Recoger registros de preguntas de Tanium

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos de los Servicios de Google SecOps.

En este documento se explica cómo ingerir registros de preguntas de Tanium en Google Security Operations mediante la función de exportación nativa de AWS S3 de Tanium Connect. Los registros de preguntas de Tanium contienen metadatos de ejecución de consultas, información de auditoría y datos de resultados de preguntas en formato JSON, que se pueden exportar directamente a S3 mediante Tanium Connect sin necesidad de funciones Lambda personalizadas.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Una instancia de Google SecOps
• Tanium Core Platform 7.0 o una versión posterior
• Módulo Tanium Interact para la gestión de preguntas
• Módulo Tanium Connect instalado con una licencia válida
• Acceso privilegiado a la consola de Tanium con derechos de administrador
• Acceso privilegiado a AWS (S3, IAM).

Configurar la cuenta de servicio de auditoría de preguntas de Tanium

1. Inicia sesión en la consola de Tanium.
2. Vaya a Administración > Configuración global.
3. Ve a la configuración de Auditoría de preguntas.
4. Configura el registro de auditoría para capturar los metadatos de ejecución de las preguntas.
5. Asegúrate de que la cuenta de servicio tenga los permisos de acceso de auditoría adecuados.

Recoger los requisitos previos de la pregunta de Tanium

1. Inicia sesión en la consola de Tanium como administrador.
2. Vaya a Administración > Permisos > Usuarios.

3. Crea o identifica un usuario de cuenta de servicio con los siguientes roles:

   • Autor de la pregunta o Administrador para acceder a las preguntas.
   • Privilegio del rol Conectar usuario.
   • Permiso Leer pregunta guardada para conjuntos de contenido de auditoría.
   • Acceso a grupos de ordenadores monitorizados (recomendación: grupo Todos los ordenadores).
   Nota: Tanium Connect usa internamente las credenciales de la cuenta de servicio para autenticar y recuperar los datos de auditoría de las preguntas. Estas credenciales se configuran durante la configuración de la fuente de Tanium Connect en la interfaz de la consola de Tanium.

Configurar un segmento de AWS S3 y IAM para Google SecOps

1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, tanium-question-logs).
3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
4. Selecciona el Usuario creado.
5. Selecciona la pestaña Credenciales de seguridad.
6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
7. Selecciona Servicio de terceros como Caso práctico.
8. Haz clic en Siguiente.
9. Opcional: añade una etiqueta de descripción.
10. Haz clic en Crear clave de acceso.
11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
12. Haz clic en Listo.
13. Selecciona la pestaña Permisos.
14. En la sección Políticas de permisos, haz clic en Añadir permisos.
15. Selecciona Añadir permisos.
16. Seleccione Adjuntar políticas directamente.
17. Busca y selecciona la política AmazonS3FullAccess.
18. Haz clic en Siguiente.
19. Haz clic en Añadir permisos.

Configurar el destino de AWS S3 de Tanium Connect

1. Inicia sesión en la consola de Tanium.
2. Ve a Módulos > Conectar.
3. Haga clic en Crear conexión.
4. Proporcione los siguientes detalles de configuración:
   • Nombre: introduce un nombre descriptivo (por ejemplo, Question Audit to S3 for SecOps).
   • Descripción: descripción opcional (por ejemplo, Export question execution and audit data to AWS S3 for Google SecOps ingestion).
   • Habilitar: selecciona esta opción para que la conexión se ejecute según la programación.
5. Haz clic en Siguiente.

