收集 Microsoft Windows Sysmon 資料

這份文件：

• 說明部署架構和安裝步驟，以及任何必要的設定，以產生 Google Security Operations 剖析器支援的 Microsoft Windows Sysmon 事件記錄。如需 Google Security Operations 資料擷取作業的總覽，請參閱「將資料擷取至 Google Security Operations」。
• 包含剖析器如何將原始記錄中的欄位對應至 Google Security Operations 統一資料模型欄位。

本文中的資訊適用於使用 WINDOWS_SYSMON 攝入標籤的剖析器。擷取標籤可指出哪個剖析器將原始記錄資料正規化為具結構性的 UDM 格式。

事前準備

查看建議的部署架構

這張圖表顯示部署架構中建議使用的核心元件，可收集 Microsoft Windows Sysmon 資料並傳送至 Google Security Operations。請將這項資訊與您的環境進行比對，確認已安裝這些元件。每個客戶的部署作業都會有所不同，而且可能更複雜。以下為必填項目：

• 部署架構中的系統會使用世界標準時間時區。
• Sysmon 會安裝在伺服器、端點和網域控制站上。
• 收集器 Microsoft Windows 伺服器會接收來自伺服器、端點和網域控制器的記錄。

• 部署架構中的 Microsoft Windows 系統使用：

  • 使用來源啟動的訂閱項目，收集多部裝置上的事件。
  • 用於遠端系統管理的 WinRM 服務。

• 在收集器 Windows 伺服器上安裝 NXLog，將記錄轉送至 Google Security Operations 轉送器。

• Google 安全作業轉寄站已安裝在中央 Microsoft Windows 伺服器或 Linux 伺服器上。

  

查看支援的裝置和版本

Google Security Operations 剖析器支援下列 Microsoft Windows 伺服器版本產生的記錄。Microsoft Windows Server 有以下版本：Foundation、Essentials、Standard 和 Datacenter。各版本產生的記錄事件結構並無差異。

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

Google Security Operations 剖析器支援下列項目產生的記錄：

• Microsoft Windows 7 以上版本的用戶端系統
• Sysmon 13.24 版。

Google Security Operations 剖析器支援由 NXLog Community 或 Enterprise Edition 收集的記錄。

查看支援的記錄類型

Google Security Operations 剖析器支援 Microsoft Windows Sysmon 產生的下列記錄類型。如要進一步瞭解這些記錄類型，請參閱 Microsoft Windows Sysmon 說明文件。這項工具支援以英文文字產生的記錄，不支援以非英文語言產生的記錄。

記錄類型	說明
Sysmon 記錄	Sysmon 管道包含 27 個事件 ID。(事件 ID：1 到 26 和 255)。 如要瞭解此記錄類型，請參閱 Microsoft Windows Sysmon 事件說明文件

設定 Microsoft Windows 伺服器、端點和網域控制站

1. 安裝及設定伺服器、端點和網域控制站。如需相關資訊，請參閱 Microsoft Windows Sysmon 設定說明文件。
2. 設定收集器 Microsoft Windows 伺服器，用於剖析來自多個系統的收集記錄。
3. 設定中央 Microsoft Windows 或 Linux 伺服器
4. 將所有系統設定為世界標準時間時區。
5. 設定裝置將記錄轉送至收集器 Microsoft Windows 伺服器。
   • 在 Microsoft Windows 系統上設定來源啟動的訂閱。詳情請參閱「設定來源啟動的訂閱方案」。
   • 在 Microsoft Windows 伺服器和用戶端上啟用 WinRM。詳情請參閱「安裝及設定 Microsoft Windows 遠端管理」。

設定 Bindplane 代理程式

使用 Bindplane Agent 收集 Windows Sysmon 記錄。安裝完成後，Bindplane 代理程式服務會顯示為 Windows 服務清單中的 observerIQ 服務。

1. 在執行收集器的 Windows 伺服器上安裝 Bindplane Agent：如要進一步瞭解如何安裝 Bindplane Agent，請參閱 Bindplane Agent 安裝說明。

