收集 Tanium Discover 記錄

本文說明如何使用 Tanium Connect 的原生 S3 匯出功能，透過 Amazon S3 將 Tanium Discover 記錄擷取至 Google Security Operations。Tanium Discover 會自動探索您環境中的網路介面和資產，讓您掌握受管理和未受管理的端點、網路裝置和其他連線系統。剖析器會從 JSON 記錄中擷取欄位、轉換 MAC 位址和 OS 資訊等特定欄位，並將這些欄位對應至 UDM。這項服務會處理各種資料類型、新增供應商和產品詳細資料等中繼資料，並將擷取的欄位合併至最終 UDM 事件結構。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Tanium Connect 和 Tanium Console 的特殊存取權
• 已安裝並設定 Tanium Discover 2.11 以上版本
• AWS (S3、IAM) 的特殊存取權

為 Google SecOps 設定 AWS S3 bucket 和 IAM

1. 按照這份使用手冊的指示建立 Amazon S3 儲存空間：建立儲存空間
2. 儲存 bucket 的「名稱」和「區域」，以供日後參考 (例如 tanium-discover-logs)。
3. 按照這份使用者指南建立使用者：建立 IAM 使用者。
4. 選取建立的「使用者」。
5. 選取「安全憑證」分頁標籤。
6. 在「存取金鑰」部分，按一下「建立存取金鑰」。
7. 選取「第三方服務」做為「用途」。
8. 點選「下一步」。
9. 新增說明標記 (如有需要)。
10. 按一下「建立存取金鑰」。
11. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」以供日後使用。
12. 按一下「完成」。
13. 選取 [權限] 分頁標籤。
14. 在「權限政策」部分，按一下「新增權限」。
15. 選取「新增權限」。
16. 選取「直接附加政策」
17. 搜尋並選取「AmazonS3FullAccess」AmazonS3FullAccess政策。
18. 點選「下一步」。
19. 按一下「Add permissions」。

設定 Amazon S3 bucket 的權限

1. 在 Amazon S3 控制台中，選擇先前建立的值區。
2. 依序點選「Permissions」> Bucket policy。

3. 在「Bucket Policy Editor」中，新增下列政策：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:user/tanium-connect-s3-user"
         },
         "Action": [
           "s3:PutObject",
           "s3:PutObjectAcl",
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::tanium-discover-logs",
           "arn:aws:s3:::tanium-discover-logs/*"
         ]
       }
     ]
   }
   

4. 請替換下列變數：

   • 將 YOUR_ACCOUNT_ID 變更為您的 AWS 帳戶 ID。
   • 如果不同，請將 tanium-discover-logs 變更為實際 bucket 名稱。
   • 如果不同，請將 tanium-connect-s3-user 變更為實際的 IAM 使用者名稱。

