Raccogliere i log di Microsoft LAPS

Questo documento spiega come importare i log di Microsoft LAPS (Local Administrator Password Solution) in Google Security Operations utilizzando Bindplane. Il parser estrae innanzitutto i dati formattati in JSON dal campo message e poi analizza ulteriormente il campo EventData all'interno del JSON estratto. Dopodiché, mappa i campi estratti allo schema Unified Data Model (UDM), classifica il tipo di evento in base a EventId e infine unisce tutti i dati elaborati nell'evento di output.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
• Accesso con privilegi a un Microsoft Windows Server con LAPS

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere si trova nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio, Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     windowseventlog/laps_operational:
       channel: Microsoft-Windows-LAPS/Operational
       max_reads: 100
       poll_interval: 5s
       raw: true
       start_at: end
   
   processors:
     batch:
   
   exporters:
     chronicle/laps:
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'WINDOWS_LAPS'
           override_log_type: false
           raw_log_field: body
   
   service:
     pipelines:
       logs/laps:
         receivers:
         - windowseventlog/laps_operational
         processors: [batch]
         exporters: [chronicle/laps]
   

3. Sostituisci <customer_id> con l'ID cliente effettivo.

4. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurare LAPS di Microsoft Windows

1. Digita eventvwr.msc in un prompt dei comandi con privilegi elevati e premi INVIO per aprire il Visualizzatore eventi.
2. Vai a Registri applicazioni e servizi > Microsoft > Windows > LAPS.
3. Espandi LAPS.
4. Fai clic con il tasto destro del mouse su LAPS e poi su Proprietà.
5. Seleziona la casella di controllo Abilita il logging.
6. Fai clic su Ok quando ti viene chiesto se il log è attivato.
7. Fai clic su OK.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.