Recoger registros de Sysmon de Microsoft Windows

Este documento:

• describe la arquitectura de implementación y los pasos de instalación, así como cualquier configuración necesaria para generar registros compatibles con el analizador de Google Security Operations para eventos de Microsoft Windows Sysmon. Para obtener información general sobre la ingestión de datos en Google Security Operations, consulta el artículo Ingestión de datos en Google Security Operations.
• Incluye información sobre cómo asigna el analizador los campos del registro original a los campos del modelo de datos unificado de Google Security Operations.

La información de este documento se aplica al analizador con la etiqueta de ingestión WINDOWS_SYSMON. La etiqueta de ingestión identifica qué analizador normaliza los datos de registro sin procesar en formato UDM estructurado.

Antes de empezar

Revisar la arquitectura de implementación recomendada

En este diagrama se representan los componentes principales recomendados en una arquitectura de implementación para recoger y enviar datos de Sysmon de Microsoft Windows a Google Security Operations. Compara esta información con tu entorno para asegurarte de que estos componentes están instalados. Cada implementación de cliente será diferente de esta representación y puede ser más compleja. Se necesita lo siguiente:

• Los sistemas de la arquitectura de implementación están configurados con la zona horaria UTC.
• Sysmon está instalado en servidores, endpoints y controladores de dominio.
• El recopilador de servidores Microsoft Windows recibe registros de servidores, endpoints y controladores de dominio.

• Los sistemas Microsoft Windows de la arquitectura de implementación usan:

  • Suscripciones iniciadas por la fuente para recoger eventos en varios dispositivos.
  • Servicio WinRM para la gestión remota del sistema.

• NXLog está instalado en el servidor Windows del recopilador para reenviar registros al reenviador de Google Security Operations.

• El reenviador de Google Security Operations se instala en un servidor central Microsoft Windows o Linux.

  

Revisa los dispositivos y las versiones compatibles

El analizador de Google Security Operations admite los registros generados por las siguientes versiones de servidor de Microsoft Windows. Microsoft Windows Server se lanza con las siguientes ediciones: Foundation, Essentials, Standard y Datacenter. El esquema de eventos de los registros generados por cada edición no varía.

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

El analizador de Google Security Operations admite registros generados por:

• Sistemas cliente Microsoft Windows 7 y versiones posteriores
• Versión 13.24 de Sysmon.

El analizador de Google Security Operations admite registros recogidos por NXLog Community o Enterprise Edition.

Revisar los tipos de registro admitidos

El analizador de Google Security Operations admite los siguientes tipos de registros generados por Microsoft Windows Sysmon. Para obtener más información sobre estos tipos de registros, consulta la documentación de Microsoft Windows Sysmon. Admite registros generados con texto en inglés, pero no registros generados en otros idiomas.

Tipo de registro	Descripción
Registros de Sysmon	El canal Sysmon contiene 27 IDs de evento. (ID de evento: del 1 al 26 y 255). Para obtener una descripción de este tipo de registro, consulta la documentación de eventos de Sysmon de Microsoft Windows.

Configurar servidores, endpoints y controladores de dominio de Microsoft Windows

1. Instala y configura los servidores, los endpoints y los controladores de dominio. Para obtener información, consulta la documentación de configuración de Sysmon para Microsoft Windows.
2. Configura un servidor Microsoft Windows de recopilación para analizar los registros recogidos de varios sistemas.
3. Configurar el servidor central de Microsoft Windows o Linux
4. Configura todos los sistemas con la zona horaria UTC.
5. Configura los dispositivos para que reenvíen los registros al servidor de Microsoft Windows del recopilador.
   • Configura las suscripciones iniciadas por la fuente en sistemas Microsoft Windows. Para obtener más información, consulta Configurar una suscripción iniciada por la fuente.
   • Habilita WinRM en servidores y clientes de Microsoft Windows. Para obtener más información, consulta Instalación y configuración de la gestión remota de Microsoft Windows.

Configurar el agente de BindPlane

Recoge los registros de Sysmon de Windows mediante el agente de Bindplane. Después de la instalación, el servicio Bindplane Agent aparece como el servicio observerIQ en la lista de servicios de Windows.

1. Instala el agente de BindPlane en un servidor Windows que ejecute el recopilador: para obtener más información sobre cómo instalar el agente de BindPlane, consulta las instrucciones de instalación del agente de BindPlane.

2. Crea un archivo de configuración para el agente de Bindplane con el siguiente contenido.

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. Sustituye PRIVATE_KEY_ID, PRIVATE_KEY, SERVICSERVICE_ACCOUNT_NAME, PROJECT_ID, CLIENT_ID y CUSTOMER_ID por los valores correspondientes del archivo JSON de la cuenta de servicio, que puedes descargar de la Google Cloud plataforma. Para obtener más información sobre las claves de cuentas de servicio, consulta la documentación sobre cómo crear y eliminar claves de cuentas de servicio.

4. Para iniciar el servicio del agente observerIQ, selecciona Servicios > Ampliado > el servicio observerIQ > iniciar.

Configurar NXLog y el reenviador de Google Security Operations

1. Instala NXLog en el recopilador que se ejecuta en un servidor Windows. Sigue la documentación de NXLog, incluida la información sobre cómo configurar NXLog para recoger registros de Sysmon.

2. Crea un archivo de configuración para NXLog. Usa el módulo de entrada im_msvistalog. Aquí tienes un ejemplo de configuración de NXLog. Sustituye los valores HOSTNAME y PORT por información sobre el servidor central de destino de Microsoft Windows o Linux. Para obtener más información, consulta la documentación de NXLog sobre el módulo om_tcp.

   define ROOT     C:\Program Files\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define SYSMON_OUTPUT_DESTINATION_PORT PORT
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. Instala el reenviador de Google Security Operations en el servidor central Microsoft Windows o Linux. Consulta Instalar y configurar el reenviador en Linux o Instalar y configurar el reenviador en Microsoft Windows para obtener información sobre cómo instalar y configurar el reenviador.

4. Configura el reenviador de Google Security Operations para enviar registros a Google Security Operations. A continuación, se muestra un ejemplo de configuración de un reenviador.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. Inicia el servicio NXLog.

Formatos de registro de Sysmon de Windows admitidos

El analizador de Sysmon de Windows admite registros en formato JSON y XML.

Registros de ejemplo de Sysmon de Windows admitidos

• JSON:

  {
    "EventTime": 1611175283,
    "Hostname": "dummy10-1.user12.local",
    "Keywords": -9223372036854775808,
    "EventType": "INFO",
    "SeverityValue": 2,
    "Severity": "INFO",
    "EventID": 1,
    "SourceName": "Microsoft-Windows-Sysmon",
    "ProviderGuid": "{5770385F-C22A-43E0-BF4C-06F5698FFBD9}",
    "Version": 5,
    "Task": 1,
    "OpcodeValue": 0,
    "RecordNumber": 8846,
    "ProcessID": 1184,
    "ThreadID": 2568,
    "Channel": "Microsoft-Windows-Sysmon/Operational",
    "Domain": "NT AUTHORITY",
    "AccountName": "SYSTEM",
    "UserID": "S-1-2-3",
    "AccountType": "User",
    "Message": "Process Create:\\r\\nRuleName: -\\r\\nUtcTime: 2021-09-13 06:34:03.015\\r\\nProcessGuid: {de2dee9a-f0db-613e-7017-000000001100}\\r\\nProcessId: 5440\\r\\nImage: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\r\\nFileVersion: -\\r\\nDescription: -\\r\\nProduct: -\\r\\nCompany: -\\r\\nOriginalFileName: -\\r\\nCommandLine: \\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca\\r\\nCurrentDirectory: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\\\r\\nUser: DUMMY10-1\\\\admin\\r\\nLogonGuid: {de2dee9a-8d8d-6138-3c16-120000000000}\\r\\nLogonId: 0x12163C\\r\\nTerminalSessionId: 1\\r\\nIntegrityLevel: AppContainer\\r\\nHashes: SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F\\r\\nParentProcessGuid: {de2dee9a-8a98-6138-0d00-000000001100}\\r\\nParentProcessId: 924\\r\\nParentImage: C:\\\\Windows\\\\System32\\\\svchost.exe\\r\\nParentCommandLine: C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "Category": "Process Create (rule: ProcessCreate)",
    "Opcode": "Info",
    "RuleName": "-",
    "UtcTime": "2021-09-13 06:34:03.015",
    "ProcessGuid": "{de2dee9a-f0db-613e-7017-000000001100}",
    "Image": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe",
    "FileVersion": "-",
    "Description": "-",
    "Product": "-",
    "Company": "-",
    "OriginalFileName": "-",
    "CommandLine": "\\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca",
    "CurrentDirectory": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\",
    "User": "DUMMY10-1\\\\admin",
    "LogonGuid": "{de2dee9a-8d8d-6138-3c16-120000000000}",
    "LogonId": "0x12163c",
    "TerminalSessionId": "1",
    "IntegrityLevel": "AppContainer",
    "Hashes": "SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F",
    "ParentProcessGuid": "{de2dee9a-8a98-6138-0d00-000000001100}",
    "ParentProcessId": "924",
    "ParentImage": "C:\\\\Windows\\\\System32\\\\svchost.exe",
    "ParentCommandLine": "C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "EventReceivedTime": 1611175286,
    "SourceModuleName": "windows_sysmon_eventlog",
    "SourceModuleType": "im_msvistalog"
  }
  

