Recoger registros de parches de Tanium

Disponible en:

En este documento se explica cómo ingerir registros de parches de Tanium en Google Security Operations mediante la función de exportación nativa de AWS S3 de Tanium Connect. Tanium Patch genera datos de implementación, cumplimiento y vulnerabilidad de parches en formato JSON, que se pueden exportar directamente a S3 mediante Tanium Connect sin necesidad de funciones Lambda personalizadas. El analizador transforma los datos JSON de la evaluación en el modelo de datos unificado (UDM) de Google SecOps. Primero, normaliza los nombres de las claves, extrae los datos de la estructura JSON y, a continuación, asigna los campos relevantes a los atributos de UDM, incluidos los detalles de las vulnerabilidades, la información de los resultados de seguridad y los detalles de los activos, como el nombre de host y el sistema operativo.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Tanium Core Platform 7.0 o una versión posterior
  • Módulo Tanium Patch instalado y configurado
  • Módulo Tanium Connect instalado con una licencia válida
  • Acceso privilegiado a la consola de Tanium con derechos de administrador
  • Acceso privilegiado a AWS (S3, IAM)

Configurar la cuenta de servicio de Tanium Patch

  1. Inicia sesión en la consola de Tanium.
  2. Ve a Módulos > Parche.
  3. En la parte superior derecha, haz clic en Configuración.
  4. En la sección Cuenta de servicio, configure lo siguiente:
    • Usuario de cuenta de servicio: selecciona un usuario con los permisos de parche adecuados.
    • Verifica que la cuenta tenga el privilegio del rol Usuario de conexión.
  5. Haga clic en Guardar para aplicar la configuración de la cuenta de servicio.

Recopilar los requisitos previos de Tanium Patch

  1. Inicia sesión en la consola de Tanium como administrador.
  2. Vaya a Administración > Permisos > Usuarios.

  3. Crea o identifica un usuario de cuenta de servicio con los siguientes roles:

    • Rol Administrador de parches o Usuario de solo lectura de parches.
    • Privilegio del rol Conectar usuario.
    • Acceso a grupos de ordenadores monitorizados (recomendación: grupo Todos los ordenadores).

Configurar un segmento de AWS S3 y IAM para Google SecOps

  1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
  2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, tanium-patch-logs).
  3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
  4. Selecciona el Usuario creado.
  5. Selecciona la pestaña Credenciales de seguridad.
  6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
  7. Selecciona Servicio de terceros como Caso práctico.
  8. Haz clic en Siguiente.
  9. Opcional: añade una etiqueta de descripción.
  10. Haz clic en Crear clave de acceso.
  11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
  12. Haz clic en Listo.
  13. Selecciona la pestaña Permisos.
  14. En la sección Políticas de permisos, haz clic en Añadir permisos.
  15. Selecciona Añadir permisos.
  16. Seleccione Adjuntar políticas directamente.
  17. Busca y selecciona la política AmazonS3FullAccess.
  18. Haz clic en Siguiente.
  19. Haz clic en Añadir permisos.

Configurar el destino de AWS S3 de Tanium Connect

  1. Inicia sesión en la consola de Tanium.
  2. Ve a Módulos > Conectar.
  3. Haga clic en Crear conexión.
  4. Proporcione los siguientes detalles de configuración:
    • Nombre: introduce un nombre descriptivo (por ejemplo, Patch Data to S3 for SecOps).
    • Descripción: descripción opcional (por ejemplo, Export Patch compliance and deployment data to AWS S3 for Google SecOps ingestion).
    • Habilitar: selecciona esta opción para que la conexión se ejecute según la programación.
  5. Haz clic en Siguiente.

Configurar la fuente de la conexión

  1. En la sección Fuente, proporcione los siguientes detalles de configuración:
    • Tipo de fuente: selecciona Pregunta guardada.
    • Pregunta guardada: selecciona una de las siguientes preguntas guardadas relacionadas con los parches:
      • Parche - Resultados del despliegue para ver el estado del despliegue de parches.
      • Parche - Faltan parches para los datos de cumplimiento de vulnerabilidades.
      • Parche - Parches instalados para el inventario de parches instalados.
      • Aplicar parche - Lista de parches para ver el estado completo de los parches.
    • Grupo de ordenadores: selecciona Todos los ordenadores o grupos de ordenadores específicos para monitorizar.
    • Intervalo de actualización: defina el intervalo adecuado para la recogida de datos (por ejemplo, 1 hora).
  2. Haz clic en Siguiente.

Configurar un destino de AWS S3

  1. En la sección Destino, proporcione los siguientes detalles de configuración:
    • Tipo de destino: selecciona AWS S3.
    • Nombre del destino: escriba un nombre único (por ejemplo, Google SecOps Patch S3 Destination).
    • Clave de acceso de AWS: introduce la clave de acceso de AWS del archivo CSV descargado en el paso de configuración de AWS S3.
    • Clave de acceso secreta de AWS: introduce la clave de acceso secreta de AWS del archivo CSV que has descargado en el paso de configuración de AWS S3.
    • Nombre del segmento: introduce el nombre del segmento de S3 (por ejemplo, tanium-patch-logs).
    • Región: selecciona la región de AWS en la que se encuentra tu contenedor de S3.
    • Prefijo de clave: introduce un prefijo para los objetos de S3 (por ejemplo, tanium/patch/).
  2. Haz clic en Siguiente.

