Collecter les journaux Microsoft IIS

Ce document explique comment collecter les journaux Microsoft Internet Information Services (IIS) dans Google Security Operations à l'aide de Bindplane. Le parseur tente d'abord de nettoyer et de normaliser les données d'entrée en supprimant les caractères inutiles et en standardisant les noms de champs. Il utilise ensuite une série de modèles grok pour extraire les champs pertinents de différents formats de journaux Microsoft IIS et les mapper au modèle de données unifié (UDM).

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous de disposer de Windows 2016 ou d'une version ultérieure.
• Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane sur Windows

1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Ressources d'installation supplémentaires

• Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Avant de configurer le fichier YAML, arrêtez le service observIQ Distro for Open Telemetry Collector dans le panneau "Services".

2. Accédez au fichier de configuration :

   1. Recherchez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
   2. Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

3. Modifiez le fichier config.yaml comme suit :

   receivers:
     iis:
       collection_interval: 60s
   
   processors:
     # Resourcedetection is used to add a unique (host.name) to the metric resource(s), allowing users to filter between multiple agent systems.
     resourcedetection:
       detectors: ["system"]
       system:
         hostname_sources: ["os"]
   
     normalizesums:
   
     batch:
   
   exporters:
     chronicle/powershell:
       endpoint: malachiteingestion-pa.googleapis.com
       # Adjust the path to the credentials file you downloaded in Step 1
       creds: '/path/to/ingestion-authentication-file.json'
       log_type: 'IIS'
       override_log_type: false
       raw_log_field: body
       customer_id: '<customer_id>'
   
   service:
     pipelines:
       logs/winpowershell:
         receivers:
           - iis
         processors:
           - resourcedetection
           - normalizesums
           - batch
         exporters: [chronicle/iis]
   

4. Remplacez <customer_id> par le numéro client réel.

5. Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

6. Après avoir enregistré le fichier config.yaml, démarrez le service observIQ Distro for Open Telemetry Collector.

Redémarrez l'agent Bindplane pour appliquer les modifications.

• Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.