5. 按一下 [儲存]。

設定 Tanium Connect，以便匯出至 S3

1. 以管理員身分登入 Tanium Console。
2. 依序前往「Tanium Connect」>「Connections」。
3. 按一下「建立連線」。
4. 在「一般資訊」部分，提供下列設定詳細資料：
   • 名稱：輸入描述性名稱 (例如 Tanium Discover to S3)。
   • 說明：輸入有意義的說明 (例如 Export Tanium Discover interface data to S3 for Google SecOps ingestion)。
   • 啟用：選取即可啟用連線。
   • 「記錄層級」：選取「資訊」 (預設)，或視需要調整。
5. 在「設定」部分，選取「來源」的「Tanium Discover」。
6. 設定探索來源設定：
   • 報表類型：選取要匯出的介面類型：
     • 全部：匯出「探索」中的所有介面。
     • 受管理：匯出已安裝 Tanium Client 的介面。
     • 非受管：匯出未安裝 Tanium Client 的介面。
     • 已標記：匯出所有已套用標籤的介面。
     • 未加上標籤：未套用任何標籤的匯出介面。
     • 已忽略：匯出標示為已忽略的介面。
     • 無法管理：標示為無法管理的匯出介面。
7. 在「目的地」部分，選取「AWS S3」。
8. 請提供下列設定詳細資料：
   • 「目的地名稱」：輸入名稱 (例如 Google SecOps S3 Bucket)。
   • AWS 存取金鑰：輸入先前建立的 IAM 使用者存取金鑰 ID。
   • AWS 私密金鑰：輸入先前建立的 IAM 使用者存取密鑰。
   • Bucket Name：輸入 S3 bucket 名稱 (例如 tanium-discover-logs)。
   • Bucket 路徑：選用。輸入路徑前置字串 (例如 tanium/discover/)。
   • 區域：選取儲存 bucket 的 AWS 區域 (例如 us-east-1)。
9. 在「格式」部分，設定輸出格式：
   • 格式類型：選取「JSON」。
   • 包含欄標題：選取是否要包含欄標題。
   • 產生文件：取消選取這個選項即可傳送原始 JSON 資料。
10. 選用步驟：在「設定輸出」部分設定篩選條件：
    • 篩選：你可以使用篩選器匯出特定標籤。舉例來說，如要匯出所有標記為「Lost Interface」的介面，請套用規則運算式篩選器，並在「標籤」目標欄中輸入「Lost Interface」做為相符文字。
    • 自訂欄：新增與用途相關的自訂欄。
11. 在「Schedule」(排程) 專區中，設定連線的執行時間：
    • 排程類型：選取「Cron」。
    • Cron 運算式：輸入定期匯出的 Cron 運算式 (例如每 6 小時匯出一次，請輸入 0 */6 * * *)。
    • 開始日期：設定時間表的開始日期。
12. 按一下 [儲存變更]。
13. 在「連結總覽」頁面中，前往「連結」。
14. 按一下您建立的連線 (「Tanium Discover to S3」)。
15. 點選「立即執行」測試連線。
16. 確認要執行連線。
17. 監控連線狀態，並確認探索介面資料已匯出至 S3 bucket。

選用：為 Google SecOps 建立唯讀 IAM 使用者和金鑰

1. 前往 AWS 控制台 > IAM > 使用者 > 新增使用者。
2. 點選 [Add users] (新增使用者)。
3. 請提供下列設定詳細資料：
   • 「User」(使用者)：輸入 secops-reader。
   • 存取權類型：選取「存取金鑰 - 程式輔助存取權」。
4. 點選「Create user」。
5. 附加最低讀取權限政策 (自訂)：依序選取「Users」>「secops-reader」>「Permissions」>「Add permissions」>「Attach policies directly」>「Create policy」。

6. 在 JSON 編輯器中輸入下列政策：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::tanium-discover-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::tanium-discover-logs"
       }
     ]
   }
   

7. 將名稱設為 secops-reader-policy。

8. 依序前往「建立政策」> 搜尋/選取 >「下一步」>「新增權限」。

9. 依序前往「安全憑證」>「存取金鑰」>「建立存取金鑰」。

10. 下載 CSV (這些值會輸入動態饋給)。

在 Google SecOps 中設定動態消息，擷取 Tanium Discover 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「+ 新增動態消息」。
3. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Tanium Discover logs)。
4. 選取「Amazon S3 V2」做為「來源類型」。
5. 選取「Tanium Discover」做為「記錄類型」。
6. 點選「下一步」。
7. 指定下列輸入參數的值：
   • S3 URI：s3://tanium-discover-logs/tanium/discover/ (如果您使用不同的儲存空間名稱或路徑，請調整路徑)。
   • 來源刪除選項：根據偏好設定選取刪除選項。
   • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。
   • 存取金鑰 ID：具有 S3 bucket 存取權的使用者存取金鑰 (來自上方建立的唯讀權限使用者)。
   • 私密存取金鑰：可存取 S3 bucket 的使用者私密金鑰 (來自上述建立的唯讀權限使用者)。
   • 資產命名空間：資產命名空間。
   • 擷取標籤：要套用至這個動態饋給事件的標籤。
8. 點選「下一步」。
9. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。