Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Tanium Asset 日志

支持：

Google SecOps SIEM

本文档介绍了如何使用两种不同的方法将 Tanium Asset 日志注入到 Google Security Operations。

您可以选择 Tanium Connect 的原生 Amazon S3 导出功能，也可以选择使用 Bindplane 进行实时 syslog 转发。这两种方法都使用 Tanium Connect 模块从 Tanium 中提取资产数据，并将其转发到 Chronicle 进行分析和监控。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
对 Tanium 控制台（连接模块）的特权访问权限，用于配置导出目标位置
选择您的首选集成方法：
- 选项 1（推荐）：对 AWS（S3、IAM）的特权访问权限，用于原生 S3 导出
- 选项 2：安装了 systemd 的 Windows 2016 或更高版本或 Linux 主机，用于安装 Bindplane 代理

选项 1：使用 AWS S3 配置 Tanium Asset 日志导出

创建 Amazon S3 存储桶

按照此用户指南创建 Amazon S3 存储桶：创建存储桶
保存存储桶名称和区域以供日后参考（例如 tanium-asset-logs）。
按照此用户指南创建用户：创建 IAM 用户。
选择创建的用户。
选择安全凭证标签页。
点击访问密钥部分中的创建访问密钥。
选择第三方服务作为使用情形。
点击下一步。
- 可选：添加说明标记。
点击创建访问密钥。
点击下载 .csv 文件以保存访问密钥和密钥，供日后参考。
点击完成。
选择权限标签页。
在权限政策部分中，点击添加权限。
选择添加权限。
选择直接附加政策。
搜索 AmazonS3FullAccess 政策。
选择相应政策。
点击下一步。
点击添加权限。

为 S3 导出配置 Tanium Connect

使用管理员权限登录 Tanium 控制台。
依次前往模块 > 连接 > 概览，然后点击创建连接。
点击创建。
提供以下配置详细信息：
- 名称：输入一个描述性名称（例如 Google SecOps Asset S3 Export）。
- 说明：此连接的可选说明。
- 启用：选择启用即可按时间表运行。
点击下一步。
在来源配置中：
- 来源：选择已保存的问题。
- 问题：选择可返回资产数据的现有已保存问题，或使用与资产相关的传感器（例如计算机名称、IP 地址、操作系统平台、网域）创建新问题。
- 计算机组：选择要定位的计算机组，以收集资产数据。
点击下一步。
在目标配置中：
- 目标：选择 AWS S3。
- 名称：输入目标名称（例如 Chronicle Asset S3）。
- AWS 访问密钥 ID：输入 IAM 用户的访问密钥 ID。
- AWS Secret Access Key：输入 IAM 用户的 Secret Access Key。
- S3 存储桶名称：tanium-asset-logs。
- S3 键前缀：tanium/assets/（可选前缀，用于组织）。
- 区域：选择 S3 存储桶所在的 AWS 区域。
点击下一步。
在格式设置配置中：
- 格式：选择 JSON 以导出结构化数据。
- 列：选择要导出的资产字段，并对其进行适当的格式设置。
点击下一步。
在时间表配置中：
- 时间表：配置传送时间表（例如，每小时或每天）。
- 开始日期/时间：设置连接应开始运行的时间。
点击保存以创建连接并开始自动 S3 导出。

（可选）为 Google SecOps 创建只读 IAM 用户和密钥

依次前往 AWS 控制台 > IAM > 用户 > 添加用户。
点击 Add users（添加用户）。
提供以下配置详细信息：
- 用户：输入 secops-reader。
- 访问权限类型：选择访问密钥 - 以程序化方式访问。
点击创建用户。
附加最低限度的读取政策（自定义）：依次点击用户 > secops-reader > 权限 > 添加权限 > 直接附加政策 > 创建政策。

JSON：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::tanium-asset-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::tanium-asset-logs"
    }
  ]
}