• XML:

  <Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
    <System>
      <Provider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/>
      <EventID>7</EventID>
      <Version>3</Version>
      <Level>4</Level>
      <Task>7</Task>
      <Opcode>0</Opcode>
      <Keywords>0x8000000000000000</Keywords>
      <TimeCreated SystemTime='2024-11-14T15:41:55.9275040Z'/>
      <EventRecordID>15560430</EventRecordID>
      <Correlation/>
      <Execution ProcessID='2124' ThreadID='6004'/>
      <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
      <Computer>testcomputer.example.org</Computer>
      <Security UserID='S-1-5-18'/>
    </System>
    <EventData>
      <Data Name='RuleName'>technique_id=T1047,technique_name=Windows Management Instrumentation</Data>
      <Data Name='UtcTime'>2024-11-14 15:41:55.918</Data>
      <Data Name='ProcessGuid'>{de61df1c-1a43-6736-a863-00000000ad00}</Data>
      <Data Name='ProcessId'>20728</Data>
      <Data Name='Image'>C:\\Program Files\\SourceFile\\SourceFile.exe</Data>
      <Data Name='ImageLoaded'>C:\\Windows\\System32\\wbem\\imagename.dll</Data>
      <Data Name='FileVersion'>10.0.22621.3672 (WinBuild.160101.0800)</Data>
      <Data Name='Description'>WMI</Data>
      <Data Name='Product'>Microsoft® Windows® Operating System</Data>
      <Data Name='Company'>Microsoft Corporation</Data>
      <Data Name='OriginalFileName'>originalimagename.dll</Data>
      <Data Name='Hashes'>SHA1=AB20D0B71E38A3BF130100BE2F85D32F29D04697,MD5=2C6D07DCF4CDD6177B67F210019D5C61,SHA256=413CDAACD75C19725591059F70CB7F1C0C1AEAA6E1D43C70A687310859C1813F,IMPHASH=472A202488B9A8A8072E75ADE4EC1496</Data>
      <Data Name='Signed'>true</Data>
      <Data Name='Signature'>Microsoft Windows</Data>
      <Data Name='SignatureStatus'>Valid</Data>
      <Data Name='User'>Test\\TestUser</Data>
    </EventData>
  </Event>
  

Referencia de la asignación de campos: campos de eventos de dispositivo a campos de UDM

En esta sección se describe cómo asigna el analizador los campos de registro del dispositivo original a los campos del modelo de datos unificado (UDM). La asignación de campos puede variar según el ID de evento.

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla se enumeran los WINDOWS_SYSMON tipos de registros y sus tipos de eventos de UDM correspondientes.

Referencia de asignación de campos: WINDOWS_SYSMON

En la siguiente tabla se enumeran los campos de registro del tipo de registro WINDOWS_SYSMON y sus campos de UDM correspondientes.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.