2. 請為 Bindplane 代理程式建立設定檔，並加入下列內容。

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. 將 PRIVATE_KEY_ID、PRIVATE_KEY、SERVICSERVICE_ACCOUNT_NAME、PROJECT_ID、CLIENT_ID 和 CUSTOMER_ID 替換為服務帳戶 JSON 檔案中的相應值，您可以從 Google Cloud 平台下載該檔案。如要進一步瞭解服務帳戶金鑰，請參閱「建立及刪除服務帳戶金鑰」說明文件。

4. 如要啟動 observerIQ 代理程式服務，請依序選取「Services」>「Extended」>「observerIQ Service」>「start」。

設定 NXLog 和 Google Security Operations 轉送器

1. 在 Windows 伺服器上執行的收集器上安裝 NXLog。請按照 NXLog 說明文件操作，其中包含設定 NXLog 以收集 Sysmon 記錄的相關資訊。

2. 建立 NXLog 設定檔。使用 im_msvistalog 輸入模組。以下是 NXLog 設定範例。將 HOSTNAME 和 PORT 值替換為目的地中央 Microsoft Windows 或 Linux 伺服器的相關資訊。詳情請參閱 NXLog 的 om_tcp 模組說明文件。

   define ROOT     C:\Program Files\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define SYSMON_OUTPUT_DESTINATION_PORT PORT
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. 在中央 Microsoft Windows 或 Linux 伺服器上安裝 Google Security Operations 轉寄站。如要瞭解如何安裝及設定轉寄站，請參閱「在 Linux 上安裝及設定轉寄站」或「在 Microsoft Windows 上安裝及設定轉寄站」。

4. 設定 Google Security Operations 轉送程式，將記錄傳送至 Google Security Operations。以下是轉送站設定範例。

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. 啟動 NXLog 服務。

支援的 Windows Sysmon 記錄格式

Windows Sysmon 剖析器支援 JSON 和 XML 格式的記錄。

支援的 Windows Sysmon 範例記錄檔

• JSON：

  {
    "EventTime": 1611175283,
    "Hostname": "dummy10-1.user12.local",
    "Keywords": -9223372036854775808,
    "EventType": "INFO",
    "SeverityValue": 2,
    "Severity": "INFO",
    "EventID": 1,
    "SourceName": "Microsoft-Windows-Sysmon",
    "ProviderGuid": "{5770385F-C22A-43E0-BF4C-06F5698FFBD9}",
    "Version": 5,
    "Task": 1,
    "OpcodeValue": 0,
    "RecordNumber": 8846,
    "ProcessID": 1184,
    "ThreadID": 2568,
    "Channel": "Microsoft-Windows-Sysmon/Operational",
    "Domain": "NT AUTHORITY",
    "AccountName": "SYSTEM",
    "UserID": "S-1-2-3",
    "AccountType": "User",
    "Message": "Process Create:\\r\\nRuleName: -\\r\\nUtcTime: 2021-09-13 06:34:03.015\\r\\nProcessGuid: {de2dee9a-f0db-613e-7017-000000001100}\\r\\nProcessId: 5440\\r\\nImage: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\r\\nFileVersion: -\\r\\nDescription: -\\r\\nProduct: -\\r\\nCompany: -\\r\\nOriginalFileName: -\\r\\nCommandLine: \\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca\\r\\nCurrentDirectory: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\\\r\\nUser: DUMMY10-1\\\\admin\\r\\nLogonGuid: {de2dee9a-8d8d-6138-3c16-120000000000}\\r\\nLogonId: 0x12163C\\r\\nTerminalSessionId: 1\\r\\nIntegrityLevel: AppContainer\\r\\nHashes: SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F\\r\\nParentProcessGuid: {de2dee9a-8a98-6138-0d00-000000001100}\\r\\nParentProcessId: 924\\r\\nParentImage: C:\\\\Windows\\\\System32\\\\svchost.exe\\r\\nParentCommandLine: C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "Category": "Process Create (rule: ProcessCreate)",
    "Opcode": "Info",
    "RuleName": "-",
    "UtcTime": "2021-09-13 06:34:03.015",
    "ProcessGuid": "{de2dee9a-f0db-613e-7017-000000001100}",
    "Image": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe",
    "FileVersion": "-",
    "Description": "-",
    "Product": "-",
    "Company": "-",
    "OriginalFileName": "-",
    "CommandLine": "\\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca",
    "CurrentDirectory": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\",
    "User": "DUMMY10-1\\\\admin",
    "LogonGuid": "{de2dee9a-8d8d-6138-3c16-120000000000}",
    "LogonId": "0x12163c",
    "TerminalSessionId": "1",
    "IntegrityLevel": "AppContainer",
    "Hashes": "SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F",
    "ParentProcessGuid": "{de2dee9a-8a98-6138-0d00-000000001100}",
    "ParentProcessId": "924",
    "ParentImage": "C:\\\\Windows\\\\System32\\\\svchost.exe",
    "ParentCommandLine": "C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "EventReceivedTime": 1611175286,
    "SourceModuleName": "windows_sysmon_eventlog",
    "SourceModuleType": "im_msvistalog"
  }
  

• XML：

  <Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
    <System>
      <Provider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/>
      <EventID>7</EventID>
      <Version>3</Version>
      <Level>4</Level>
      <Task>7</Task>
      <Opcode>0</Opcode>
      <Keywords>0x8000000000000000</Keywords>
      <TimeCreated SystemTime='2024-11-14T15:41:55.9275040Z'/>
      <EventRecordID>15560430</EventRecordID>
      <Correlation/>
      <Execution ProcessID='2124' ThreadID='6004'/>
      <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
      <Computer>testcomputer.example.org</Computer>
      <Security UserID='S-1-5-18'/>
    </System>
    <EventData>
      <Data Name='RuleName'>technique_id=T1047,technique_name=Windows Management Instrumentation</Data>
      <Data Name='UtcTime'>2024-11-14 15:41:55.918</Data>
      <Data Name='ProcessGuid'>{de61df1c-1a43-6736-a863-00000000ad00}</Data>
      <Data Name='ProcessId'>20728</Data>
      <Data Name='Image'>C:\\Program Files\\SourceFile\\SourceFile.exe</Data>
      <Data Name='ImageLoaded'>C:\\Windows\\System32\\wbem\\imagename.dll</Data>
      <Data Name='FileVersion'>10.0.22621.3672 (WinBuild.160101.0800)</Data>
      <Data Name='Description'>WMI</Data>
      <Data Name='Product'>Microsoft® Windows® Operating System</Data>
      <Data Name='Company'>Microsoft Corporation</Data>
      <Data Name='OriginalFileName'>originalimagename.dll</Data>
      <Data Name='Hashes'>SHA1=AB20D0B71E38A3BF130100BE2F85D32F29D04697,MD5=2C6D07DCF4CDD6177B67F210019D5C61,SHA256=413CDAACD75C19725591059F70CB7F1C0C1AEAA6E1D43C70A687310859C1813F,IMPHASH=472A202488B9A8A8072E75ADE4EC1496</Data>
      <Data Name='Signed'>true</Data>
      <Data Name='Signature'>Microsoft Windows</Data>
      <Data Name='SignatureStatus'>Valid</Data>
      <Data Name='User'>Test\\TestUser</Data>
    </EventData>
  </Event>
  

欄位對應參考資料：裝置事件欄位與 UDM 欄位

本節說明剖析器如何將原始裝置記錄欄位對應至統合式資料模型 (UDM) 欄位。欄位對應可能因事件 ID 而異。

欄位對應參考資料：事件 ID 與事件類型

下表列出 WINDOWS_SYSMON 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：WINDOWS_SYSMON

下表列出 WINDOWS_SYSMON 記錄類型的記錄欄位，以及對應的 UDM 欄位。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。