Raccogliere i dati DHCP di Microsoft Windows

Questo documento:

• Descrive l'architettura di implementazione e i passaggi di installazione, oltre a qualsiasi configurazione richiesta che generi log supportati dal parser Google Security Operations per gli eventi DHCP di Microsoft Windows. Per una panoramica dell'importazione dati in Google Security Operations, consulta Importazione dei dati in Google Security Operations.
• Include informazioni su come l'analizzatore sintattico mappa i campi nel log originale ai campi del modello di dati unificato di Google Security Operations.

Le informazioni in questo documento si applicano al parser con l'etichetta di importazione WINDOWS_DHCP. L'etichetta di importazione identifica l'analizzatore sintattico che normalizza i dati dei log non elaborati in formato UDM strutturato.

Prima di iniziare

Esamina l'architettura di deployment consigliata

Questo diagramma mostra i componenti di base consigliati in un'architettura di deployment per raccogliere e inviare eventi DHCP di Microsoft Windows a Google Security Operations. Confronta queste informazioni con il tuo ambiente per assicurarti che questi componenti siano installati. Ogni implementazione del cliente sarà diversa da questa rappresentazione e potrebbe essere più complessa. Sono richiesti i seguenti requisiti:

• Server Microsoft Windows con il ruolo di server DHCP.
• Tutti i sistemi configurati con il fuso orario UTC.
• NXLog è installato su server Microsoft Windows in cluster per raccogliere e inoltrare i log per i canali di notifiche di operazioni, amministrazione e filtro.

• Il forwarder di Google Security Operations è installato sul server Microsoft Windows o Linux centrale.

  

Esamina le versioni e i dispositivi supportati

Il parser di Google Security Operations supporta i log generati dalle seguenti versioni e protocolli di Microsoft Windows Server. Microsoft Windows Server viene rilasciato nelle seguenti versioni: Foundation, Essentials, Standard e Datacenter. Lo schema degli eventi dei log generati da ogni versione non è diverso.

Versione del server	Protocollo supportato
Microsoft Windows Server 2019	DHCPv4
Microsoft Windows Server 2016	DHCPv4
Microsoft Windows Server 2012	DHCPv4

Il parser di Google Security Operations supporta i log raccolti da NXLog Enterprise Edition o Community Edition.

Esamina i tipi di log supportati

Il parser di Google Security Operations supporta i seguenti tipi di log generati dai server DHCP di Microsoft Windows. Per ulteriori informazioni su questi tipi di log, consulta la documentazione di Microsoft Windows DHCP Server. Supporta i log generati con testo in lingua inglese e non è supportato con i log generati in lingue diverse dall'inglese.

Tipo	Formato dei dati	Descrizione
Audit logging	CSV	Sono incluse le attività di avvio e arresto e di locazione.
Eventi operativi	Formato evento Microsoft Windows	Fornisce il logging della configurazione DHCP.
Eventi amministratore	Formato evento Microsoft Windows	Fornisce la registrazione degli eventi amministrativi del server DHCP.
Filtrare gli eventi di notifica	Formato evento Microsoft Windows	Fornisce il logging degli eventi di filtro basato sul livello di collegamento del server DHCP.

Configurare l'agente BindPlane

Raccogli i log DHCP di Windows utilizzando l'agente BindPlane. Dopo l'installazione, il servizio BindPlane Agent viene visualizzato come servizio observerIQ nell'elenco dei servizi Windows.

1. Installa e configura i server DHCP Windows. Per ulteriori informazioni sull'installazione dei server DHCP di Windows, consulta la Panoramica del protocollo DHCP (Dynamic Host Configuration Protocol).

2. Installa l'agente BindPlane nel collector in esecuzione su un server Windows. Per ulteriori informazioni sull'installazione di BindPlane Agent, consulta le istruzioni di installazione di BindPlane Agent.

3. Crea un file di configurazione per l'agente BindPlane con i seguenti contenuti.

   receivers:
     dhcplog/dhcp_server_operational:
       channel: Microsoft-Windows-Dhcp-Server/Operational
     dhcplog/dhcp_server_notification:
       channel: Microsoft-Windows-Dhcp-Server/FilterNotifications
   processors:
     batch:
   
   exporters:
     chronicle/dhcp:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_DHCP'
     override_log_type: false
     raw_log_field: body
     customer_id: 'dddddddd-dddd-dddd-dddd-dddddddddddd'
   
   service:
     pipelines:
       logs/dhcp:
         receivers:
           - dhcplog/dhcp_server_operational
           - dhcplog/dhcp_server_notification
       processors: [batch]
       exporters: [chronicle/dhcp]
   

4. Sostituisci PRIVATE_KEY_ID, PRIVATE_KEY SERVICSERVICE_ACCOUNT_NAME,PROJECT_ID, CLIENT_ID e CUSTOMER_ID con i rispettivi valori del file JSON dell'account di servizio che puoi scaricare dalla Google Cloud Platform. Per ulteriori informazioni sulle chiavi degli account di servizio, consulta la documentazione su come creare ed eliminare le chiavi degli account di servizio.

5. Per avviare il servizio dell'agente observerIQ, seleziona Servizi > Avanzate > Servizio observerIQ > Avvia.

Configurare il server DHCP Microsoft Windows

1. Installa e configura i server DHCP Microsoft Windows. Per informazioni, consulta la documentazione di Microsoft Windows.
2. Configura i sistemi con il fuso orario UTC.
3. Installa NXLog su ogni server DHCP Microsoft Windows. Segui la documentazione di NXLog, incluse le informazioni sulla configurazione di NXLog per DHCP di Microsoft Windows.

4. Crea un file di configurazione per ogni istanza NXLog. Utilizza i moduli im_file e im_msvistalog.

   • Per informazioni sull'utilizzo del modulo di input im_file, consulta Configurazione con la console di gestione DHCP.

   • Per informazioni sull'utilizzo del modulo im_msvistalog, consulta Log eventi per Microsoft Windows 2008/Vista e versioni successive (im_msvistalog).

   Ecco un esempio di configurazione di NXLog. Segui queste indicazioni sulla raccolta dei log da Microsoft Windows a 64 bit utilizzando un agente NXLog a 32 bit.

   • Sostituisci i valori <hostname> e <port> con le informazioni sul server Microsoft Windows centrale di destinazione. Per ulteriori informazioni, consulta la documentazione di NXLog sul modulo om_tcp.

   • Modifica il percorso del file di log nella sezione <Input audit_logs_csv> della proprietà File alla posizione del file contenente i log di controllo DHCP. Consulta la documentazione di NXLog relativa al modulo di input im_file.

   define ROOT C:\Program Files\nxlog
   define WINDHCP_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define WINDHCP_OUTPUT_DESTINATION_PORT PORT
   
   Moduledir   %ROOT%\modules
   CacheDir    %ROOT%\data
   Pidfile     %ROOT%\data\nxlog.pid
   SpoolDir    %ROOT%\data
   LogFile     %ROOT%\data\nxlog.log
   
   <Extension _json>
       Module  xm_json
   </Extension>
   
   <Input dhcp_server_eventlog>
      Module      im_msvistalog
      <QueryXML>
           <QueryList>
               <Query Id="0" Path="System">
                   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-DHCP-Server']]]</Select>
               </Query>
               <Query Id="0">
                   <Select Path="DhcpAdminEvents">*</Select>
                   <Select Path="Microsoft-Windows-Dhcp-Server/FilterNotifications">*</Select>
                   <Select Path="Microsoft-Windows-Dhcp-Server/Operational">*</Select>
               </Query>
          </QueryList>
       </QueryXML>
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) /     1000;
       Exec        to_json();
   </Input>
   
   <Input audit_logs_csv>
       Module      im_file
       File        "LOG_FILE_PATH"  # Use quotation marks. For example: "c:\dhcp\-*.log"
       SavePos     TRUE
       InputType   LineBased
       Exec        $Message = $raw_event;
   </Input>
   
   <Output out_chronicle_forwarder>
       Module      om_tcp
       Host        %WINDHCP_OUTPUT_DESTINATION_ADDRESS%
       Port        %WINDHCP_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route dhcp_events_to_chronicle_forwarder>
       Path     dhcp_server_eventlog,audit_logs_csv => out_chronicle_forwarder
   </Route>
   

5. Avvia il servizio NXLog.

Configura il server Microsoft Windows o Linux centrale

Per informazioni sull'installazione e sulla configurazione del forwarder, consulta Installazione e configurazione del forwarder su Linux o Installazione e configurazione del forwarder su Microsoft Windows.

1. Configura il sistema con il fuso orario UTC.
2. Installa il forwarder di Google Security Operations sul server Microsoft Windows o Linux centrale.

3. Configura il forwarder di Google Security Operations per inviare i log a Google Security Operations. Ecco un esempio di configurazione del forwarder.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_DHCP
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

Riferimento alla mappatura dei campi: campi dei log del dispositivo ai campi UDM

Questa sezione descrive in che modo lo parser mappa i campi dei log originali ai campi del modello di dati unificato (UDM).

Audit log

Campo del log originale	Campo UDM
ID	security_result.rule_name is set to "EventID: %{EventID}" The dhcp.type is set according to the EventID: For EventIDs 10, 11, 20, 21, value is set to ACK. For EventID 12, value is set to RELEASE. For EventIDs 13, 14, 15, 22 the value is set to NAK. For EventIDs 16, 23 value is set to WIN_DELETED. For EventIDs 17, 18 value is set to WIN_EXPIRED.
Date	metadata.event_timestamp
Time	metadata.event_timestamp
Description	metadata.description
IP Address	principal.ip If the syslog header contains an IP address, it is mapped to "principal.ip", else if the syslog header contains a hostname, it is mapped to "principal.hostname".
Host Name	network.dhcp.client_hostname
MAC Address	If the event_type is NETWORK_DHCP, then network.dhcp.chaddr is set. Otherwise, target.mac is set.
User Name	principal.user.userid
TransactionID	network.dhcp.transaction_id
QResult	Value is mapped to the security_result.action If value is 0:NoQuarantine, set to ALLOW If value is 1:Quarantine, set to QUARANTINE If value is 2:Drop Packet, set to BLOCK If value is 3:Probation, set to ALLOW If value is 6:No Quarantine Information, set to UNKNOWN_ACTION
Dhcid	network.dhcp.client_identifier

Campi comuni per gli eventi di notifica di filtro, amministrativi e operativi

Campo del log originale	Campo UDM
EventTime	metadata.event_timestamp
Channel	If the Category field not empty, then metadata.product_event_type set to "%{Category} [%{EventID}]" If the Category field is empty, then metadata.product_event_type set to "%{Channel} [%{EventID}]"
SourceName	metadata.vendor = "Microsoft" metadata.product_name = "Windows DHCP Server"
Hostname	principal.hostname
EventID	security_result.rule_name
Severity	security_result.severity Original values mapped to UDM field values as follows: 0 (None) - UNKNOWN_SEVERITY 1 (Critical) - INFORMATIONAL 2 (Error) - ERROR 3 (Warning) - ERROR 4 (Informational) - INFORMATIONAL 5 (Verbose) - INFORMATIONAL
UserID	principal.user.windows_sid
ExecutionProcessID	principal.process.pid
ProcessID	principal.process.pid

Eventi operativi

Campo del log originale	Campo UDM
PhysicalAddress	principal.mac
ClientName	principal.user.userid
HWType	dhcp.htype
OptionName	dhcp.option.code
Message	metadata.description
Category	metadata.product_event_type
ReservationName	target.resource.name The value stored is different depending on the EventID of the original event.
RelationshipName	target.resource.name The value stored is different depending on the EventID of the original event.
IP_ScopeName	target.resource.name The value stored is different depending on the EventID of the original event.
PolicyName	target.resource.name The value stored is different depending on the EventID of the original event.
IP_Name	target.resource.name The value stored is different depending on the EventID of the original event.
Server2Name	target.hostname
Server	Depending on the value, stored in target.ip or target.hostname.

Filtrare gli eventi di notifica

Campo del log originale	Campo UDM
MACAddress	principal.mac
Message	metadata.description

Eventi amministrativi

Campo del log originale	Campo UDM
operation	security_result.description
FQDNName	target.hostname
Message	metadata.description
Category	metadata.product_event_type
Server	target.ip / target.hostname
RelationName	target.resource.name. The value stored is different depending on the EventID of the original event.
PartnerServer	target.hostname
IP_Name	target.resource.name The value stored is different depending on the EventID of the original event.
IpAddress	target.ip

Riferimento alla mappatura dei campi: ID evento al tipo di evento UDM

Questa sezione descrive in che modo il parser mappa gli ID evento agli event_types UDM.