Configurar filtros

  1. En la sección Filtros, configure las opciones de filtrado de datos:
    • Enviar solo elementos nuevos: selecciona esta opción para enviar solo los resultados nuevos desde la última exportación.
    • Filtros de columna: añade filtros basados en atributos de parche específicos si es necesario (por ejemplo, filtra por gravedad del parche o estado de implementación).
  2. Haz clic en Siguiente.

Formatear datos para AWS S3

  1. En la sección Formato, configure el formato de los datos:
    • Formato: selecciona JSON.
    • Opciones:
      • Incluir encabezados: desmarca esta opción para que no se incluyan encabezados en la salida JSON.
      • Incluir celdas vacías: selecciona esta opción según tus preferencias.
    • Opciones avanzadas:
      • Nombres de archivo: usa la nomenclatura predeterminada basada en marcas de tiempo.
      • Compresión: selecciona Gzip para reducir los costes de almacenamiento y el tiempo de transferencia.
  2. Haz clic en Siguiente.

Programar la conexión

  1. En la sección Programación, configure la programación de la exportación:
    • Habilitar programación: selecciona esta opción para habilitar las exportaciones programadas automáticas.
    • Tipo de programación: selecciona Recurrente.
    • Frecuencia: seleccione Cada hora para exportar datos de parches con regularidad.
    • Hora de inicio: define la hora de inicio adecuada para la primera exportación.
  2. Haz clic en Siguiente.

Guardar y verificar conexión

  1. Revisa la configuración de la conexión en la pantalla de resumen.
  2. Haz clic en Guardar para crear la conexión.
  3. Haz clic en Probar conexión para verificar la configuración.
  4. Si la prueba se realiza correctamente, haga clic en Ejecutar ahora para realizar una exportación inicial.
  5. Supervisa el estado de la conexión en la página Vista general de Connect.

Configurar un feed en Google SecOps para ingerir registros de Tanium Patch

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en + Añadir nuevo feed.
  3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Tanium Patch logs).
  4. Selecciona Amazon S3 V2 como Tipo de fuente.
  5. Seleccione Tanium Patch como Tipo de registro.
  6. Haz clic en Siguiente.
  7. Especifique los valores de los siguientes parámetros de entrada:
    • URI de S3: s3://tanium-patch-logs/tanium/patch/
    • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
    • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
    • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
    • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
    • Espacio de nombres de recursos: el espacio de nombres de recursos.
    • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
  8. Haz clic en Siguiente.
  9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
Boletines principal.asset.vulnerabilities.vendor_vulnerability_id El valor se toma del campo "Bulletins" del registro sin procesar, correspondiente al índice del campo "Title". Si el valor es "None", el campo no se asigna.
ComputerName principal.hostname El valor se toma del campo "ComputerName" del registro sin procesar.
ComputerName principal.asset.hostname El valor se toma del campo "ComputerName" del registro sin procesar.
CVEIDs principal.asset.vulnerabilities.cve_id El valor se toma del campo "CVEIDs" del registro sin procesar, correspondiente al índice del campo "Title". Si el valor es "None", el campo no se asigna.
KBArticles principal.asset.vulnerabilities.vendor_knowledge_base_article_id El valor se toma del campo "KBArticles" del registro sin procesar, correspondiente al índice del campo "Title". Si el valor está vacío, el campo no se asigna.
KBArticles security_result.summary El valor se toma del campo "KBArticles" del registro sin procesar, correspondiente al índice del campo "Title". Si el valor está vacío, el campo no se asigna.
OSType principal.asset.platform_software.platform Si el valor contiene "Windows", la plataforma se define como "WINDOWS". Si el valor contiene "Linux", la plataforma se define como "LINUX". Si el valor contiene "Mac", la plataforma se define como "MAC".
Gravedad principal.asset.vulnerabilities.severity El valor se toma del campo "Gravedad" del registro sin procesar, correspondiente al índice del campo "Título". Si el valor es "Critical", la gravedad se define como "HIGH". Si el valor es "Importante", la gravedad se define como "MEDIA". De lo contrario, la gravedad se define como "UNKNOWN_SEVERITY".
Gravedad principal.asset.vulnerabilities.severity_details El valor se toma del campo "Gravedad" del registro sin procesar, correspondiente al índice del campo "Título". Si el valor es "Crítico" o "Importante", los detalles de la gravedad se definen con el valor del registro sin procesar.
Título principal.asset.vulnerabilities.name El valor se toma del campo "Título" del registro sin procesar.
Título security_result.description El valor se toma del campo "Title" del registro sin procesar, correspondiente al índice del campo "InstallStatus". Si el valor de "InstallStatus" no es "Installed", la descripción se asigna al valor del registro sin procesar.
- metadata.event_timestamp El valor se toma del campo "create_time" del registro sin procesar.
- metadata.event_type El valor es "SCAN_HOST".
- metadata.log_type El valor se toma del campo "log_type" del registro sin procesar.
- metadata.product_name El valor se establece como "Patch".
- metadata.vendor_name El valor es "Tanium".
- principal.asset.vulnerabilities.vendor El valor es "Tanium".
- security_result.category El valor es "DATA_AT_REST".

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.