名称 = secops-reader-policy。
依次点击创建政策 > 搜索/选择 > 下一步 > 添加权限。
为 secops-reader 创建访问密钥：依次点击安全凭据 > 访问密钥 > 创建访问密钥 > 下载 .csv（您会将这些值粘贴到 Feed 中）。

在 Google SecOps 中配置 Feed 以注入 Tanium 资产日志

前往 SIEM 设置 > Feed。
点击 + 添加新 Feed。
在 Feed 名称字段中，输入 Feed 的名称（例如 Tanium Asset logs）。
选择 Amazon S3 V2 作为来源类型。
选择 Tanium Asset 作为日志类型。
点击下一步。
为以下输入参数指定值：
- S3 URI：s3://tanium-asset-logs/tanium/assets/
- 源删除选项：根据您的偏好选择删除选项。
- 文件存在时间上限：包含在过去指定天数内修改过的文件。默认值为 180 天。
- 访问密钥 ID：有权访问 S3 存储桶的用户访问密钥。
- 私有访问密钥：具有 S3 存储桶访问权限的用户私有密钥。
- 资产命名空间：资产命名空间。
- 注入标签：应用于此 Feed 中事件的标签。
点击下一步。
在最终确定界面中查看新的新闻信息流配置，然后点击提交。

选项 2：使用 syslog 和 Bindlane 配置 Tanium Asset 日志导出

获取 Bindplane 代理的 Google SecOps 凭据

如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用提取身份验证文件（方法 2），直到提取 API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥> 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
前往 SIEM 设置> 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将要安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
从组织详细信息部分复制并保存客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector/ 目录中，或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

根据基础架构的要求替换端口和 IP 地址。
将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会为此值添加 chronicle.googleapis.com 前缀。
将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
将 <PLACEHOLDER_CUSTOMER_ID> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为第 1 步中保存服务账号密钥文件（选项 1）的文件路径。

旧版提取 API 导出工具

如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'TANIUM_ASSET'
    raw_log_field: body
    ingestion_labels:

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart observiq-otel-collector
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Tanium Asset 上配置 Syslog 转发

使用管理员权限登录 Tanium 控制台。
依次前往模块 > 连接 > 概览，然后点击创建连接。
点击创建。
提供以下配置详细信息：
- 名称：输入一个描述性名称（例如 Google SecOps Asset Integration）。
- 说明：此连接的可选说明。
- 启用：选择启用即可按时间表运行。
点击下一步。
在来源配置中：
- 来源：选择已保存的问题。
- 问题：选择一个返回资产数据的现有已保存问题，或使用与资产相关的传感器创建一个新问题。
- 计算机群组：选择要收集资产数据的目标计算机群组。
点击下一步。
在目标配置中：
- 目标：选择 SIEM/Syslog。
- 名称：输入目标位置名称（例如 Chronicle Asset Syslog）。
- 主机：输入 Bindplane IP。
- 端口：输入 Bindplane 端口号（例如 514）。
- 协议：选择 UDP。
- 格式：选择 SYSLOG RFC 5424。
- 时区：选择 UTC 时区，以确保各个系统之间的一致性。
点击下一步。
在格式设置配置中：
- 格式：选择 JSON。
- 列：选择要转发的资产字段（例如，计算机名称、IP 地址、操作系统平台、网域）。
点击下一步。
在时间表配置中：
- 时间表：配置传送时间表（例如，每小时）。
- 开始日期/时间：设置连接应开始运行的时间。
点击保存以创建连接并开始转发。

