).
    • Kunci Akses AWS: Masukkan kunci akses AWS dari langkah sebelumnya.
    • AWS Secret Access Key: Masukkan kunci akses rahasia AWS dari langkah sebelumnya.
    • Nama bucket: Masukkan nama bucket S3 Anda (misalnya, tanium-integrity-monitor-logs).
    • Region: Pilih region AWS tempat bucket S3 Anda berada.
    • Awalan kunci: Masukkan awalan untuk objek S3 (misalnya, tanium/integrity-monitor/).
    • Setelan Lanjutan:
      • Penamaan file: Pilih Penamaan berbasis tanggal dan waktu.
      • Format file: Pilih JSON Lines untuk penyerapan Google SecOps yang optimal.
      • Kompresi: Pilih Gzip untuk mengurangi biaya penyimpanan.
  3. Klik Berikutnya.

Opsional: Mengonfigurasi filter

  1. Konfigurasi filter data jika diperlukan:
    • Hanya item baru: Pilih untuk mengirim hanya peristiwa baru sejak ekspor terakhir.
    • Filter peristiwa: Tambahkan filter berdasarkan atribut peristiwa jika pemfilteran tertentu diperlukan.
    • Filter grup komputer: Pilih grup komputer tertentu jika diperlukan.
  2. Klik Berikutnya.

Memformat data untuk AWS S3

  1. Konfigurasi format data:
    • Format: Pilih JSON.
    • Sertakan header: Hapus centang untuk menghindari header dalam output JSON.
    • Pemetaan kolom: Gunakan pemetaan kolom default atau sesuaikan sesuai kebutuhan.
    • Format stempel waktu: Pilih format ISO 8601 untuk representasi waktu yang konsisten.
  2. Klik Berikutnya.

Menjadwalkan koneksi

  1. Di bagian Jadwalkan, konfigurasikan jadwal ekspor:
    • Aktifkan jadwal: Pilih untuk mengaktifkan ekspor terjadwal otomatis.
    • Jenis jadwal: Pilih Berulang.
    • Frekuensi: Pilih Per jam untuk ekspor data reguler.
    • Waktu mulai: Tetapkan waktu mulai yang sesuai untuk ekspor pertama.
  2. Klik Berikutnya.

Simpan dan verifikasi koneksi

  1. Tinjau konfigurasi koneksi di layar ringkasan.
  2. Klik Simpan untuk membuat koneksi.
  3. Klik Uji Koneksi untuk memverifikasi konfigurasi.
  4. Jika pengujian berhasil, klik Jalankan Sekarang untuk melakukan ekspor awal.
  5. Pantau status koneksi di halaman Connect Overview.

Mengonfigurasi feed di Google SecOps untuk menyerap log Tanium Integrity Monitor

  1. Buka Setelan SIEM > Feed.
  2. Klik + Tambahkan Feed Baru.
  3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Tanium Integrity Monitor logs).
  4. Pilih Amazon S3 V2 sebagai Jenis sumber.
  5. Pilih Tanium Integrity Monitor sebagai Jenis log.
  6. Klik Berikutnya.
  7. Tentukan nilai untuk parameter input berikut:
    • URI S3: s3://tanium-integrity-monitor-logs/tanium/integrity-monitor/
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
    • Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
    • ID Kunci Akses: Kunci akses pengguna dengan akses ke bucket S3.
    • Kunci Akses Rahasia: Kunci rahasia pengguna dengan akses ke bucket S3.
    • Namespace aset: Namespace aset.
    • Label penyerapan: Label yang diterapkan ke peristiwa dari feed ini.
  8. Klik Berikutnya.
  9. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
Nama Komputer principal.hostname Dipetakan langsung dari kolom "Nama Komputer" di log mentah.
Jumlah additional.fields.value.string_value Dipetakan langsung dari kolom "Jumlah" dalam log mentah.
CreateNewFile security_result.category_details Dipetakan langsung dari kolom "Change Type" dalam log mentah saat nilainya adalah "CreateNewFile".
Hash target.file.sha256 Dipetakan langsung dari kolom "Hash" di log mentah.
"Tidak ada acara yang cocok dengan filter" security_result.about.labels.value Dipetakan langsung dari kolom "ID" di log mentah saat nilainya adalah "No events matched the filters".
additional.fields.key Di-hardcode ke "Count" oleh parser.
metadata.event_timestamp Diisi dengan kolom create_time dari log mentah.
metadata.event_type Disetel ke "STATUS_UPDATE" oleh logika parser saat kolom "principal_hostname" berhasil diekstrak.
metadata.log_type Di-hardcode ke "TANIUM_INTEGRITY_MONITOR" oleh parser.
metadata.product_name Dikodekan secara permanen ke "Tanium Integrity Monitor" oleh parser.
metadata.vendor_name Dikodekan secara permanen ke "Tanium Integrity Monitor" oleh parser.
security_result.about.labels.key Dikodekan secara permanen ke "ID" oleh parser.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.