Mengumpulkan log Tanium Patch

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Tanium Patch ke Google Security Operations menggunakan fungsi ekspor AWS S3 native Tanium Connect. Tanium Patch menghasilkan data deployment patch, kepatuhan, dan kerentanan dalam format JSON, yang dapat diekspor langsung ke S3 menggunakan Tanium Connect tanpa memerlukan fungsi Lambda kustom. Parser mengubah data JSON penilaian menjadi Model Data Terpadu (UDM) Google SecOps. Parser ini pertama-tama menormalisasi nama kunci, mengekstrak data dari struktur JSON, lalu memetakan kolom yang relevan ke atribut UDM, termasuk detail kerentanan, informasi hasil keamanan, dan detail aset seperti nama host dan sistem operasi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Tanium Core Platform 7.0 atau yang lebih baru
• Modul Tanium Patch diinstal dan dikonfigurasi
• Modul Tanium Connect diinstal dengan lisensi yang valid
• Akses istimewa ke Tanium Console dengan hak administratif
• Akses istimewa ke AWS (S3, IAM)

Mengonfigurasi akun layanan Tanium Patch

1. Login ke Tanium Console.
2. Buka Modules > Patch.
3. Klik Setelan di kanan atas.
4. Di bagian Service Account, konfigurasikan hal berikut:
   • Service Account User: Pilih pengguna dengan izin Patch yang sesuai.
   • Verifikasi bahwa akun memiliki hak istimewa peran Connect User.
5. Klik Save untuk menerapkan konfigurasi akun layanan.

Mengumpulkan prasyarat Tanium Patch

1. Login ke Tanium Console sebagai administrator.
2. Buka Administration > Permissions > Users.

3. Buat atau identifikasi pengguna akun layanan dengan peran berikut:

   • Peran Patch Administrator atau Patch Read Only User.
   • Hak istimewa peran Connect User.
   • Akses ke grup komputer yang dipantau (direkomendasikan: grup All Computers).
   Catatan: Kredensial akun layanan digunakan secara internal oleh Tanium Connect untuk mengautentikasi dan mengambil data Patch. Kredensial ini dikonfigurasi selama penyiapan sumber Tanium Connect dalam antarmuka Tanium Console.

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, tanium-patch-logs).
3. Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih User yang dibuat.
5. Pilih tab kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
12. Klik Done.
13. Pilih tab Izin.
14. Klik Tambahkan izin di bagian Kebijakan Izin.
15. Pilih Add permissions.
16. Pilih Attach policies directly
17. Telusuri dan pilih kebijakan AmazonS3FullAccess.
18. Klik Berikutnya.
19. Klik Add permissions.

Mengonfigurasi tujuan AWS S3 Tanium Connect

1. Login ke Tanium Console.
2. Buka Modules > Connect.
3. Klik Buat Koneksi.
4. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Patch Data to S3 for SecOps).
   • Description: Deskripsi opsional (misalnya, Export Patch compliance and deployment data to AWS S3 for Google SecOps ingestion).
   • Aktifkan: Pilih untuk mengaktifkan koneksi agar berjalan sesuai jadwal.
5. Klik Berikutnya.

Mengonfigurasi sumber koneksi

1. Di bagian Source, berikan detail konfigurasi berikut:
   • Source Type: Pilih Saved Question.
   • Saved Question: Pilih salah satu pertanyaan tersimpan terkait Patch berikut:
     • Patch - Deployment Results untuk status deployment patch.
     • Patch - Missing Patches untuk data kepatuhan kerentanan.
     • Patch - Installed Patches untuk inventaris patch yang diinstal.
     • Patch - Patch List untuk status patch yang komprehensif.
   • Computer Group: Pilih All Computers atau grup komputer tertentu yang akan dipantau.
   • Refresh Interval: Tetapkan interval yang sesuai untuk pengumpulan data (misalnya, 1 hour).
2. Klik Berikutnya.

Mengonfigurasi tujuan AWS S3

1. Di bagian Destination, berikan detail konfigurasi berikut:
   • Destination Type: Pilih AWS S3.
   • Destination Name: Masukkan nama unik (misalnya, Google SecOps Patch S3 Destination).
   • AWS Access Key: Masukkan kunci akses AWS dari file CSV yang didownload pada langkah konfigurasi AWS S3.
   • AWS Secret Access Key: Masukkan kunci akses rahasia AWS dari file CSV yang didownload pada langkah konfigurasi AWS S3.
   • Bucket Name: Masukkan nama bucket S3 Anda (misalnya, tanium-patch-logs).
   • Region: Pilih region AWS tempat bucket S3 Anda berada.
   • Key Prefix: Masukkan awalan untuk objek S3 (misalnya, tanium/patch/).
2. Klik Berikutnya.

Mengonfigurasi filter

1. Di bagian Filters, konfigurasikan opsi pemfilteran data:
   • Hanya kirim item baru: Pilih opsi ini untuk hanya mengirim hasil baru sejak ekspor terakhir.
   • Filter kolom: Tambahkan filter berdasarkan atribut patch tertentu jika diperlukan (misalnya, filter berdasarkan tingkat keparahan patch, status deployment).
2. Klik Berikutnya.

Memformat data untuk AWS S3

1. Di bagian Format, konfigurasikan format data:
   • Format: Pilih JSON.
   • Opsi:
     • Sertakan header: Batalkan pilihan untuk menghindari header dalam output JSON.
     • Sertakan sel kosong: Pilih berdasarkan preferensi Anda.
   • Opsi Lanjutan:
     • File naming: Gunakan penamaan default berbasis stempel waktu.
     • Compression: Pilih Gzip untuk mengurangi biaya penyimpanan dan waktu transfer.
2. Klik Berikutnya.

Menjadwalkan koneksi

1. Di bagian Schedule, konfigurasikan jadwal ekspor:
   • Aktifkan jadwal: Pilih untuk mengaktifkan ekspor terjadwal otomatis.
   • Schedule type: Pilih Recurring.
   • Frequency: Pilih Hourly untuk ekspor data patch reguler.
   • Waktu mulai: Tetapkan waktu mulai yang sesuai untuk ekspor pertama.
2. Klik Berikutnya.

Simpan dan verifikasi koneksi

1. Tinjau konfigurasi koneksi di layar ringkasan.
2. Klik Save untuk membuat koneksi.
3. Klik Test Connection untuk memverifikasi konfigurasi.
4. Jika pengujian berhasil, klik Run Now untuk melakukan ekspor awal.
5. Pantau status koneksi di halaman Connect Overview.

Mengonfigurasi feed di Google SecOps untuk menyerap log Tanium Patch

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik + Tambahkan Feed Baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Tanium Patch logs).
4. Pilih Amazon S3 V2 sebagai Jenis sumber.
5. Pilih Tanium Patch sebagai Log type.
6. Klik Berikutnya.
7. Tentukan nilai untuk parameter input berikut:
   • S3 URI: s3://tanium-patch-logs/tanium/patch/
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
   • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3.
   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang diterapkan ke peristiwa dari feed ini.
8. Klik Berikutnya.
9. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom log	pemetaan UDM	Logika
Buletin	principal.asset.vulnerabilities.vendor_vulnerability_id	Nilai diambil dari kolom "Bulletins" di log mentah, untuk indeks yang sesuai dari kolom "Title". Jika nilainya adalah "None", kolom tidak akan dipetakan.
ComputerName	principal.hostname	Nilai ini diambil dari kolom "ComputerName" di log mentah.
ComputerName	principal.asset.hostname	Nilai ini diambil dari kolom "ComputerName" di log mentah.
CVEID	principal.asset.vulnerabilities.cve_id	Nilai diambil dari kolom "CVEIDs" di log mentah, untuk indeks kolom "Title" yang sesuai. Jika nilainya adalah "None", kolom tidak akan dipetakan.
KBArticles	principal.asset.vulnerabilities.vendor_knowledge_base_article_id	Nilai diambil dari kolom "KBArticles" di log mentah, untuk indeks yang sesuai dari kolom "Title". Jika nilainya kosong, kolom tidak akan dipetakan.
KBArticles	security_result.summary	Nilai diambil dari kolom "KBArticles" di log mentah, untuk indeks yang sesuai dari kolom "Title". Jika nilainya kosong, kolom tidak akan dipetakan.
OSType	principal.asset.platform_software.platform	Jika nilai berisi "Windows", platform ditetapkan ke "WINDOWS". Jika nilai berisi "Linux", platform akan ditetapkan ke "LINUX". Jika nilai berisi "Mac", platform ditetapkan ke "MAC".
Keparahan	principal.asset.vulnerabilities.severity	Nilai diambil dari kolom "Severity" di log mentah, untuk indeks kolom "Title" yang sesuai. Jika nilainya adalah "Critical", tingkat keparahan akan ditetapkan ke "HIGH". Jika nilainya adalah "Important", tingkat keparahan ditetapkan ke "MEDIUM". Jika tidak, tingkat keparahan akan ditetapkan ke "UNKNOWN_SEVERITY".
Keparahan	principal.asset.vulnerabilities.severity_details	Nilai diambil dari kolom "Tingkat Keparahan" di log mentah, untuk indeks kolom "Judul" yang sesuai. Jika nilainya adalah "Critical" atau "Important", detail tingkat keparahan akan ditetapkan ke nilai log mentah.
Judul	principal.asset.vulnerabilities.name	Nilai diambil dari kolom "Title" di log mentah.
Judul	security_result.description	Nilai diambil dari kolom "Title" di log mentah, untuk indeks yang sesuai dari kolom "InstallStatus". Jika nilai "InstallStatus" bukan "Installed", deskripsi akan ditetapkan ke nilai log mentah.
-	metadata.event_timestamp	Nilai diambil dari kolom "create_time" di log mentah.
-	metadata.event_type	Nilai ditetapkan ke "SCAN_HOST".
-	metadata.log_type	Nilai diambil dari kolom "log_type" di log mentah.
-	metadata.product_name	Nilai ditetapkan ke "Patch".
-	metadata.vendor_name	Nilai ditetapkan ke "Tanium".
-	principal.asset.vulnerabilities.vendor	Nilai ditetapkan ke "Tanium".
-	security_result.category	Nilai ditetapkan ke "DATA_AT_REST".

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.