Halaman ini diterjemahkan oleh Cloud Translation API.

Mengumpulkan log Microsoft LAPS

Didukung di:

Google secops SIEM

Dokumen ini menjelaskan cara menyerap log Microsoft LAPS (Local Administrator Password Solution) ke Google Security Operations menggunakan BindPlane. Parser pertama-tama mengekstrak data berformat JSON dari kolom message, lalu mengurai lebih lanjut kolom EventData dalam JSON yang diekstrak. Kemudian, kolom yang diekstrak dipetakan ke skema Model Data Terpadu (UDM), jenis peristiwa dikategorikan berdasarkan EventId, dan akhirnya semua data yang diproses digabungkan ke dalam peristiwa output.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
jika dijalankan di belakang proxy, port firewall terbuka
Akses istimewa ke Microsoft Windows Server dengan LAPS

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

Akses file konfigurasi:
- Cari file config.yaml. Biasanya, file ini ada di direktori penginstalan di Windows.
- Buka file menggunakan editor teks (misalnya, Notepad).

Edit file config.yaml sebagai berikut:

receivers:
  windowseventlog/laps_operational:
    channel: Microsoft-Windows-LAPS/Operational
    max_reads: 100
    poll_interval: 5s
    raw: true
    start_at: end

processors:
  batch:

exporters:
  chronicle/laps:
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'WINDOWS_LAPS'
        override_log_type: false
        raw_log_field: body

service:
  pipelines:
    logs/laps:
      receivers:
      - windowseventlog/laps_operational
      processors: [batch]
      exporters: [chronicle/laps]

Ganti <customer_id> dengan ID Pelanggan yang sebenarnya.
Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Mengonfigurasi LAPS Microsoft Windows

Ketik eventvwr.msc di command prompt yang ditinggikan, lalu tekan ENTER untuk membuka Event Viewer.
Buka Applications and Services Logs > Microsoft > Windows > LAPS.
Luaskan LAPS.
Klik kanan LAPS, lalu klik Properties.
Centang kotak Aktifkan logging.
Klik OK saat ditanya apakah log diaktifkan.
Klik Oke.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Saluran	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Channel` di log mentah dan ditetapkan ke kolom `key`.
Saluran	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Channel` di log mentah dan ditetapkan ke kolom `string_value`.
Komputer	read_only_udm.principal.hostname	Nilai diambil dari kolom `Computer` dalam log mentah.
Komputer	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom `Computer` dalam log mentah.
EventData.%1	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `EventData.%1` di log mentah dan ditetapkan ke kolom `string_value`.
EventId	read_only_udm.metadata.product_event_type	Nilai diambil dari kolom `EventId` dalam log mentah.
EventId	read_only_udm.security_result.rule_name	Nilai diambil dari kolom `EventId` dalam log mentah dan ditambahkan ke `EventID:`.
EventRecordID	read_only_udm.metadata.product_log_id	Nilai diambil dari kolom `EventRecordID` dalam log mentah.
Kata kunci	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Keywords` di log mentah dan ditetapkan ke kolom `key`.
Kata kunci	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Keywords` di log mentah dan ditetapkan ke kolom `string_value`.
Tingkat	read_only_udm.security_result.severity	Nilai diambil dari kolom `Level` dalam log mentah dan dipetakan ke: `INFORMATIONAL` untuk `INFO`, `Informational`, `Information`, `Normal`, `NOTICE`; `ERROR` untuk `ERROR`, `Error`; `CRITICAL` untuk `Critical`.
Kode operasi	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Opcode` di log mentah dan ditetapkan ke kolom `key`.
Kode operasi	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Opcode` di log mentah dan ditetapkan ke kolom `string_value`.
ProcessID	read_only_udm.principal.process.pid	Nilai diambil dari kolom `ProcessID` dalam log mentah.
ProviderName	read_only_udm.metadata.product_name	Nilai diambil dari kolom `ProviderName` dalam log mentah.
Tugas	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Task` di log mentah dan ditetapkan ke kolom `key`.
Tugas	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Task` di log mentah dan ditetapkan ke kolom `string_value`.
ThreadID	read_only_udm.additional.fields.key	Nilai diambil dari kolom `ThreadID` di log mentah dan ditetapkan ke kolom `key`.
ThreadID	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `ThreadID` di log mentah dan ditetapkan ke kolom `string_value`.
TimeCreated	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom `TimeCreated` di log mentah, diuraikan sebagai stempel waktu UNIX_MS.
TimeCreated	events.timestamp	Nilai diambil dari kolom `TimeCreated` di log mentah, diuraikan sebagai stempel waktu UNIX_MS.
Versi	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Version` di log mentah dan ditetapkan ke kolom `key`.
Versi	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Version` di log mentah dan ditetapkan ke kolom `string_value`.
	read_only_udm.additional.fields.key	Menetapkan nilai `EventData_P1`.
	read_only_udm.metadata.event_type	Ditetapkan secara bersyarat `STATUS_UNCATEGORIZED` jika EventId adalah `7` atau `2`, jika tidak `GENERIC_EVENT`.
	read_only_udm.metadata.vendor_name	Menetapkan nilai `Microsoft`.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.