Recopila datos de Sysmon de Microsoft Windows

En este documento, se incluye lo siguiente:

• describe la arquitectura de implementación y los pasos de instalación, además de cualquier configuración requerida que genere registros compatibles con el analizador de operaciones de seguridad de Google para eventos de Sysmon de Microsoft Windows. Para obtener una descripción general de la transferencia de datos a Google Security Operations, consulta Transferencia de datos a Google Security Operations.
• incluye información sobre cómo el analizador asigna campos del registro original a los campos del modelo de datos unificado de Google Security Operations.

La información de este documento se aplica al analizador con la etiqueta de transferencia WINDOWS_SYSMON. La etiqueta de transferencia identifica qué analizador normaliza los datos de registro sin procesar al formato estructurado del UDM.

Antes de comenzar

Revisa la arquitectura de implementación recomendada

Este diagrama representa los componentes principales recomendados en una arquitectura de implementación para recopilar y enviar datos de Sysmon de Microsoft Windows a Google Security Operations. Compara esta información con tu entorno para asegurarte de que estos componentes estén instalados. Cada implementación del cliente diferirá de esta representación y puede ser más compleja. Se requiere lo siguiente:

• Los sistemas de la arquitectura de implementación se configuran con la zona horaria UTC.
• Sysmon se instala en servidores, extremos y controladores de dominio.
• El servidor de Microsoft Windows del recopilador recibe registros de servidores, extremos y controladores de dominio.

• Los sistemas Microsoft Windows en la arquitectura de implementación usan lo siguiente:

  • Suscripciones iniciadas por la fuente para recopilar eventos en varios dispositivos
  • Servicio WinRM para la administración remota de sistemas.

• NXLog se instala en el servidor de Windows del recopilador para reenviar registros al reenviador de Google Security Operations.

• El servidor de reenvío de Google Security Operations se instala en un servidor central de Microsoft Windows o Linux.

  

Revisa los dispositivos y las versiones compatibles

El analizador de Google Security Operations admite registros generados por las siguientes versiones del servidor de Microsoft Windows. Microsoft Windows Server se lanza con las siguientes ediciones: Foundation, Essentials, Standard y Datacenter. El esquema de eventos de los registros que genera cada edición no difiere.

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

El analizador de Google Security Operations admite registros generados por lo siguiente:

• Sistemas cliente de Microsoft Windows 7 y versiones posteriores
• Sysmon versión 13.24.

El analizador de Google Security Operations admite registros recopilados por NXLog Community o Enterprise Edition.

Revisa los tipos de registros admitidos

El analizador de Google Security Operations admite los siguientes tipos de registros que genera Microsoft Windows Sysmon. Para obtener más información sobre estos tipos de registros, consulta la documentación de Sysmon de Microsoft Windows. Admite registros generados con texto en inglés y no es compatible con registros generados en idiomas distintos del inglés.

Tipo de registro	Descripción
Registros de Sysmon	El canal de Sysmon contiene 27 IDs de evento. (ID de evento: del 1 al 26 y 255). Para obtener una descripción de este tipo de registro, consulta la documentación de eventos de Sysmon de Microsoft Windows.

Configura servidores, extremos y controladores de dominio de Microsoft Windows

1. Instala y configura los servidores, los extremos y los controladores de dominio. Para obtener información, consulta la documentación de configuración de Sysmon de Microsoft Windows.
2. Configura un servidor de Microsoft Windows de recopilación para analizar los registros recopilados de varios sistemas.
3. Configura el servidor central de Microsoft Windows o Linux
4. Configura todos los sistemas con la zona horaria UTC.
5. Configura los dispositivos para que reenvíen registros al servidor de Microsoft Windows del recopilador.
   • Configura las suscripciones iniciadas desde la fuente en sistemas Microsoft Windows. Para obtener más información, consulta Cómo configurar una suscripción iniciada por la fuente.
   • Habilita WinRM en los servidores y clientes de Microsoft Windows. Para obtener información, consulta Instalación y configuración de la administración remota de Microsoft Windows.

Configura el agente de BindPlane

Recopila los registros de Sysmon de Windows con el agente de BindPlane. Después de la instalación, el servicio del agente de BindPlane aparece como el servicio observerIQ en la lista de servicios de Windows.

1. Instala el agente de BindPlane en el colector que se ejecuta en un servidor de Windows. Para obtener más información sobre la instalación del agente de BindPlane, consulta las instrucciones de instalación del agente de BindPlane.

2. Crea un archivo de configuración para el agente de BindPlane con el siguiente contenido.

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. Reemplaza PRIVATE_KEY_ID, PRIVATE_KEY, SERVICSERVICE_ACCOUNT_NAME, PROJECT_ID, CLIENT_ID y CUSTOMER_ID por los valores correspondientes del archivo JSON de la cuenta de servicio que puedes descargar de Google Cloud Platform. Para obtener más información sobre las claves de cuentas de servicio, consulta la documentación sobre cómo crear y borrar claves de cuentas de servicio.

4. Para iniciar el servicio del agente de observerIQ, selecciona Servicios > Extended > el servicio de observerIQ > iniciar.

Configura el reenviador de NXLog y Google Security Operations

1. Instala NXLog en el colector que se ejecuta en un servidor de Windows. Sigue la documentación de NXLog, que incluye información para configurar NXLog para recopilar registros de Sysmon.

2. Crea un archivo de configuración para NXLog. Usa el módulo de entrada im_msvistalog. Este es un ejemplo de configuración de NXLog. Reemplaza los valores <hostname> y <port> por información sobre el servidor central de Microsoft Windows o Linux de destino. Para obtener más información, consulta la documentación de NXLog sobre el módulo om_tcp.

   define ROOT     C:\Program Files (x86)\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS <hostname>
   define SYSMON_OUTPUT_DESTINATION_PORT <port>
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. Instala el servidor de reenvío de Google Security Operations en el servidor central de Microsoft Windows o Linux. Consulta Cómo instalar y configurar el reenviador en Linux o Cómo instalar y configurar el reenviador en Microsoft Windows para obtener información sobre cómo instalar y configurar el reenviador.

4. Configura el reenviador de Google Security Operations para enviar registros a Google Security Operations. Este es un ejemplo de configuración de reenvío.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. Inicia el servicio NXLog.

Referencia de asignación de campos: campos de eventos del dispositivo a campos de UDM

En esta sección, se describe cómo el analizador asigna los campos de registro del dispositivo original a los campos del modelo de datos unificado (UDM). La asignación de campos puede diferir según el ID de evento.

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla, se enumeran los tipos de registro de WINDOWS_SYSMON y sus correspondientes tipos de eventos de la AUA.

Referencia de asignación de campos: WINDOWS_SYSMON

En la siguiente tabla, se enumeran los campos de registro del tipo de registro WINDOWS_SYSMON y sus campos de UDM correspondientes.