Tanium Patch-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Tanium Patch-Logs mit der nativen AWS S3-Exportfunktion von Tanium Connect in Google Security Operations aufnehmen. Tanium Patch generiert Daten zu Patchbereitstellung, Compliance und Sicherheitslücken im JSON-Format, die mit Tanium Connect direkt in S3 exportiert werden können, ohne dass benutzerdefinierte Lambda-Funktionen erforderlich sind. Der Parser transformiert die JSON-Daten der Analyse in das einheitliche Datenmodell (Unified Data Model, UDM) von Google SecOps. Dabei werden zuerst Schlüsselnamen normalisiert, dann Daten aus der JSON-Struktur extrahiert und schließlich relevante Felder UDM-Attributen zugeordnet, darunter Details zu Sicherheitslücken, Informationen zu Sicherheitsergebnissen und Asset-Details wie Hostname und Betriebssystem.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Tanium Core Platform 7.0 oder höher
  • Das Modul Tanium Patch ist installiert und konfiguriert.
  • Das Modul Tanium Connect ist mit einer gültigen Lizenz installiert.
  • Privilegierter Zugriff auf die Tanium Console mit Administratorberechtigungen
  • Privilegierter Zugriff auf AWS (S3, IAM)

Tanium Patch-Dienstkonto konfigurieren

  1. Melden Sie sich in der Tanium Console an.
  2. Klicken Sie auf Module > Patch.
  3. Klicken Sie rechts oben auf Einstellungen.
  4. Konfigurieren Sie im Abschnitt Dienstkonto Folgendes:
    • Dienstkontonutzer: Wählen Sie einen Nutzer mit den entsprechenden Patch-Berechtigungen aus.
    • Prüfen Sie, ob das Konto die Rolle „Connect-Nutzer“ hat.
  5. Klicken Sie auf Speichern, um die Dienstkontokonfiguration anzuwenden.

Voraussetzungen für Tanium Patch erfassen

  1. Melden Sie sich als Administrator in der Tanium Console an.
  2. Klicken Sie auf Verwaltung > Berechtigungen > Nutzer.

  3. Erstellen oder identifizieren Sie einen Dienstkontonutzer mit den folgenden Rollen:

    • Patch Administrator oder Patch Read Only User.
    • Berechtigung für die Rolle Connect User.
    • Zugriff auf überwachte Computergruppen (empfohlen: Gruppe Alle Computer).

AWS S3-Bucket und IAM für Google SecOps konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. tanium-patch-logs).
  3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
  7. Wählen Sie als Anwendungsfall Drittanbieterdienst aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungstag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) zur späteren Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  18. Klicken Sie auf Weiter.
  19. Klicken Sie auf Berechtigungen hinzufügen.

Tanium Connect-AWS S3-Ziel konfigurieren

  1. Melden Sie sich in der Tanium Console an.
  2. Klicken Sie auf Module> Connect (Module > Verbinden).
  3. Klicken Sie auf Create Connection.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Patch Data to S3 for SecOps.
    • Beschreibung: Optionale Beschreibung (z. B. Export Patch compliance and deployment data to AWS S3 for Google SecOps ingestion).
    • Aktivieren: Wählen Sie diese Option aus, um die Verbindung nach Zeitplan auszuführen.
  5. Klicken Sie auf Weiter.

Verbindungsquelle konfigurieren

  1. Geben Sie im Abschnitt Quelle die folgenden Konfigurationsdetails an:
    • Quelltyp: Wählen Sie Gespeicherte Frage aus.
    • Gespeicherte Frage: Wählen Sie eine der folgenden gespeicherten Fragen zu Patches aus:
      • Patch – Bereitstellungsergebnisse für den Status der Patch-Bereitstellung.
      • Patch – Fehlende Patches für Daten zur Compliance in Bezug auf Sicherheitslücken.
      • Patch – Installed Patches für das Inventar installierter Patches.
      • Patch – Patch List für einen umfassenden Patchstatus.
    • Computer Group (Computergruppe): Wählen Sie All Computers (Alle Computer) oder bestimmte Computergruppen aus, die überwacht werden sollen.
    • Aktualisierungsintervall: Legen Sie ein geeignetes Intervall für die Datenerhebung fest, z. B. 1 Stunde.
  2. Klicken Sie auf Weiter.

