Microsoft LAPS ログを収集する

このドキュメントでは、Bindplane を使用して Microsoft LAPS（ローカル管理者パスワード ソリューション）のログを Google Security Operations に取り込む方法について説明します。パーサーは、まず message フィールドから JSON 形式のデータを抽出し、抽出された JSON 内の EventData フィールドをさらに解析します。次に、抽出されたフィールドを統合データモデル（UDM）スキーマにマッピングし、EventId に基づいてイベントタイプを分類して、最後に処理されたすべてのデータを出力イベントに統合します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• プロキシの背後で実行されている場合、ファイアウォール ポートが開いている
• LAPS を使用した Microsoft Windows Server への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [コレクション エージェント] に移動します。
3. Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

Windows のインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

その他のインストール リソース

その他のインストール オプションについては、インストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

1. 構成ファイルにアクセスします。
   • config.yaml ファイルを見つけます。通常は、Windows のインストール ディレクトリにあります。
   • テキスト エディタ（メモ帳など）を使用してファイルを開きます。

2. config.yaml ファイルを次のように編集します。

   receivers:
     windowseventlog/laps_operational:
       channel: Microsoft-Windows-LAPS/Operational
       max_reads: 100
       poll_interval: 5s
       raw: true
       start_at: end
   
   processors:
     batch:
   
   exporters:
     chronicle/laps:
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'WINDOWS_LAPS'
           override_log_type: false
           raw_log_field: body
   
   service:
     pipelines:
       logs/laps:
         receivers:
         - windowseventlog/laps_operational
         processors: [batch]
         exporters: [chronicle/laps]
   

3. <customer_id> は、実際のお客様 ID に置き換えます。

4. /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

• Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Microsoft Windows LAPS を構成する

1. 管理者権限でコマンド プロンプトを開き、「eventvwr.msc」と入力して Enter キーを押すと、イベント ビューアーが開きます。
2. [アプリケーションとサービス ログ] > [Microsoft] > [Windows] > [LAPS] に移動します。
3. [LAPS] を開きます。
4. [LAPS] を右クリックして、[プロパティ] をクリックします。
5. [ロギングを有効にする] チェックボックスをオンにします。
6. ログが有効になっているかどうかを確認するメッセージが表示されたら、[OK] をクリックします。
7. [OK] をクリックします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。