收集 Microsoft Windows DHCP 数据

此文档：

• 介绍部署架构和安装步骤，以及生成 Microsoft Windows DHCP 事件的 Google 安全运营解析器支持的日志所需的任何配置。如需简要了解 Google Security Operations 数据注入，请参阅将数据注入到 Google Security Operations。
• 包含有关解析器如何将原始日志中的字段映射到 Google Security Operations Unified Data Model 字段的信息。

本文档中的信息适用于具有 WINDOWS_DHCP 注入标签的解析器。注入标签标识哪个解析器将原始日志数据标准化为结构化 UDM 格式。

准备工作

查看推荐的部署架构

下图演示了部署架构中用于收集 Microsoft Windows DHCP 事件并将其发送到 Google Security Operations 的推荐基础组件。将此信息与您的环境进行比较，以确保已安装这些组件。每个客户部署都与此表示法不同，并且可能更复杂。以下是必须满足的条件：

• 具有 DHCP 服务器角色的 Microsoft Windows 服务器。
• 使用世界协调时间 (UTC) 时区配置的所有系统。
• NXLog 安装在聚簇 Microsoft Windows 服务器上，用于收集和转发操作、管理和过滤通知渠道的日志。

• 安装在中央 Microsoft Windows 或 Linux 服务器上的 Google 安全运营转发器。

  

查看支持的设备和版本

Google 安全运维解析器支持由以下 Microsoft Windows Server 版本和协议生成的日志。Microsoft Windows Server 按以下版本发布：Foundation、Essentials、Standard 和 Datacenter。每个版本生成的日志事件架构没有区别。

服务器版本	支持的协议
Microsoft Windows Server 2019	DHCPv4
Microsoft Windows Server 2016	DHCPv4
Microsoft Windows Server 2012	DHCPv4

Google Security Operations 解析器支持 NXLog Enterprise Edition 或 Community Edition 收集的日志。

查看支持的日志类型

Google 安全运营解析器支持由 Microsoft Windows DHCP 服务器生成的以下日志类型。如需详细了解这些日志类型，请参阅 Microsoft Windows DHCP 服务器文档。它支持使用英语文本生成的日志，不支持使用非英语生成的日志。

类型	数据格式	说明
审核日志记录	CSV	包括启动、关停以及租用活动。
操作事件	Microsoft Windows 事件格式	提供 DHCP 配置日志记录。
管理事件	Microsoft Windows 事件格式	提供 DHCP 服务器管理事件日志记录。
过滤通知事件	Microsoft Windows 事件格式	提供基于 DHCP 服务器链路层的过滤事件日志记录。

配置 BindPlane Agent

使用 BindPlane 代理收集 Windows DHCP 日志。安装后，BindPlane 代理服务会在 Windows 服务列表中显示为 observerIQ 服务。

1. 安装并配置 Windows DHCP 服务器。如需详细了解如何安装 Windows DHCP 服务器，请参阅动态主机配置协议 (DHCP) 概览。

2. 在 Windows 服务器上运行的收集器上安装 BindPlane 代理。如需详细了解如何安装 BindPlane 代理，请参阅 BindPlane 代理安装说明。

3. 为 BindPlane 代理创建一个配置文件，其中包含以下内容。

   receivers:
     dhcplog/dhcp_server_operational:
       channel: Microsoft-Windows-Dhcp-Server/Operational
     dhcplog/dhcp_server_notification:
       channel: Microsoft-Windows-Dhcp-Server/FilterNotifications
   processors:
     batch:
   
   exporters:
     chronicle/dhcp:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_DHCP'
     override_log_type: false
     raw_log_field: body
     customer_id: 'dddddddd-dddd-dddd-dddd-dddddddddddd'
   
   service:
     pipelines:
       logs/dhcp:
         receivers:
           - dhcplog/dhcp_server_operational
           - dhcplog/dhcp_server_notification
       processors: [batch]
       exporters: [chronicle/dhcp]
   

4. 将 PRIVATE_KEY_ID、PRIVATE_KEY、SERVICSERVICE_ACCOUNT_NAME、PROJECT_ID、CLIENT_ID 和 CUSTOMER_ID 替换为服务账号 JSON 文件中的相应值，您可以从 Google Cloud Platform 下载该文件。如需详细了解服务账号密钥，请参阅“创建和删除服务账号密钥”文档。

5. 如需启动 observerIQ 代理服务，请依次选择 Services > Extended > observerIQ Service > start。

配置 Microsoft Windows DHCP 服务器

1. 安装并配置 Microsoft Windows DHCP 服务器。如需了解详情，请参阅 Microsoft Windows 文档。
2. 使用世界协调时间 (UTC) 时区配置系统。
3. 在每台 Microsoft Windows DHCP 服务器上安装 NXLog。遵循 NXLog 文档，包括有关配置适用于 Microsoft Windows DHCP 的 NXLog 的信息。

4. 为每个 NXLog 实例创建一个配置文件。使用 im_file 和 im_msvistalog 模块。

   • 如需了解如何使用 im_file 输入模块，请参阅使用 DHCP 管理控制台进行配置。

   • 如需了解如何使用 im_msvistalog 模块，请参阅 Microsoft Windows 2008/Vista 及更高版本的事件日志 (im_msvistalog)。

   以下是 NXLog 配置示例。按照使用 32 位 NXLog 代理从 64 位 Microsoft Windows 收集日志的指南操作。

   • 将 <hostname> 和 <port> 值替换为目标中央 Microsoft Windows 服务器的信息。如需了解详情，请参阅有关 om_tcp 模块的 NXLog 文档。

   • 将文件属性的 <Input audit_logs_csv> 部分下的日志文件路径更改为 DHCP 审核日志所在文件的位置。请参阅有关 im_file 输入模块的 NXLog 文档。

   define ROOT C:\Program Files\nxlog
   define WINDHCP_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define WINDHCP_OUTPUT_DESTINATION_PORT PORT
   
   Moduledir   %ROOT%\modules
   CacheDir    %ROOT%\data
   Pidfile     %ROOT%\data\nxlog.pid
   SpoolDir    %ROOT%\data
   LogFile     %ROOT%\data\nxlog.log
   
   <Extension _json>
       Module  xm_json
   </Extension>
   
   <Input dhcp_server_eventlog>
      Module      im_msvistalog
      <QueryXML>
           <QueryList>
               <Query Id="0" Path="System">
                   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-DHCP-Server']]]</Select>
               </Query>
               <Query Id="0">
                   <Select Path="DhcpAdminEvents">*</Select>
                   <Select Path="Microsoft-Windows-Dhcp-Server/FilterNotifications">*</Select>
                   <Select Path="Microsoft-Windows-Dhcp-Server/Operational">*</Select>
               </Query>
          </QueryList>
       </QueryXML>
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) /     1000;
       Exec        to_json();
   </Input>
   
   <Input audit_logs_csv>
       Module      im_file
       File        "LOG_FILE_PATH"  # Use quotation marks. For example: "c:\dhcp\-*.log"
       SavePos     TRUE
       InputType   LineBased
       Exec        $Message = $raw_event;
   </Input>
   
   <Output out_chronicle_forwarder>
       Module      om_tcp
       Host        %WINDHCP_OUTPUT_DESTINATION_ADDRESS%
       Port        %WINDHCP_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route dhcp_events_to_chronicle_forwarder>
       Path     dhcp_server_eventlog,audit_logs_csv => out_chronicle_forwarder
   </Route>
   

5. 启动 NXLog 服务。

配置中央 Microsoft Windows 或 Linux 服务器

如需了解如何安装和配置转发器，请参阅在 Linux 上安装和配置转发器或在 Microsoft Windows 上安装和配置转发器。

1. 使用世界协调时间 (UTC) 时区配置系统。
2. 在中央 Microsoft Windows 或 Linux 服务器上安装 Google 安全运营转发器。

3. 配置 Google Security Operations 转发器，以将日志发送到 Google Security Operations。以下是转发器配置示例。

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_DHCP
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

字段映射参考信息：设备日志字段到 UDM 字段

本部分介绍解析器如何将原始日志字段映射到 Unified Data Model (UDM) 字段。

审核日志

原始日志字段	UDM 字段
ID	security_result.rule_name is set to "EventID: %{EventID}" The dhcp.type is set according to the EventID: For EventIDs 10, 11, 20, 21, value is set to ACK. For EventID 12, value is set to RELEASE. For EventIDs 13, 14, 15, 22 the value is set to NAK. For EventIDs 16, 23 value is set to WIN_DELETED. For EventIDs 17, 18 value is set to WIN_EXPIRED.
Date	metadata.event_timestamp
Time	metadata.event_timestamp
Description	metadata.description
IP Address	principal.ip If the syslog header contains an IP address, it is mapped to "principal.ip", else if the syslog header contains a hostname, it is mapped to "principal.hostname".
Host Name	network.dhcp.client_hostname
MAC Address	If the event_type is NETWORK_DHCP, then network.dhcp.chaddr is set. Otherwise, target.mac is set.
User Name	principal.user.userid
TransactionID	network.dhcp.transaction_id
QResult	Value is mapped to the security_result.action If value is 0:NoQuarantine, set to ALLOW If value is 1:Quarantine, set to QUARANTINE If value is 2:Drop Packet, set to BLOCK If value is 3:Probation, set to ALLOW If value is 6:No Quarantine Information, set to UNKNOWN_ACTION
Dhcid	network.dhcp.client_identifier

操作、管理和过滤通知事件的通用字段

原始日志字段	UDM 字段
EventTime	metadata.event_timestamp
Channel	If the Category field not empty, then metadata.product_event_type set to "%{Category} [%{EventID}]" If the Category field is empty, then metadata.product_event_type set to "%{Channel} [%{EventID}]"
SourceName	metadata.vendor = "Microsoft" metadata.product_name = "Windows DHCP Server"
Hostname	principal.hostname
EventID	security_result.rule_name
Severity	security_result.severity Original values mapped to UDM field values as follows: 0 (None) - UNKNOWN_SEVERITY 1 (Critical) - INFORMATIONAL 2 (Error) - ERROR 3 (Warning) - ERROR 4 (Informational) - INFORMATIONAL 5 (Verbose) - INFORMATIONAL
UserID	principal.user.windows_sid
ExecutionProcessID	principal.process.pid
ProcessID	principal.process.pid

操作事件

原始日志字段	UDM 字段
PhysicalAddress	principal.mac
ClientName	principal.user.userid
HWType	dhcp.htype
OptionName	dhcp.option.code
Message	metadata.description
Category	metadata.product_event_type
ReservationName	target.resource.name The value stored is different depending on the EventID of the original event.
RelationshipName	target.resource.name The value stored is different depending on the EventID of the original event.
IP_ScopeName	target.resource.name The value stored is different depending on the EventID of the original event.
PolicyName	target.resource.name The value stored is different depending on the EventID of the original event.
IP_Name	target.resource.name The value stored is different depending on the EventID of the original event.
Server2Name	target.hostname
Server	Depending on the value, stored in target.ip or target.hostname.

过滤通知事件

原始日志字段	UDM 字段
MACAddress	principal.mac
Message	metadata.description

管理事件

原始日志字段	UDM 字段
operation	security_result.description
FQDNName	target.hostname
Message	metadata.description
Category	metadata.product_event_type
Server	target.ip / target.hostname
RelationName	target.resource.name. The value stored is different depending on the EventID of the original event.
PartnerServer	target.hostname
IP_Name	target.resource.name The value stored is different depending on the EventID of the original event.
IpAddress	target.ip

字段映射参考信息：事件 ID 到 UDM 事件类型

本部分介绍解析器如何将事件 ID 映射到 UDM event_type。