Qué vas a conseguir
Un Tanium en el que todos los equipos tienen el cliente sano, en el que preguntas "qué equipos tienen esta versión de esta aplicación" y te responde en segundos, en el que los parches se instalan en ventanas acordadas y el software se despliega sin pasar por otra herramienta. Y el método para el ticket que más confunde al principio: un equipo que aparece en Tanium, pero con datos que no cuadran con lo que tiene de verdad.
Antes de empezar
- Un usuario de la consola con un rol que permita preguntar, desplegar acciones y administrar Patch y Deploy en los grupos de equipos que te tocan (en Tanium los permisos se dan por rol y por computer group).
- Salida de los equipos al servidor o a Tanium Cloud por el puerto TCP 17472, que es el que usa el cliente. Si hay proxy o cortafuegos de por medio, este puerto se abre explícitamente.
- Los computer groups definidos: por sistema operativo, por sede, por función (servidores, puestos, equipos de sala de trading). Todo lo que haces después se apunta a un grupo.
1. Desplegar el cliente
El instalador de Windows necesita, además del ejecutable, el fichero tanium-init.dat, que lleva la dirección del servidor y la clave pública para confiar en él. Se descargan juntos desde Client Management en la consola (o desde la página de despliegue de clientes de Tanium Cloud).
.\SetupClient.exe /S /ServerAddress=tanium.contoso.local /ServerPort=17472# tanium-init.dat tiene que estar en la misma carpeta que SetupClient.exeGet-Service "Tanium Client" | Select-Object Status, StartTypeStatus StartType------ ---------Running Automatic- En Intune, se empaqueta como aplicación Win32 con los dos ficheros y la regla de detección es el servicio o la carpeta
C:\Program Files (x86)\Tanium\Tanium Client. - En MECM, una aplicación con el mismo comando y un despliegue Required al grupo de recopilación de todos los equipos sin cliente.
- Client Management también puede instalar el cliente desde la consola en equipos que ya ve en la red, y es donde se mira la salud: versión del cliente, último registro y equipos que no se registran.
Si el cliente forma parte de la imagen maestra (MDT, OSD, plantilla de VM), hay que prepararlo antes de capturarla: parar el servicio y quitar su identificador único. Si no, todos los equipos clonados se presentan al servidor como el mismo. Es la causa número uno del problema de la sección 6.
2. Interact: preguntas con sensores
Un sensor es un pequeño script que el cliente ejecuta y que devuelve un valor: nombre del equipo, sistema operativo, aplicaciones instaladas, último usuario, espacio libre. Una pregunta combina sensores y filtros, y la responden todos los equipos a la vez en segundos, porque el resultado viaja de equipo a equipo en el linear chain en vez de pasar cada uno por el servidor.
- El contador de N equipos han respondido es parte de la respuesta: los que faltan están apagados o sin conexión, y no aparecen en el resultado.
- Una pregunta útil se guarda como Saved Question y se programa para que recoja resultados: es la base de los informes.
- Desde un resultado se lanza una acción (un package) a esos equipos: reiniciar un servicio, recoger un log, desinstalar una versión. La acción queda registrada con quién la lanzó y a qué equipos.
Antes de lanzar una acción a "todos los equipos del resultado", filtra por un computer group concreto y prueba con dos o tres. Una acción mal escrita llega a mil equipos con la misma rapidez que una buena.
3. Patch: listas, despliegues y ventanas de mantenimiento
Patch trabaja con cuatro piezas que conviene separar:
- Patch lists: qué parches se instalan. Por ejemplo, "Windows 11 - acumulativas del mes" construida con reglas (gravedad, producto, fecha de publicación).
- Block lists: qué parches no se instalan nunca en ciertos equipos (un controlador que rompe una aplicación de trading, una versión de .NET que una aplicación no admite todavía).
- Deployments: cuándo y a qué grupo se aplica una lista, con su hora de inicio, su fin y lo que se hace con los reinicios.
- Maintenance windows: las horas en las que un grupo puede instalar y reiniciar. Fuera de ellas, Patch no instala aunque haya un despliegue activo.
Un orden de anillos que funciona: equipos de IT el martes de parches, un piloto de cada departamento a los tres días, el resto la semana siguiente y la sala de trading en su ventana de fin de semana. El informe de cumplimiento por grupo (equipos con parches pendientes por antigüedad) es lo que llevas a la reunión semanal.
4. Deploy: software sin pasar por otra herramienta
Deploy instala, actualiza y desinstala aplicaciones con software packages (el instalador, el comando y la regla de detección) y despliegues a computer groups, igual que Patch. Tanium ofrece una galería de paquetes de aplicaciones conocidas que se importan ya preparados, y tú añades los propios.
- La regla de detección decide si la aplicación "está": si es floja (solo la carpeta), Deploy da por instalada una versión rota.
- Para el caso de Zoom de la sección 2: un despliegue de actualización a los equipos que respondieron con una versión anterior, en lugar de a toda la empresa.
5. Comply: lo básico
Comply evalúa los equipos contra estándares de configuración (benchmarks de CIS o de DISA) y busca vulnerabilidades por CVE. Los resultados se ven por equipo, por regla y por CVE, y se cruzan con Patch: muchas vulnerabilidades de Windows se cierran con la acumulativa que ya tienes en una lista.
- Empieza con un estándar y un grupo pequeño: un benchmark completo sobre todos los equipos genera miles de hallazgos que nadie va a leer.
- Si ya usas otro escáner (Qualys, por ejemplo), decide cuál es la fuente de verdad para vulnerabilidades y usa el otro para contrastar. Dos cifras distintas en la misma reunión no ayudan.
6. El ticket: "en Tanium este equipo sale con datos que no son"
Un técnico pregunta por MAD-PC-0419 y Tanium dice que tiene Windows 10 y Zoom 5.17. El usuario jura que le actualizaron a Windows 11 la semana pasada. Se mira en este orden:
- ¿Ha respondido ahora o es un dato recogido? Si la respuesta viene de datos guardados (resultados recogidos de una Saved Question o del servicio de datos de Tanium), puede ser del último día que el equipo estuvo encendido. Mira la fecha del dato y pregunta en directo con el equipo encendido.
- ¿El cliente se registra? En Client Management, la hora del último registro. Si es de hace días, el equipo no llega al servidor: el puerto 17472, el proxy o la VPN.
- ¿Hay dos equipos con la misma identidad? Si el equipo salió de una imagen con el cliente sin preparar, dos o más equipos comparten identificador y sus datos se pisan: un día responde uno y otro día el otro. Se ve porque el mismo nombre o la misma identidad aparece con IP y usuarios que cambian.
- ¿El cliente funciona en el propio equipo? Servicio arrancado, versión y servidor al que apunta.
cd "C:\Program Files (x86)\Tanium\Tanium Client".\TaniumClient.exe config get ServerNameListtanium.contoso.local.\TaniumClient.exe config get ComputerID1438845210Get-Content .\Logs\log0.txt -Tail 20# busca errores de conexión o de registro en las últimas líneasSi el identificador está duplicado, la solución es la misma que en la imagen: parar el servicio, borrar el identificador y arrancarlo, para que el cliente se registre como nuevo.
Stop-Service "Tanium Client".\TaniumClient.exe config remove ComputerIDStart-Service "Tanium Client"No lo hagas en todos los equipos "por si acaso": se pierde la relación con el historial del equipo en algunos módulos. Solo en los que tienen la identidad duplicada, y corrige la imagen para que no vuelva a pasar.
Siguientes pasos
- La guía de Qualys cubre el escaneo de vulnerabilidades con agente y la priorización con KEV; con Tanium al lado, decide cuál es la fuente de verdad.
- MECM / SCCM: empaquetado de aplicaciones es útil para el instalador del cliente y para comparar Deploy con lo que ya haces en MECM.
- El informe de cumplimiento de parches por grupo es evidencia de auditoría. Es la idea del repositorio 25-security-controls-evidence de mi GitHub: reunir en un sitio la prueba de que cada control se cumple.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
A Tanium where every device has a healthy client, where you ask "which devices have this version of this application" and get the answer in seconds, where patches install in agreed windows and software is deployed without going through another tool. And the method for the ticket that confuses people most at first: a device that shows up in Tanium, but with data that doesn't match what it really has.
Before you start
- A console user with a role that allows asking questions, deploying actions and administering Patch and Deploy on the device groups you are responsible for (in Tanium, permissions are granted by role and by computer group).
- Outbound access from devices to the server or to Tanium Cloud on TCP 17472, which is the port the client uses. If there is a proxy or firewall in the way, this port is opened explicitly.
- The computer groups defined: by operating system, by site, by function (servers, desktops, trading floor devices). Everything you do afterwards targets a group.
1. Deploying the client
Besides the executable, the Windows installer needs the tanium-init.dat file, which carries the server address and the public key to trust it. They are downloaded together from Client Management in the console (or from the client deployment page in Tanium Cloud).
.\SetupClient.exe /S /ServerAddress=tanium.contoso.local /ServerPort=17472# tanium-init.dat must be in the same folder as SetupClient.exeGet-Service "Tanium Client" | Select-Object Status, StartTypeStatus StartType------ ---------Running Automatic- In Intune, it is packaged as a Win32 app with both files and the detection rule is the service or the folder
C:\Program Files (x86)\Tanium\Tanium Client. - In MECM, an application with the same command and a Required deployment to the collection of all devices without the client.
- Client Management can also install the client from the console on devices it already sees on the network, and it is where you check health: client version, last registration and devices that don't register.
If the client is part of the golden image (MDT, OSD, VM template), it has to be prepared before capture: stop the service and remove its unique identifier. Otherwise every cloned device presents itself to the server as the same one. It is the number one cause of the problem in section 6.
2. Interact: questions with sensors
A sensor is a small script the client runs that returns a value: computer name, operating system, installed applications, last user, free space. A question combines sensors and filters, and every device answers at once within seconds, because the result travels from device to device along the linear chain instead of each one going through the server.
- The N devices have answered counter is part of the answer: the missing ones are off or offline, and they don't appear in the result.
- A useful question is saved as a Saved Question and scheduled to collect results: it is the basis for reports.
- From a result you launch an action (a package) on those devices: restart a service, collect a log, uninstall a version. The action is logged with who launched it and on which devices.
Before launching an action on "every device in the result", filter by a specific computer group and test on two or three. A badly written action reaches a thousand devices just as fast as a good one.
3. Patch: lists, deployments and maintenance windows
Patch works with four pieces worth keeping apart:
- Patch lists: which patches get installed. For example, "Windows 11 - monthly cumulative" built from rules (severity, product, release date).
- Block lists: which patches never get installed on certain devices (a driver that breaks a trading application, a .NET version an application doesn't support yet).
- Deployments: when and to which group a list applies, with its start time, its end and what happens with restarts.
- Maintenance windows: the hours in which a group may install and restart. Outside them, Patch doesn't install even if a deployment is active.
A ring order that works: IT devices on Patch Tuesday, a pilot from each department three days later, everyone else the following week and the trading floor in its weekend window. The compliance report per group (devices with pending patches by age) is what you take to the weekly meeting.
4. Deploy: software without another tool
Deploy installs, updates and uninstalls applications with software packages (the installer, the command and the detection rule) and deployments to computer groups, just like Patch. Tanium offers a gallery of packages for well-known applications that are imported ready-made, and you add your own.
- The detection rule decides whether the application "is there": if it is weak (just the folder), Deploy considers a broken version installed.
- For the Zoom case in section 2: an update deployment to the devices that answered with an older version, rather than to the whole company.
5. Comply: the basics
Comply assesses devices against configuration standards (CIS or DISA benchmarks) and looks for vulnerabilities by CVE. Results are shown by device, by rule and by CVE, and they cross over with Patch: many Windows vulnerabilities are closed by the cumulative update you already have in a list.
- Start with one standard and a small group: a full benchmark on every device produces thousands of findings nobody will read.
- If you already use another scanner (Qualys, for example), decide which is the source of truth for vulnerabilities and use the other to cross-check. Two different numbers in the same meeting don't help.
6. The ticket: "Tanium shows this device with data that isn't right"
A technician asks about MAD-PC-0419 and Tanium says it has Windows 10 and Zoom 5.17. The user swears it was upgraded to Windows 11 last week. Check in this order:
- Did it answer just now, or is it collected data? If the answer comes from stored data (collected results of a Saved Question or Tanium's data service), it may be from the last day the device was on. Look at the date of the data and ask live with the device switched on.
- Is the client registering? In Client Management, the time of the last registration. If it is days old, the device isn't reaching the server: port 17472, the proxy or the VPN.
- Are two devices sharing the same identity? If the device came from an image with an unprepared client, two or more devices share an identifier and overwrite each other's data: one day one answers and the next day the other. You spot it because the same name or identity shows up with changing IPs and users.
- Does the client work on the device itself? Service running, version and the server it points to.
cd "C:\Program Files (x86)\Tanium\Tanium Client".\TaniumClient.exe config get ServerNameListtanium.contoso.local.\TaniumClient.exe config get ComputerID1438845210Get-Content .\Logs\log0.txt -Tail 20# look for connection or registration errors in the last linesIf the identifier is duplicated, the fix is the same as for the image: stop the service, delete the identifier and start it, so the client registers as new.
Stop-Service "Tanium Client".\TaniumClient.exe config remove ComputerIDStart-Service "Tanium Client"Don't do it on every device "just in case": some modules lose the link to the device's history. Only on the ones with a duplicated identity, and fix the image so it doesn't happen again.
Next steps
- The Qualys guide covers agent-based vulnerability scanning and prioritising with KEV; with Tanium alongside, decide which one is the source of truth.
- MECM / SCCM: app packaging helps with the client installer and with comparing Deploy to what you already do in MECM.
- The patch compliance report per group is audit evidence. That is the idea behind the 25-security-controls-evidence repository on my GitHub: gathering in one place the proof that each control is met.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →