Recopilar registros de Tanium Reveal

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos de los Servicios de Google SecOps.

En este documento se explica cómo ingerir registros de Tanium Reveal en Google Security Operations mediante la función de exportación nativa de AWS S3 de Tanium Connect. Tanium Reveal genera alertas de detección de datos sensibles, resultados de cumplimiento y resultados de clasificación de datos en formato JSON, que se pueden exportar directamente a S3 mediante Tanium Connect sin necesidad de usar funciones Lambda personalizadas. El analizador procesa los registros JSON y los transforma al formato UDM. Analiza el mensaje JSON, extrae campos como ID de ordenador, Nombre de ordenador y Nombre de regla, los asigna a campos UDM y gestiona eventos de Reveal específicos, como "Endpoints with Confirmed Sensitive Data" (Endpoints con datos sensibles confirmados), para rellenar los detalles de los resultados de seguridad.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Una instancia de Google SecOps
• Tanium Core Platform 7.0 o una versión posterior
• Módulo Tanium Reveal instalado y configurado
• Módulo Tanium Connect instalado con una licencia válida
• Tanium Trends 3.6.343 o versiones posteriores para la integración de informes
• Acceso privilegiado a la consola de Tanium con derechos de administrador
• Acceso privilegiado a AWS (S3, IAM)

Configurar la cuenta de servicio de Tanium Reveal

1. Inicia sesión en la consola de Tanium.
2. Ve a Módulos > Revelar.
3. En la parte superior derecha, haz clic en Configuración.
4. En la sección Cuenta de servicio, configure lo siguiente:
   • Usuario de cuenta de servicio: selecciona un usuario con los permisos de Reveal adecuados.
   • Verifica que la cuenta tenga el privilegio del rol Usuario de conexión.
   • Confirma el acceso a las fuentes de datos y las reglas de Reveal.
5. Haga clic en Guardar para aplicar la configuración de la cuenta de servicio.

Recopilar los requisitos previos de Tanium Reveal

1. Inicia sesión en la consola de Tanium como administrador.
2. Vaya a Administración > Permisos > Usuarios.
3. Crea o identifica un usuario de cuenta de servicio con los siguientes roles:
   • Mostrar administrador o Mostrar usuario de solo lectura.
   • Privilegio del rol Conectar usuario.
   • Acceso a grupos de ordenadores monitorizados (recomendación: grupo Todos los ordenadores).
   • Permiso Leer pregunta guardada para conjuntos de contenido de Reveal.

Nota: Tanium Connect usa internamente las credenciales de la cuenta de servicio para autenticar y recuperar los resultados de datos sensibles de Reveal. Estas credenciales se configuran durante la configuración de la fuente de Tanium Connect en la interfaz de la consola de Tanium.

Configurar un segmento de AWS S3 y IAM para Google SecOps

1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, tanium-reveal-logs).
3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
4. Selecciona el Usuario creado.
5. Selecciona la pestaña Credenciales de seguridad.
6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
7. Selecciona Servicio de terceros como Caso práctico.
8. Haz clic en Siguiente.
9. Opcional: añade una etiqueta de descripción.
10. Haz clic en Crear clave de acceso.
11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
12. Haz clic en Listo.
13. Selecciona la pestaña Permisos.
14. En la sección Políticas de permisos, haz clic en Añadir permisos.
15. Selecciona Añadir permisos.
16. Seleccione Adjuntar políticas directamente.
17. Busca y selecciona la política AmazonS3FullAccess.
18. Haz clic en Siguiente.
19. Haz clic en Añadir permisos.

Configurar el destino de AWS S3 de Tanium Connect

1. Inicia sesión en la consola de Tanium.
2. Ve a Módulos > Conectar.
3. Haga clic en Crear conexión.
4. Proporcione los siguientes detalles de configuración:
   • Nombre: introduce un nombre descriptivo (por ejemplo, Reveal Findings to S3 for SecOps).
   • Descripción: descripción opcional (por ejemplo, Export sensitive data findings and compliance alerts to AWS S3 for Google SecOps ingestion).
   • Habilitar: selecciona esta opción para que la conexión se ejecute según la programación.
5. Haz clic en Siguiente.