AWS S3-Ziel konfigurieren

  1. Geben Sie im Bereich Ziel die folgenden Konfigurationsdetails an:
    • Zieltyp: Wählen Sie AWS S3 aus.
    • Zielname: Geben Sie einen eindeutigen Namen ein, z. B. Google SecOps Patch S3 Destination.
    • AWS-Zugriffsschlüssel: Geben Sie den AWS-Zugriffsschlüssel aus der CSV-Datei ein, die Sie im Schritt zur AWS S3-Konfiguration heruntergeladen haben.
    • AWS Secret Access Key (Geheimer AWS-Zugriffsschlüssel): Geben Sie den geheimen AWS-Zugriffsschlüssel aus der CSV-Datei ein, die Sie im Konfigurationsschritt für AWS S3 heruntergeladen haben.
    • Bucket-Name: Geben Sie den Namen Ihres S3-Buckets ein (z. B. tanium-patch-logs).
    • Region: Wählen Sie die AWS-Region aus, in der sich Ihr S3-Bucket befindet.
    • Schlüsselpräfix: Geben Sie ein Präfix für die S3-Objekte ein (z. B. tanium/patch/).
  2. Klicken Sie auf Weiter.

Filter konfigurieren

  1. Konfigurieren Sie im Bereich Filter die Optionen zum Filtern von Daten:
    • Nur neue Elemente senden: Wählen Sie diese Option aus, um nur neue Ergebnisse seit dem letzten Export zu senden.
    • Spaltenfilter: Fügen Sie bei Bedarf Filter basierend auf bestimmten Patchattributen hinzu, z. B. nach Patch-Schweregrad oder Bereitstellungsstatus.
  2. Klicken Sie auf Weiter.

Daten für AWS S3 formatieren

  1. Konfigurieren Sie im Bereich Format das Datenformat:
    • Format: Wählen Sie JSON aus.
    • Optionen:
      • Header einfügen: Deaktivieren Sie diese Option, um Header in der JSON-Ausgabe zu vermeiden.
      • Leere Zellen einbeziehen: Wählen Sie die Option aus, die Ihren Anforderungen entspricht.
    • Erweiterte Optionen:
      • Dateibenennung: Verwenden Sie die standardmäßige zeitstempelbasierte Benennung.
      • Komprimierung: Wählen Sie Gzip aus, um Speicherkosten und Übertragungszeit zu reduzieren.
  2. Klicken Sie auf Weiter.

Verbindung planen

  1. Konfigurieren Sie im Abschnitt Zeitplan den Exportzeitplan:
    • Zeitplan aktivieren: Wählen Sie diese Option aus, um automatische geplante Exporte zu aktivieren.
    • Planungstyp: Wählen Sie Wiederkehrend aus.
    • Häufigkeit: Wählen Sie Stündlich für den regelmäßigen Export von Patch-Daten aus.
    • Startzeit: Legen Sie eine geeignete Startzeit für den ersten Export fest.
  2. Klicken Sie auf Weiter.

Verbindung speichern und bestätigen

  1. Überprüfen Sie die Verbindungskonfiguration auf dem Übersichtsbildschirm.
  2. Klicken Sie auf Save, um die Verbindung herzustellen.
  3. Klicken Sie auf Verbindung testen, um die Konfiguration zu überprüfen.
  4. Wenn der Test erfolgreich ist, klicken Sie auf Jetzt ausführen, um einen ersten Export durchzuführen.
  5. Überwachen Sie den Verbindungsstatus auf der Seite Connect-Übersicht.

