Raccogliere i log di Tanium Patch
Supportato in:
Google SecOps
SIEM
Questo documento spiega come importare i log di Tanium Patch in Google Security Operations utilizzando la funzionalità di esportazione AWS S3 nativa di Tanium Connect. Tanium Patch genera dati di deployment, conformità e vulnerabilità delle patch in formato JSON, che possono essere esportati direttamente in S3 utilizzando Tanium Connect senza richiedere funzioni Lambda personalizzate. Il parser trasforma i dati JSON della valutazione nel modello UDM (Unified Data Model) di Google SecOps. Innanzitutto, normalizza i nomi delle chiavi, estrae i dati dalla struttura JSON e poi mappa i campi pertinenti agli attributi UDM, inclusi i dettagli delle vulnerabilità, le informazioni sui risultati di sicurezza e i dettagli degli asset come il nome host e il sistema operativo.
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Un'istanza Google SecOps
- Tanium Core Platform 7.0 o versioni successive
- Modulo Tanium Patch installato e configurato
- Modulo Tanium Connect installato con licenza valida
- Accesso privilegiato alla console Tanium con diritti amministrativi
- Accesso con privilegi ad AWS (S3, IAM)
Configura il account di servizio Tanium Patch
- Accedi alla console Tanium.
- Vai a Moduli > Patch.
- Fai clic su Impostazioni in alto a destra.
- Nella sezione Service account, configura quanto segue:
- Utente service account: seleziona un utente con le autorizzazioni Patch appropriate.
- Verifica che l'account disponga del privilegio del ruolo Utente connesso.
- Fai clic su Salva per applicare la configurazione del account di servizio.
Raccogli i prerequisiti di Tanium Patch
- Accedi alla console Tanium come amministratore.
- Vai ad Amministrazione > Autorizzazioni > Utenti.
Crea o identifica un utente account di servizio con i seguenti ruoli:
- Ruolo Amministratore patch o Utente con accesso in sola lettura alle patch.
- Privilegio del ruolo Collega utente.
- Accesso ai gruppi di computer monitorati (consigliato: gruppo Tutti i computer).
Configura il bucket AWS S3 e IAM per Google SecOps
- Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket
- Salva il nome e la regione del bucket per riferimento futuro (ad esempio,
tanium-patch-logs). - Crea un utente seguendo questa guida: Creazione di un utente IAM.
- Seleziona l'utente creato.
- Seleziona la scheda Credenziali di sicurezza.
- Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
- Seleziona Servizio di terze parti come Caso d'uso.
- Fai clic su Avanti.
- (Facoltativo) Aggiungi un tag di descrizione.
- Fai clic su Crea chiave di accesso.
- Fai clic su Scarica file CSV per salvare la chiave di accesso e la chiave di accesso segreta per un utilizzo successivo.
- Fai clic su Fine.
- Seleziona la scheda Autorizzazioni.
- Fai clic su Aggiungi autorizzazioni nella sezione Criteri per le autorizzazioni.
- Seleziona Aggiungi autorizzazioni.
- Seleziona Allega direttamente le norme.
- Cerca e seleziona il criterio AmazonS3FullAccess.
- Fai clic su Avanti.
- Fai clic su Aggiungi autorizzazioni.
Configura la destinazione AWS S3 di Tanium Connect
- Accedi alla console Tanium.
- Vai a Moduli > Connetti.
- Fai clic su Crea connessione.
- Fornisci i seguenti dettagli di configurazione:
- Nome: inserisci un nome descrittivo (ad esempio,
Patch Data to S3 for SecOps). - Descrizione: descrizione facoltativa (ad esempio,
Export Patch compliance and deployment data to AWS S3 for Google SecOps ingestion). - Attiva: seleziona questa opzione per attivare l'esecuzione della connessione in base alla pianificazione.
- Nome: inserisci un nome descrittivo (ad esempio,
- Fai clic su Avanti.
Configurare l'origine della connessione
- Nella sezione Origine, fornisci i seguenti dettagli di configurazione:
- Tipo di origine: seleziona Domanda salvata.
- Domanda salvata: seleziona una delle seguenti domande salvate relative alle patch:
- Patch - Deployment Results per lo stato del deployment delle patch.
- Patch - Missing Patches per i dati di conformità alle vulnerabilità.
- Patch - Installed Patches per l'inventario delle patch installate.
- Patch - Elenco patch per lo stato completo delle patch.
- Gruppo di computer: seleziona Tutti i computer o gruppi di computer specifici da monitorare.
- Intervallo di aggiornamento: imposta l'intervallo appropriato per la raccolta dei dati (ad esempio, 1 ora).
- Fai clic su Avanti.
Configura la destinazione AWS S3
- Nella sezione Destinazione, fornisci i seguenti dettagli di configurazione:
- Tipo di destinazione: seleziona AWS S3.
- Nome destinazione: inserisci un nome univoco (ad esempio,
Google SecOps Patch S3 Destination). - Chiave di accesso AWS: inserisci la chiave di accesso AWS dal file CSV scaricato nel passaggio di configurazione di AWS S3.
- Chiave di accesso segreta AWS: inserisci la chiave di accesso segreta AWS dal file CSV scaricato nel passaggio di configurazione di AWS S3.
- Nome bucket: inserisci il nome del bucket S3 (ad esempio
tanium-patch-logs). - Regione: seleziona la regione AWS in cui si trova il bucket S3.
- Prefisso chiave: inserisci un prefisso per gli oggetti S3 (ad esempio,
tanium/patch/).
- Fai clic su Avanti.
Configurare i filtri
- Nella sezione Filtri, configura le opzioni di filtro dei dati:
- Invia solo nuovi elementi: seleziona questa opzione per inviare solo i nuovi risultati dall'ultima esportazione.
- Filtri delle colonne: se necessario, aggiungi filtri basati su attributi di patch specifici (ad esempio, filtra per gravità della patch, stato di implementazione).
- Fai clic su Avanti.
Formatta i dati per AWS S3
- Nella sezione Formato, configura il formato dei dati:
- Formato: seleziona JSON.
- Opzioni:
- Includi intestazioni: deseleziona questa opzione per evitare le intestazioni nell'output JSON.
- Includi celle vuote: seleziona in base alle tue preferenze.
- Opzioni avanzate:
- Denominazione dei file: utilizza la denominazione predefinita basata sul timestamp.
- Compressione: seleziona Gzip per ridurre i costi di archiviazione e i tempi di trasferimento.
- Fai clic su Avanti.
Pianificare la connessione
- Nella sezione Pianificazione, configura la pianificazione dell'esportazione:
- Attiva pianificazione: seleziona questa opzione per attivare le esportazioni automatiche pianificate.
- Tipo di programmazione: seleziona Ricorrente.
- Frequenza: seleziona Ogni ora per l'esportazione regolare dei dati delle patch.
- Ora di inizio: imposta l'ora di inizio appropriata per la prima esportazione.
- Fai clic su Avanti.
Salva e verifica la connessione
- Rivedi la configurazione della connessione nella schermata di riepilogo.
- Fai clic su Salva per creare la connessione.
- Fai clic su Prova connessione per verificare la configurazione.
- Se il test ha esito positivo, fai clic su Esegui ora per eseguire un'esportazione iniziale.
- Monitora lo stato della connessione nella pagina Panoramica di Connect.
Configura un feed in Google SecOps per importare i log di Tanium Patch
- Vai a Impostazioni SIEM > Feed.
- Fai clic su + Aggiungi nuovo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad esempio,
Tanium Patch logs). - Seleziona Amazon S3 V2 come Tipo di origine.
- Seleziona Tanium Patch come Tipo di log.
- Fai clic su Avanti.
- Specifica i valori per i seguenti parametri di input:
- URI S3:
s3://tanium-patch-logs/tanium/patch/ - Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
- Età massima del file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
- ID chiave di accesso: chiave di accesso utente con accesso al bucket S3.
- Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3.
- Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
- Etichette di importazione: l'etichetta applicata agli eventi di questo feed.
- URI S3:
- Fai clic su Avanti.
- Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Tabella di mappatura UDM
| Campo log | Mappatura UDM | Logic |
|---|---|---|
| Bollettini | principal.asset.vulnerabilities.vendor_vulnerability_id |
Il valore viene estratto dal campo "Bollettini" nel log non elaborato, per l'indice corrispondente del campo "Titolo". Se il valore è "None", il campo non è mappato. |
| ComputerName | principal.hostname |
Il valore viene estratto dal campo "ComputerName" nel log non elaborato. |
| ComputerName | principal.asset.hostname |
Il valore viene estratto dal campo "ComputerName" nel log non elaborato. |
| CVEID | principal.asset.vulnerabilities.cve_id |
Il valore viene estratto dal campo "CVEIDs" nel log non elaborato, per l'indice corrispondente del campo "Title". Se il valore è "None", il campo non è mappato. |
| KBArticles | principal.asset.vulnerabilities.vendor_knowledge_base_article_id |
Il valore viene estratto dal campo "KBArticles" nel log non elaborato, per l'indice corrispondente del campo "Title". Se il valore è vuoto, il campo non viene mappato. |
| KBArticles | security_result.summary |
Il valore viene estratto dal campo "KBArticles" nel log non elaborato, per l'indice corrispondente del campo "Title". Se il valore è vuoto, il campo non viene mappato. |
| OSType | principal.asset.platform_software.platform |
Se il valore contiene "Windows", la piattaforma è impostata su "WINDOWS". Se il valore contiene "Linux", la piattaforma è impostata su "LINUX". Se il valore contiene "Mac", la piattaforma è impostata su "MAC". |
| Gravità | principal.asset.vulnerabilities.severity |
Il valore viene estratto dal campo "Gravità" nel log non elaborato per l'indice corrispondente del campo "Titolo". Se il valore è "Critico", la gravità è impostata su "ALTA". Se il valore è "Important", la gravità è impostata su "MEDIUM". In caso contrario, la gravità viene impostata su "UNKNOWN_SEVERITY". |
| Gravità | principal.asset.vulnerabilities.severity_details |
Il valore viene estratto dal campo "Gravità" nel log non elaborato per l'indice corrispondente del campo "Titolo". Se il valore è "Critica" o "Importante", i dettagli della gravità sono impostati sul valore del log non elaborato. |
| Titolo | principal.asset.vulnerabilities.name |
Il valore viene estratto dal campo "Titolo" nel log non elaborato. |
| Titolo | security_result.description |
Il valore viene estratto dal campo "Titolo" nel log non elaborato, per l'indice corrispondente del campo "InstallStatus". Se il valore "InstallStatus" non è "Installed", la descrizione viene impostata sul valore del log non elaborato. |
| - | metadata.event_timestamp |
Il valore viene estratto dal campo "create_time" nel log non elaborato. |
| - | metadata.event_type |
Il valore è impostato su "SCAN_HOST". |
| - | metadata.log_type |
Il valore viene estratto dal campo "log_type" nel log non elaborato. |
| - | metadata.product_name |
Il valore è impostato su "Patch". |
| - | metadata.vendor_name |
Il valore è impostato su "Tanium". |
| - | principal.asset.vulnerabilities.vendor |
Il valore è impostato su "Tanium". |
| - | security_result.category |
Il valore è impostato su "DATA_AT_REST". |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.