Configurar la fuente de la conexión

1. En la sección Fuente, proporcione los siguientes detalles de configuración:
   • Tipo de fuente: selecciona Pregunta guardada.
   • Pregunta guardada: selecciona una de las siguientes preguntas guardadas relacionadas con la auditoría de preguntas:
     • Registro de preguntas para ver el historial de ejecución de las preguntas.
     • Historial de acciones para las acciones administrativas y la publicación de preguntas.
     • Actividad de los usuarios para ver las interacciones de los usuarios con las preguntas.
     • Estado del sistema para consultar las métricas de rendimiento de la plataforma.
   • Grupo de ordenadores: selecciona Todos los ordenadores o grupos de ordenadores específicos para monitorizar.
   • Intervalo de actualización: define el intervalo adecuado para la recogida de datos (por ejemplo, 30 minutos).
2. Haz clic en Siguiente.

Configurar un destino de AWS S3

1. En la sección Destino, proporcione los siguientes detalles de configuración:
   • Tipo de destino: selecciona AWS S3.
   • Nombre del destino: escriba un nombre único (por ejemplo, Google SecOps Question S3 Destination).
   • Clave de acceso de AWS: introduce la clave de acceso de AWS del archivo CSV descargado en el paso de configuración de AWS S3.
   • Clave de acceso secreta de AWS: introduce la clave de acceso secreta de AWS del archivo CSV que has descargado en el paso de configuración de AWS S3.
   • Nombre del segmento: introduce el nombre del segmento de S3 (por ejemplo, tanium-question-logs).
   • Región: selecciona la región de AWS en la que se encuentra tu contenedor de S3.
   • Prefijo de clave: introduce un prefijo para los objetos de S3 (por ejemplo, tanium/question/).
2. Haz clic en Siguiente.

Configurar filtros

1. En la sección Filtros, configure las opciones de filtrado de datos:
   • Enviar solo elementos nuevos: selecciona esta opción para enviar solo los datos de las preguntas nuevas desde la última exportación.
   • Filtros de columna: añade filtros basados en atributos de preguntas específicos si es necesario (por ejemplo, filtra por tipo de pregunta, usuario o estado de ejecución).
2. Haz clic en Siguiente.

Formatear datos para AWS S3

1. En la sección Formato, configure el formato de los datos:
   • Formato: selecciona JSON.
   • Opciones:
     • Incluir encabezados: desmarca esta opción para que no se incluyan encabezados en la salida JSON.
     • Incluir celdas vacías: selecciona esta opción según tus preferencias.
   • Opciones avanzadas:
     • Nombres de archivo: usa la nomenclatura predeterminada basada en marcas de tiempo.
     • Compresión: selecciona Gzip para reducir los costes de almacenamiento y el tiempo de transferencia.
2. Haz clic en Siguiente.

Programar la conexión

1. En la sección Programación, configure la programación de la exportación:
   • Habilitar programación: selecciona esta opción para habilitar las exportaciones programadas automáticas.
   • Tipo de programación: selecciona Recurrente.
   • Frecuencia: selecciona Cada 30 minutos para exportar los datos de auditoría de preguntas de forma periódica.
   • Hora de inicio: define la hora de inicio adecuada para la primera exportación.
2. Haz clic en Siguiente.

Guardar y verificar conexión

1. Revisa la configuración de la conexión en la pantalla de resumen.
2. Haz clic en Guardar para crear la conexión.
3. Haz clic en Probar conexión para verificar la configuración.
4. Si la prueba se realiza correctamente, haga clic en Ejecutar ahora para realizar una exportación inicial.
5. Supervisa el estado de la conexión en la página Vista general de Connect.

Configurar un feed en Google SecOps para ingerir registros de Tanium Question

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en + Añadir nuevo feed.
3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Tanium Question logs).
4. Selecciona Amazon S3 V2 como Tipo de fuente.
5. Seleccione Tanium Question (Pregunta de Tanium) como Log type (Tipo de registro).
6. Haz clic en Siguiente.
7. Especifique los valores de los siguientes parámetros de entrada:
   • URI de S3: s3://tanium-question-logs/tanium/question/
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
   • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
   • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
   • Espacio de nombres de recursos: el espacio de nombres de recursos.
   • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
8. Haz clic en Siguiente.
9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.