Configurar la fuente de la conexión

1. En la sección Fuente, proporcione los siguientes detalles de configuración:
   • Tipo de fuente: selecciona Pregunta guardada.
   • Pregunta guardada: selecciona una de las siguientes preguntas guardadas relacionadas con Revelar:
     • Mostrar - Endpoints con datos sensibles confirmados para ver los resultados confirmados.
     • Mostrar - Coincidencias de reglas para ver los resultados detallados de las coincidencias de reglas.
     • Reveal - Data Classification Results (Revelar - Resultados de clasificación de datos) para la clasificación de tipos de datos.
     • Revelar - Cumplimiento para ver el estado de cumplimiento de las normativas.
   • Grupo de ordenadores: selecciona Todos los ordenadores o grupos de ordenadores específicos para monitorizar.
   • Intervalo de actualización: define el intervalo adecuado para la recogida de datos (por ejemplo, 15 minutos para las alertas de datos sensibles).
2. Haz clic en Siguiente.

Configurar un destino de AWS S3

1. En la sección Destino, proporcione los siguientes detalles de configuración:
   • Tipo de destino: selecciona AWS S3.
   • Nombre del destino: escriba un nombre único (por ejemplo, Google SecOps Reveal S3 Destination).
   • Clave de acceso de AWS: introduce la clave de acceso de AWS del archivo CSV descargado en el paso de configuración de AWS S3.
   • Clave de acceso secreta de AWS: introduce la clave de acceso secreta de AWS del archivo CSV que has descargado en el paso de configuración de AWS S3.
   • Nombre del segmento: introduce el nombre del segmento de S3 (por ejemplo, tanium-reveal-logs).
   • Región: selecciona la región de AWS en la que se encuentra tu contenedor de S3.
   • Prefijo de clave: introduce un prefijo para los objetos de S3 (por ejemplo, tanium/reveal/).
2. Haz clic en Siguiente.

Configurar filtros

1. En la sección Filtros, configure las opciones de filtrado de datos:
   • Enviar solo elementos nuevos: selecciona esta opción para enviar solo los nuevos resultados de datos sensibles desde la última exportación.
   • Filtros de columna: añade filtros basados en atributos de resultados específicos si es necesario (por ejemplo, filtra por gravedad de la regla, tipo de datos o marco de cumplimiento).
2. Haz clic en Siguiente.

Formatear datos para AWS S3

1. En la sección Formato, configure el formato de los datos:
   • Formato: selecciona JSON.
   • Opciones:
     • Incluir encabezados: desmarca esta opción para que no se incluyan encabezados en la salida JSON.
     • Incluir celdas vacías: selecciona esta opción según tus preferencias.
   • Opciones avanzadas:
     • Nombres de archivo: usa la nomenclatura predeterminada basada en marcas de tiempo.
     • Compresión: selecciona Gzip para reducir los costes de almacenamiento y el tiempo de transferencia.
2. Haz clic en Siguiente.

Programar la conexión

1. En la sección Programación, configure la programación de la exportación:
   • Habilitar programación: selecciona esta opción para habilitar las exportaciones programadas automáticas.
   • Tipo de programación: selecciona Recurrente.
   • Frecuencia: selecciona Cada 15 minutos para recibir alertas de datos sensibles a tiempo.
   • Hora de inicio: define la hora de inicio adecuada para la primera exportación.
2. Haz clic en Siguiente.

Guardar y verificar conexión

1. Revisa la configuración de la conexión en la pantalla de resumen.
2. Haz clic en Guardar para crear la conexión.
3. Haz clic en Probar conexión para verificar la configuración.
4. Si la prueba se realiza correctamente, haga clic en Ejecutar ahora para realizar una exportación inicial.
5. Supervisa el estado de la conexión en la página Vista general de Connect.

Configurar una feed en Google SecOps para ingerir registros de Tanium Reveal

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en + Añadir nuevo feed.
3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Tanium Reveal logs).
4. Selecciona Amazon S3 V2 como Tipo de fuente.
5. Seleccione Tanium Reveal como Tipo de registro.
6. Haz clic en Siguiente.
7. Especifique los valores de los siguientes parámetros de entrada:
   • URI de S3: s3://tanium-reveal-logs/tanium/reveal/
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
   • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
   • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
   • Espacio de nombres de recursos: el espacio de nombres de recursos.
   • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
8. Haz clic en Siguiente.
9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.