Microsoft LAPS-Protokolle erfassen

In diesem Dokument wird beschrieben, wie Sie die Microsoft LAPS-Logs (Local Administrator Password Solution) mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert zuerst JSON-formatierte Daten aus dem Feld message und parst dann das Feld EventData innerhalb des extrahierten JSON. Anschließend werden die extrahierten Felder dem Schema für einheitliche Datenmodelle (Unified Data Model, UDM) zugeordnet, der Ereignistyp wird anhand von EventId kategorisiert und schließlich werden alle verarbeiteten Daten in das Ausgabereignis zusammengeführt.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Google SecOps-Instanz
• Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
• Privilegierter Zugriff auf einen Microsoft Windows-Server mit LAPS

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Fenstereinbau

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

1. Rufen Sie die Konfigurationsdatei auf:
   • Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     windowseventlog/laps_operational:
       channel: Microsoft-Windows-LAPS/Operational
       max_reads: 100
       poll_interval: 5s
       raw: true
       start_at: end
   
   processors:
     batch:
   
   exporters:
     chronicle/laps:
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'WINDOWS_LAPS'
           override_log_type: false
           raw_log_field: body
   
   service:
     pipelines:
       logs/laps:
         receivers:
         - windowseventlog/laps_operational
         processors: [batch]
         exporters: [chronicle/laps]
   

3. Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.

4. Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Microsoft Windows LAPS konfigurieren

1. Geben Sie eventvwr.msc in einer Eingabeaufforderung mit erhöhten Rechten ein und drücken Sie die Eingabetaste, um die Ereignisanzeige zu öffnen.
2. Gehen Sie zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > LAPS.
3. Maximieren Sie LAPS.
4. Klicken Sie mit der rechten Maustaste auf LAPS und dann auf Eigenschaften.
5. Klicken Sie das Kästchen Logging aktivieren an.
6. Klicken Sie auf OK, wenn Sie gefragt werden, ob das Log aktiviert ist.
7. Klicken Sie auf OK.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten