收集 Microsoft IIS 日志

本文档介绍了如何使用 Bindplane 将 Microsoft Internet Information Services (IIS) 日志收集到 Google Security Operations。解析器首先会尝试通过移除不必要的字符和标准化字段名称来清理和规范化输入数据。然后，它使用一系列 grok 模式从各种 Microsoft IIS 日志格式中提取相关字段，并将它们映射到统一数据模型 (UDM)。

准备工作

• 确保您拥有 Google SecOps 实例。
• 确保您使用的是 Windows 2016 或更高版本。
• 如果通过代理运行，请确保防火墙端口处于开放状态。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

在 Windows 上安装 Bindplane 代理

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

其他安装资源

• 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 在配置 YAML 文件之前，请在“服务”面板中停止 observIQ Distro for Open Telemetry Collector 服务。

2. 访问配置文件：

   1. 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
   2. 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

3. 按如下方式修改 config.yaml 文件：

   receivers:
     iis:
       collection_interval: 60s
   
   processors:
     # Resourcedetection is used to add a unique (host.name) to the metric resource(s), allowing users to filter between multiple agent systems.
     resourcedetection:
       detectors: ["system"]
       system:
         hostname_sources: ["os"]
   
     normalizesums:
   
     batch:
   
   exporters:
     chronicle/powershell:
       endpoint: malachiteingestion-pa.googleapis.com
       # Adjust the path to the credentials file you downloaded in Step 1
       creds: '/path/to/ingestion-authentication-file.json'
       log_type: 'IIS'
       override_log_type: false
       raw_log_field: body
       customer_id: '<customer_id>'
   
   service:
     pipelines:
       logs/winpowershell:
         receivers:
           - iis
         processors:
           - resourcedetection
           - normalizesums
           - batch
         exporters: [chronicle/iis]
   

4. 将 <customer_id> 替换为实际的客户 ID。

5. 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

6. 保存 config.yaml 文件后，启动 observIQ Distro for Open Telemetry Collector 服务。

重启 Bindplane 代理以应用更改

• 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。