UDM 映射表

日志字段	UDM 映射	逻辑
`application_name`	`entity.metadata.source_labels.value`	如果原始日志中存在“application_name”字段，则从该字段中获取值。
`application_vendor`	`entity.metadata.source_labels.value`	如果原始日志中存在“application_vendor”字段，则从该字段中获取值。
`application_version`	`entity.metadata.product_version`	如果原始日志中存在“application_version”字段，则该值取自该字段。
`BIOS_Current_Language`	`entity.metadata.source_labels.value`	如果原始日志中存在“BIOS_Current_Language”字段，则该值取自该字段。
`BIOS_Release_Date`	`entity.metadata.source_labels.value`	如果原始日志中存在“BIOS_Release_Date”字段，则从该字段中获取值。
`BIOS_Vendor`	`entity.metadata.source_labels.value`	如果原始日志中存在“BIOS_Vendor”字段，则从该字段中获取值。
`BIOS_Version`	`entity.metadata.product_version`	如果原始日志中存在“BIOS_Version”字段，则从该字段中获取值。
`Chassis Type`	`entity.entity.asset.category`	如果原始日志中存在“Chassis Type”字段，则值取自该字段。
`Computer ID`	`entity.entity.asset.product_object_id`	如果原始日志中存在“计算机 ID”字段，则该值取自该字段。还用于填充 entity.relations.entity.asset.asset_id，前缀为“id: ”。
`Computer Name`	`entity.entity.asset.hostname`	如果原始日志中存在“Computer Name”字段，则从该字段中获取值。
`Count`	`entity.metadata.source_labels.value`	如果原始日志中存在“Count”字段，则值取自该字段。
`Endpoint Fingerprint`	`entity.entity.asset.hardware.serial_number`	如果原始日志中存在“Endpoint Fingerprint”字段，则值取自该字段。
`IP Address`	`entity.entity.asset.ip`	值取自“IP 地址”字段，并作为单独的 IP 地址添加到数组中。
`Last Logged In User`	`entity.relations.entity.user.userid`	该值取自“上次登录的用户”字段，并移除了所有网域前缀（如果原始日志中存在）。
`Last Reboot`	`entity.entity.asset.last_boot_time`	如果原始日志中存在“上次重启”字段，则系统会解析该字段中的值，并将其格式化为时间戳。
`MAC Address`	`entity.entity.asset.mac`	值取自“MAC 地址”字段，并作为单独的 MAC 地址添加到数组中。
`Manufacturer`	`entity.entity.asset.hardware.manufacturer`	如果原始日志中存在“Manufacturer”字段，则值取自该字段。
`Operating System`	`entity.entity.asset.platform_software.platform_version`	如果原始日志中存在“操作系统”字段，则从该字段中获取值。用于确定 entity.entity.asset.platform_software.platform 的值（WINDOWS、LINUX 或 MAC）。
`platform`	`entity.entity.asset.platform_software.platform_version`	如果原始日志中存在“platform”字段，则值取自该字段。用于确定 entity.entity.asset.platform_software.platform 的值（WINDOWS、LINUX 或 MAC）。
`serial_number`	`entity.entity.asset.hardware.serial_number`	如果原始日志中存在“serial_number”字段，则从该字段中获取值。
`version`	`entity.entity.asset.platform_software.platform_version`	如果原始日志中存在“version”字段，则值取自该字段。用于确定 entity.entity.asset.platform_software.platform 的值（WINDOWS、LINUX 或 MAC）。
不适用	`entity.metadata.collected_timestamp`	设置为批次的 create_time。
不适用	`entity.metadata.vendor_name`	一律设置为“TANIUM_ASSET”。
不适用	`entity.metadata.product_name`	一律设置为“TANIUM_ASSET”。
不适用	`entity.metadata.entity_type`	始终设置为“ASSET”。
不适用	`entity.relations.entity_type`	始终设置为“USER”。
不适用	`entity.relations.relationship`	始终设置为“OWNS”。
`comp_serial_num`	`_asset_entity.asset.product_object_id`	从更新日志映射
`application_name", "count", "application_vendor", "BIOS_Release_Date", "BIOS_Vendor", and "BIOS_Current_Language`	`metadata.source_labels`	从更新日志映射
`application_version" and "BIOS_Version`	`metadata.product_version`	从更新日志映射
`computer_id`	`entity.asset.asset_id`	从更新日志映射
`comp_serial_num`	`hardware.serial_number`	从更新日志映射

更新日志

查看此解析器的更新日志