Collecter des données Microsoft Windows Sysmon

Ce document:

• décrit l'architecture de déploiement et les étapes d'installation, ainsi que toute configuration requise qui produit des journaux compatibles avec l'analyseur Google Security Operations pour les événements Sysmon Microsoft Windows. Pour en savoir plus sur l'ingestion de données dans Google Security Operations, consultez Ingestion de données dans Google Security Operations.
• inclut des informations sur la façon dont l'analyseur met en correspondance les champs du journal d'origine avec les champs du modèle de données unifié Google Security Operations.

Les informations de ce document s'appliquent à l'analyseur avec le libellé d'ingestion WINDOWS_SYSMON. Le libellé d'ingestion identifie l'analyseur qui normalise les données de journal brutes au format UDM structuré.

Avant de commencer

Examiner l'architecture de déploiement recommandée

Ce diagramme représente les composants principaux recommandés dans une architecture de déploiement pour collecter et envoyer des données Sysmon Microsoft Windows à Google Security Operations. Comparez ces informations à votre environnement pour vous assurer que ces composants sont installés. Chaque déploiement client différera de cette représentation et pourra être plus complexe. Vous devez disposer des éléments suivants:

• Les systèmes de l'architecture de déploiement sont configurés avec le fuseau horaire UTC.
• Sysmon est installé sur les serveurs, les points de terminaison et les contrôleurs de domaine.
• Le serveur Microsoft Windows du collecteur reçoit les journaux des serveurs, des points de terminaison et des contrôleurs de domaine.

• Les systèmes Microsoft Windows de l'architecture de déploiement utilisent les éléments suivants:

  • Abonnements déclenchés par la source pour collecter des événements sur plusieurs appareils.
  • Service WinRM pour la gestion à distance du système.

• NXLog est installé sur le serveur Windows du collecteur pour transférer les journaux vers le transfert Google Security Operations.

• Le redirecteur Google Security Operations est installé sur un serveur Linux ou Microsoft Windows central.

  

Vérifier les appareils et versions compatibles

L'analyseur Google Security Operations est compatible avec les journaux générés par les versions de serveur Microsoft Windows suivantes. Microsoft Windows Server est disponible dans les éditions suivantes : Foundation, Essentials, Standard et Datacenter. Le schéma d'événements des journaux générés par chaque édition ne diffère pas.

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

L'analyseur Google Security Operations est compatible avec les journaux générés par:

• Systèmes clients Microsoft Windows 7 et versions ultérieures
• Version 13.24 de Sysmon

L'analyseur Google Security Operations est compatible avec les journaux collectés par NXLog Community ou Enterprise Edition.

Examiner les types de journaux compatibles

L'analyseur Google Security Operations est compatible avec les types de journaux suivants générés par Microsoft Windows Sysmon. Pour en savoir plus sur ces types de journaux, consultez la documentation Microsoft Windows Sysmon. Il est compatible avec les journaux générés avec du texte en anglais et n'est pas compatible avec les journaux générés dans d'autres langues.

Type de journal	Description
Journaux Sysmon	La chaîne Sysmon contient 27 ID d'événement. (ID d'événement: 1 à 26 et 255) Pour en savoir plus sur ce type de journal, consultez la documentation sur les événements Sysmon Microsoft Windows.

Configurer des serveurs, des points de terminaison et des contrôleurs de domaine Microsoft Windows

1. Installez et configurez les serveurs, les points de terminaison et les contrôleurs de domaine. Pour en savoir plus, consultez la documentation de configuration de Sysmon Microsoft Windows.
2. Configurez un serveur Microsoft Windows collecteur pour analyser les journaux collectés à partir de plusieurs systèmes.
3. Configurer le serveur central Microsoft Windows ou Linux
4. Configurez tous les systèmes avec le fuseau horaire UTC.
5. Configurez les appareils pour qu'ils transfèrent les journaux vers le serveur Microsoft Windows du collecteur.
   • Configurez les abonnements déclenchés par la source sur les systèmes Microsoft Windows. Pour en savoir plus, consultez la section Configurer un abonnement initié par la source.
   • Activez WinRM sur les serveurs et les clients Microsoft Windows. Pour en savoir plus, consultez la section Installation et configuration de la gestion à distance Microsoft Windows.

Configurer l'agent BindPlane

Collectez les journaux Sysmon Windows à l'aide de l'agent BindPlane. Après l'installation, le service de l'agent BindPlane apparaît sous le nom de service observerIQ dans la liste des services Windows.

1. Installez l'agent BindPlane sur le collecteur exécuté sur un serveur Windows. Pour en savoir plus sur l'installation de l'agent BindPlane, consultez les instructions d'installation de l'agent BindPlane.

2. Créez un fichier de configuration pour l'agent BindPlane avec le contenu suivant.

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. Remplacez les valeurs PRIVATE_KEY_ID, PRIVATE_KEY, SERVICSERVICE_ACCOUNT_NAME, PROJECT_ID, CLIENT_ID et CUSTOMER_ID par les valeurs respectives du fichier JSON du compte de service que vous pouvez télécharger sur Google Cloud Platform. Pour en savoir plus sur les clés de compte de service, consultez la documentation sur la création et la suppression de clés de compte de service.

4. Pour démarrer le service d'agent observerIQ, sélectionnez Services > Extended > le service observerIQ > start (Services > Extended > le service observerIQ > démarrer).

Configurer NXLog et le forwarder Google Security Operations

1. Installez NXLog sur le collecteur exécuté sur un serveur Windows. Suivez la documentation NXLog, y compris les informations sur la configuration de NXLog pour collecter les journaux de Sysmon.

2. Créez un fichier de configuration pour NXLog. Utilisez le module d'entrée im_msvistalog. Voici un exemple de configuration NXLog. Remplacez les valeurs <hostname> et <port> par des informations sur le serveur Microsoft Windows ou Linux central de destination. Pour en savoir plus, consultez la documentation NXLog sur le module om_tcp.

   define ROOT     C:\Program Files (x86)\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS <hostname>
   define SYSMON_OUTPUT_DESTINATION_PORT <port>
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. Installez le redirecteur Google Security Operations sur le serveur central Microsoft Windows ou Linux. Pour en savoir plus sur l'installation et la configuration du forwarder, consultez Installer et configurer le forwarder sous Linux ou Installer et configurer le forwarder sous Microsoft Windows.

4. Configurez le transfert Google Security Operations pour envoyer des journaux à Google Security Operations. Voici un exemple de configuration de forwarder.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. Démarrez le service NXLog.

Référence de mappage de champs: champs d'événements de l'appareil vers les champs UDM

Cette section explique comment l'analyseur mappe les champs de journal d'appareil d'origine aux champs du modèle de données unifié (UDM). Le mappage des champs peut varier selon l'ID d'événement.

Référence de mappage de champ: identifiant d'événement vers type d'événement

Le tableau suivant répertorie les types de journaux WINDOWS_SYSMON et les types d'événements UDM correspondants.

Référence de mappage de champ: WINDOWS_SYSMON

Le tableau suivant répertorie les champs de journal du type de journal WINDOWS_SYSMON et les champs UDM correspondants.