Feed in Google SecOps konfigurieren, um Tanium Patch-Logs aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf + Neuen Feed hinzufügen.
  3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tanium Patch logs.
  4. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  5. Wählen Sie Tanium Patch als Logtyp aus.
  6. Klicken Sie auf Weiter.
  7. Geben Sie Werte für die folgenden Eingabeparameter an:
    • S3-URI: s3://tanium-patch-logs/tanium/patch/
    • Optionen zum Löschen von Quellen: Wählen Sie die gewünschte Option zum Löschen aus.
    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
    • Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
    • Asset-Namespace: Der Asset-Namespace.
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
  8. Klicken Sie auf Weiter.
  9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Bulletins principal.asset.vulnerabilities.vendor_vulnerability_id Der Wert wird aus dem Feld „Bulletins“ im Rohlog für den entsprechenden Index des Felds „Title“ übernommen. Wenn der Wert „None“ ist, wird das Feld nicht zugeordnet.
ComputerName principal.hostname Der Wert stammt aus dem Feld „ComputerName“ im Rohlog.
ComputerName principal.asset.hostname Der Wert stammt aus dem Feld „ComputerName“ im Rohlog.
CVEIDs principal.asset.vulnerabilities.cve_id Der Wert wird aus dem Feld „CVEIDs“ im Rohlog für den entsprechenden Index des Felds „Title“ übernommen. Wenn der Wert „None“ ist, wird das Feld nicht zugeordnet.
KBArticles principal.asset.vulnerabilities.vendor_knowledge_base_article_id Der Wert wird aus dem Feld „KBArticles“ im Rohlog für den entsprechenden Index des Felds „Title“ übernommen. Wenn der Wert leer ist, wird das Feld nicht zugeordnet.
KBArticles security_result.summary Der Wert wird aus dem Feld „KBArticles“ im Rohlog für den entsprechenden Index des Felds „Title“ übernommen. Wenn der Wert leer ist, wird das Feld nicht zugeordnet.
OSType principal.asset.platform_software.platform Wenn der Wert „Windows“ enthält, wird die Plattform auf „WINDOWS“ festgelegt. Wenn der Wert „Linux“ enthält, wird die Plattform auf „LINUX“ festgelegt. Wenn der Wert „Mac“ enthält, wird die Plattform auf „MAC“ festgelegt.
Schweregrad principal.asset.vulnerabilities.severity Der Wert wird aus dem Feld „Severity“ (Schweregrad) im Rohlog für den entsprechenden Index des Felds „Title“ (Titel) übernommen. Wenn der Wert „Kritisch“ ist, wird der Schweregrad auf „HOCH“ gesetzt. Wenn der Wert „Important“ ist, wird die Schwere auf „MEDIUM“ gesetzt. Andernfalls wird die Schwere auf „UNKNOWN_SEVERITY“ gesetzt.
Schweregrad principal.asset.vulnerabilities.severity_details Der Wert wird aus dem Feld „Severity“ (Schweregrad) im Rohlog für den entsprechenden Index des Felds „Title“ (Titel) übernommen. Wenn der Wert „Kritisch“ oder „Wichtig“ ist, werden die Schweregraddetails auf den Rohprotokollwert gesetzt.
Titel principal.asset.vulnerabilities.name Der Wert stammt aus dem Feld „Titel“ im Rohlog.
Titel security_result.description Der Wert wird aus dem Feld „Title“ im Rohlog für den entsprechenden Index des Felds „InstallStatus“ übernommen. Wenn der Wert „InstallStatus“ nicht „Installed“ ist, wird die Beschreibung auf den Rohprotokollwert festgelegt.
- metadata.event_timestamp Der Wert wird aus dem Feld „create_time“ im Rohlog übernommen.
- metadata.event_type Der Wert ist auf „SCAN_HOST“ festgelegt.
- metadata.log_type Der Wert stammt aus dem Feld „log_type“ im Rohlog.
- metadata.product_name Der Wert ist auf „Patch“ festgelegt.
- metadata.vendor_name Der Wert ist auf „Tanium“ festgelegt.
- principal.asset.vulnerabilities.vendor Der Wert ist auf „Tanium“ festgelegt.
- security_result.category Der Wert ist auf „DATA_AT_REST“ festgelegt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten