Recopila datos de DHCP de Microsoft Windows

En este documento, se incluye lo siguiente:

• Describe la arquitectura de implementación y los pasos de instalación, además de cualquier configuración necesaria que genere registros compatibles con el analizador de operaciones de seguridad de Google para eventos de DHCP de Microsoft Windows. Para obtener una descripción general de la transferencia de datos a Google Security Operations, consulta Transferencia de datos a Google Security Operations.
• Incluye información sobre cómo el analizador asigna campos del registro original a los campos del modelo de datos unificado de Google Security Operations.

La información de este documento se aplica al analizador con la etiqueta de transferencia WINDOWS_DHCP. La etiqueta de transferencia identifica qué analizador normaliza los datos de registro sin procesar al formato estructurado del UDM.

Antes de comenzar

Revisa la arquitectura de implementación recomendada

Este diagrama representa los componentes básicos recomendados en una arquitectura de implementación para recopilar y enviar eventos de DHCP de Microsoft Windows a Google Security Operations. Compara esta información con tu entorno para asegurarte de que estos componentes estén instalados. Cada implementación del cliente diferirá de esta representación y puede ser más compleja. Se requiere lo siguiente:

• Servidores Microsoft Windows con el rol de servidor DHCP
• Todos los sistemas configurados con la zona horaria UTC
• NXLog se instala en servidores Microsoft Windows agrupados para recopilar y reenviar registros para los canales de notificaciones operativas, de administración y de filtro.

• El servidor de reenvío de Google Security Operations se instala en el servidor central de Microsoft Windows o Linux.

  

Revisa los dispositivos y las versiones compatibles

El analizador de Google Security Operations admite registros generados por las siguientes versiones y protocolos de Microsoft Windows Server. Microsoft Windows Server se lanza con las siguientes ediciones: Foundation, Essentials, Standard y Datacenter. El esquema de eventos de los registros que genera cada edición no difiere.

Versión del servidor	Protocolo compatible
Microsoft Windows Server 2019	DHCPv4
Microsoft Windows Server 2016	DHCPv4
Microsoft Windows Server 2012	DHCPv4

El analizador de Google Security Operations admite los registros recopilados por NXLog Enterprise Edition o Community Edition.

Revisa los tipos de registros admitidos

El analizador de Operaciones de seguridad de Google admite los siguientes tipos de registros generados por los servidores DHCP de Microsoft Windows. Para obtener más información sobre estos tipos de registros, consulta la documentación del servidor DHCP de Microsoft Windows. Admite registros generados con texto en inglés y no es compatible con registros generados en idiomas distintos del inglés.

Tipo	Formato de datos	Descripción
Registros de auditoría	CSV	Incluye la actividad de inicio, apagado y arrendamiento.
Eventos operativos	Formato de eventos de Microsoft Windows	Proporciona el registro de configuración de DHCP.
Eventos del administrador	Formato de eventos de Microsoft Windows	Proporciona el registro de eventos administrativos del servidor DHCP.
Cómo filtrar eventos de notificaciones	Formato de eventos de Microsoft Windows	Proporciona el registro de eventos de filtrado basado en la capa de vínculo del servidor DHCP.

Configura el agente de BindPlane

Recopila los registros de DHCP de Windows con el agente de BindPlane. Después de la instalación, el servicio del agente de BindPlane aparece como el servicio observerIQ en la lista de servicios de Windows.

1. Instala y configura los servidores DHCP de Windows. Para obtener más información sobre la instalación de los servidores DHCP de Windows, consulta Descripción general del protocolo de configuración dinámica de host (DHCP).

2. Instala el agente de BindPlane en el colector que se ejecuta en un servidor de Windows. Para obtener más información sobre la instalación del agente de BindPlane, consulta las instrucciones de instalación del agente de BindPlane.

3. Crea un archivo de configuración para el agente de BindPlane con el siguiente contenido.

   receivers:
     dhcplog/dhcp_server_operational:
       channel: Microsoft-Windows-Dhcp-Server/Operational
     dhcplog/dhcp_server_notification:
       channel: Microsoft-Windows-Dhcp-Server/FilterNotifications
   processors:
     batch:
   
   exporters:
     chronicle/dhcp:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_DHCP'
     override_log_type: false
     raw_log_field: body
     customer_id: 'dddddddd-dddd-dddd-dddd-dddddddddddd'
   
   service:
     pipelines:
       logs/dhcp:
         receivers:
           - dhcplog/dhcp_server_operational
           - dhcplog/dhcp_server_notification
       processors: [batch]
       exporters: [chronicle/dhcp]
   

4. Reemplaza PRIVATE_KEY_ID, PRIVATE_KEY, SERVICSERVICE_ACCOUNT_NAME, PROJECT_ID, CLIENT_ID y CUSTOMER_ID por los valores correspondientes del archivo JSON de la cuenta de servicio que puedes descargar de Google Cloud Platform. Para obtener más información sobre las claves de cuentas de servicio, consulta la documentación sobre cómo crear y borrar claves de cuentas de servicio.

5. Para iniciar el servicio del agente de observerIQ, selecciona Servicios > Extended > Servicio de observerIQ > Iniciar.

Configura el servidor DHCP de Microsoft Windows

1. Instala y configura los servidores DHCP de Microsoft Windows. Para obtener información, consulta la documentación de Microsoft Windows.
2. Configura los sistemas con la zona horaria UTC.
3. Instala NXLog en cada servidor DHCP de Microsoft Windows. Sigue la documentación de NXLog, que incluye información para configurar NXLog para DHCP de Microsoft Windows.

4. Crea un archivo de configuración para cada instancia de NXLog. Usa los módulos im_file y im_msvistalog.

   • Para obtener información sobre el uso del módulo de entrada im_file, consulta Configura con la consola de administración de DHCP.

   • Para obtener información sobre el uso del módulo im_msvistalog, consulta Registro de eventos de Microsoft Windows 2008/Vista y versiones posteriores (im_msvistalog).

   Este es un ejemplo de configuración de NXLog. Sigue esta guía para recopilar registros de Microsoft Windows de 64 bits con un agente NXLog de 32 bits.

   • Reemplaza los valores <hostname> y <port> por información sobre el servidor central de Microsoft Windows de destino. Para obtener más información, consulta la documentación de NXLog sobre el módulo om_tcp.

   • Cambia la ruta de acceso del archivo de registro en la propiedad File de la sección <Input audit_logs_csv> a la ubicación del archivo que contiene los registros de auditoría de DHCP. Consulta la documentación de NXLog sobre el módulo de entrada im_file.

   define ROOT C:\Program Files\nxlog
   define WINDHCP_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define WINDHCP_OUTPUT_DESTINATION_PORT PORT
   
   Moduledir   %ROOT%\modules
   CacheDir    %ROOT%\data
   Pidfile     %ROOT%\data\nxlog.pid
   SpoolDir    %ROOT%\data
   LogFile     %ROOT%\data\nxlog.log
   
   <Extension _json>
       Module  xm_json
   </Extension>
   
   <Input dhcp_server_eventlog>
      Module      im_msvistalog
      <QueryXML>
           <QueryList>
               <Query Id="0" Path="System">
                   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-DHCP-Server']]]</Select>
               </Query>
               <Query Id="0">
                   <Select Path="DhcpAdminEvents">*</Select>
                   <Select Path="Microsoft-Windows-Dhcp-Server/FilterNotifications">*</Select>
                   <Select Path="Microsoft-Windows-Dhcp-Server/Operational">*</Select>
               </Query>
          </QueryList>
       </QueryXML>
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) /     1000;
       Exec        to_json();
   </Input>
   
   <Input audit_logs_csv>
       Module      im_file
       File        "LOG_FILE_PATH"  # Use quotation marks. For example: "c:\dhcp\-*.log"
       SavePos     TRUE
       InputType   LineBased
       Exec        $Message = $raw_event;
   </Input>
   
   <Output out_chronicle_forwarder>
       Module      om_tcp
       Host        %WINDHCP_OUTPUT_DESTINATION_ADDRESS%
       Port        %WINDHCP_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route dhcp_events_to_chronicle_forwarder>
       Path     dhcp_server_eventlog,audit_logs_csv => out_chronicle_forwarder
   </Route>
   

5. Inicia el servicio NXLog.

Configura el servidor central de Microsoft Windows o Linux

Consulta Cómo instalar y configurar el reenviador en Linux o Cómo instalar y configurar el reenviador en Microsoft Windows para obtener información sobre cómo instalar y configurar el reenviador.

1. Configura el sistema con la zona horaria UTC.
2. Instala el servidor de reenvío de Google Security Operations en el servidor central de Microsoft Windows o Linux.

3. Configura el reenviador de Google Security Operations para enviar registros a Google Security Operations. Este es un ejemplo de configuración de reenvío.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_DHCP
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

Referencia de asignación de campos: campos de registro del dispositivo a campos de UDM

En esta sección, se describe cómo el analizador asigna los campos de registro originales a los campos del modelo de datos unificado (UDM).

Registros de auditoría

Campo de registro original	Campo de UDM
ID	security_result.rule_name is set to "EventID: %{EventID}" The dhcp.type is set according to the EventID: For EventIDs 10, 11, 20, 21, value is set to ACK. For EventID 12, value is set to RELEASE. For EventIDs 13, 14, 15, 22 the value is set to NAK. For EventIDs 16, 23 value is set to WIN_DELETED. For EventIDs 17, 18 value is set to WIN_EXPIRED.
Date	metadata.event_timestamp
Time	metadata.event_timestamp
Description	metadata.description
IP Address	principal.ip If the syslog header contains an IP address, it is mapped to "principal.ip", else if the syslog header contains a hostname, it is mapped to "principal.hostname".
Host Name	network.dhcp.client_hostname
MAC Address	If the event_type is NETWORK_DHCP, then network.dhcp.chaddr is set. Otherwise, target.mac is set.
User Name	principal.user.userid
TransactionID	network.dhcp.transaction_id
QResult	Value is mapped to the security_result.action If value is 0:NoQuarantine, set to ALLOW If value is 1:Quarantine, set to QUARANTINE If value is 2:Drop Packet, set to BLOCK If value is 3:Probation, set to ALLOW If value is 6:No Quarantine Information, set to UNKNOWN_ACTION
Dhcid	network.dhcp.client_identifier

Campos comunes en los eventos de notificaciones de operaciones, administración y filtrado

Campo de registro original	Campo de UDM
EventTime	metadata.event_timestamp
Channel	If the Category field not empty, then metadata.product_event_type set to "%{Category} [%{EventID}]" If the Category field is empty, then metadata.product_event_type set to "%{Channel} [%{EventID}]"
SourceName	metadata.vendor = "Microsoft" metadata.product_name = "Windows DHCP Server"
Hostname	principal.hostname
EventID	security_result.rule_name
Severity	security_result.severity Original values mapped to UDM field values as follows: 0 (None) - UNKNOWN_SEVERITY 1 (Critical) - INFORMATIONAL 2 (Error) - ERROR 3 (Warning) - ERROR 4 (Informational) - INFORMATIONAL 5 (Verbose) - INFORMATIONAL
UserID	principal.user.windows_sid
ExecutionProcessID	principal.process.pid
ProcessID	principal.process.pid

Eventos operativos

Campo de registro original	Campo de UDM
PhysicalAddress	principal.mac
ClientName	principal.user.userid
HWType	dhcp.htype
OptionName	dhcp.option.code
Message	metadata.description
Category	metadata.product_event_type
ReservationName	target.resource.name The value stored is different depending on the EventID of the original event.
RelationshipName	target.resource.name The value stored is different depending on the EventID of the original event.
IP_ScopeName	target.resource.name The value stored is different depending on the EventID of the original event.
PolicyName	target.resource.name The value stored is different depending on the EventID of the original event.
IP_Name	target.resource.name The value stored is different depending on the EventID of the original event.
Server2Name	target.hostname
Server	Depending on the value, stored in target.ip or target.hostname.

Cómo filtrar eventos de notificación

Campo de registro original	Campo de UDM
MACAddress	principal.mac
Message	metadata.description

Eventos del administrador

Campo de registro original	Campo de UDM
operation	security_result.description
FQDNName	target.hostname
Message	metadata.description
Category	metadata.product_event_type
Server	target.ip / target.hostname
RelationName	target.resource.name. The value stored is different depending on the EventID of the original event.
PartnerServer	target.hostname
IP_Name	target.resource.name The value stored is different depending on the EventID of the original event.
IpAddress	target.ip

Referencia de asignación de campos: ID del evento al tipo de evento de la AUA

En esta sección, se describe cómo el analizador asigna los IDs de evento a los event_types de la UDM.