Collecter les journaux Sysmon de Microsoft Windows

Ce document :

• décrit l'architecture de déploiement et les étapes d'installation, ainsi que toute configuration requise pour générer des journaux compatibles avec l'analyseur Google Security Operations pour les événements Microsoft Windows Sysmon. Pour en savoir plus sur l'ingestion de données dans Google Security Operations, consultez Ingestion de données dans Google Security Operations.
• inclut des informations sur la façon dont l'analyseur mappe les champs du journal d'origine aux champs du modèle de données unifié Google Security Operations.

Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion WINDOWS_SYSMON. Le libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré.

Avant de commencer

Examiner l'architecture de déploiement recommandée

Ce schéma représente les composants de base recommandés dans une architecture de déploiement pour collecter et envoyer des données Microsoft Windows Sysmon à Google Security Operations. Comparez ces informations à votre environnement pour vous assurer que ces composants sont installés. Le déploiement de chaque client sera différent de cette représentation et pourra être plus complexe. Les éléments suivants sont obligatoires :

• Les systèmes de l'architecture de déploiement sont configurés avec le fuseau horaire UTC.
• Sysmon est installé sur les serveurs, les points de terminaison et les contrôleurs de domaine.
• Le collecteur de serveur Microsoft Windows reçoit les journaux des serveurs, des points de terminaison et des contrôleurs de domaine.

• Les systèmes Microsoft Windows de l'architecture de déploiement utilisent :

  • Abonnements initiés par la source pour collecter des événements sur plusieurs appareils.
  • Service WinRM pour la gestion de systèmes à distance.

• NXLog est installé sur le serveur Windows du collecteur pour transférer les journaux vers le transmetteur Google Security Operations.

• Le redirecteur Google Security Operations est installé sur un serveur Microsoft Windows ou Linux central.

  

Vérifier les appareils et versions compatibles

L'analyseur Google Security Operations est compatible avec les journaux générés par les versions suivantes du serveur Microsoft Windows. Microsoft Windows Server est disponible dans les éditions suivantes : Foundation, Essentials, Standard et Datacenter. Le schéma d'événement des journaux générés par chaque édition ne diffère pas.

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

L'analyseur Google Security Operations est compatible avec les journaux générés par :

• Systèmes clients Microsoft Windows 7 et versions ultérieures
• Sysmon version 13.24.

L'analyseur Google Security Operations est compatible avec les journaux collectés par NXLog Community ou Enterprise Edition.

Examiner les types de journaux compatibles

L'analyseur Google Security Operations est compatible avec les types de journaux suivants générés par Microsoft Windows Sysmon. Pour en savoir plus sur ces types de journaux, consultez la documentation Microsoft Windows Sysmon. Il est compatible avec les journaux générés avec du texte en anglais, mais pas avec ceux générés dans d'autres langues.

Type de journal	Description
Journaux Sysmon	Le canal Sysmon contient 27 ID d'événement. (ID d'événement : de 1 à 26 et 255). Pour obtenir une description de ce type de journal, consultez la documentation sur les événements Sysmon de Microsoft Windows.

Configurer les serveurs, les points de terminaison et les contrôleurs de domaine Microsoft Windows

1. Installez et configurez les serveurs, les points de terminaison et les contrôleurs de domaine. Pour en savoir plus, consultez la documentation sur la configuration de Microsoft Windows Sysmon.
2. Configurez un serveur Microsoft Windows de collecte pour analyser les journaux collectés à partir de plusieurs systèmes.
3. Configurer le serveur central Microsoft Windows ou Linux
4. Configurez tous les systèmes avec le fuseau horaire UTC.
5. Configurez les appareils pour qu'ils transfèrent les journaux vers le serveur Microsoft Windows du collecteur.
   • Configurez les abonnements initiés par la source sur les systèmes Microsoft Windows. Pour en savoir plus, consultez Configurer un abonnement initié par la source.
   • Activez WinRM sur les serveurs et clients Microsoft Windows. Pour en savoir plus, consultez Installation et configuration de la gestion à distance Microsoft Windows.

Configurer l'agent Bindplane

Collectez les journaux Windows Sysmon à l'aide de l'agent Bindplane. Après l'installation, le service Bindplane Agent apparaît sous le nom de service observerIQ dans la liste des services Windows.

1. Installez l'agent Bindplane sur un serveur Windows exécutant le collecteur : Pour en savoir plus sur l'installation de l'agent Bindplane, consultez les instructions d'installation de l'agent Bindplane.

2. Créez un fichier de configuration pour l'agent Bindplane avec le contenu suivant.

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. Remplacez PRIVATE_KEY_ID, PRIVATE_KEY, SERVICSERVICE_ACCOUNT_NAME, PROJECT_ID, CLIENT_ID et CUSTOMER_ID par les valeurs correspondantes du fichier JSON du compte de service que vous pouvez télécharger depuis la plate-forme Google Cloud . Pour en savoir plus sur les clés de compte de service, consultez la documentation sur la création et la suppression de clés de compte de service.

4. Pour démarrer le service de l'agent observerIQ, sélectionnez Services > Extended > le service observerIQ > start.

Configurer le transmetteur NXLog et Google Security Operations

1. Installez NXLog sur le collecteur qui s'exécute sur un serveur Windows. Suivez la documentation NXLog, y compris les informations sur la configuration de NXLog pour collecter les journaux de Sysmon.

2. Créez un fichier de configuration pour NXLog. Utilisez le module d'entrée im_msvistalog. Voici un exemple de configuration NXLog. Remplacez les valeurs HOSTNAME et PORT par des informations sur le serveur Microsoft Windows ou Linux central de destination. Pour en savoir plus, consultez la documentation NXLog sur le module om_tcp.

   define ROOT     C:\Program Files\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define SYSMON_OUTPUT_DESTINATION_PORT PORT
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. Installez le redirecteur Google Security Operations sur le serveur Microsoft Windows ou Linux central. Pour en savoir plus sur l'installation et la configuration du transmetteur, consultez Installer et configurer le transmetteur sur Linux ou Installer et configurer le transmetteur sur Microsoft Windows.

4. Configurez le redirecteur Google Security Operations pour envoyer les journaux à Google Security Operations. Voici un exemple de configuration de redirecteur.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. Démarrez le service NXLog.

Formats de journaux Windows Sysmon acceptés

L'analyseur Windows Sysmon est compatible avec les journaux aux formats JSON et XML.

Exemples de journaux Windows Sysmon compatibles

• JSON :

  {
    "EventTime": 1611175283,
    "Hostname": "dummy10-1.user12.local",
    "Keywords": -9223372036854775808,
    "EventType": "INFO",
    "SeverityValue": 2,
    "Severity": "INFO",
    "EventID": 1,
    "SourceName": "Microsoft-Windows-Sysmon",
    "ProviderGuid": "{5770385F-C22A-43E0-BF4C-06F5698FFBD9}",
    "Version": 5,
    "Task": 1,
    "OpcodeValue": 0,
    "RecordNumber": 8846,
    "ProcessID": 1184,
    "ThreadID": 2568,
    "Channel": "Microsoft-Windows-Sysmon/Operational",
    "Domain": "NT AUTHORITY",
    "AccountName": "SYSTEM",
    "UserID": "S-1-2-3",
    "AccountType": "User",
    "Message": "Process Create:\\r\\nRuleName: -\\r\\nUtcTime: 2021-09-13 06:34:03.015\\r\\nProcessGuid: {de2dee9a-f0db-613e-7017-000000001100}\\r\\nProcessId: 5440\\r\\nImage: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\r\\nFileVersion: -\\r\\nDescription: -\\r\\nProduct: -\\r\\nCompany: -\\r\\nOriginalFileName: -\\r\\nCommandLine: \\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca\\r\\nCurrentDirectory: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\\\r\\nUser: DUMMY10-1\\\\admin\\r\\nLogonGuid: {de2dee9a-8d8d-6138-3c16-120000000000}\\r\\nLogonId: 0x12163C\\r\\nTerminalSessionId: 1\\r\\nIntegrityLevel: AppContainer\\r\\nHashes: SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F\\r\\nParentProcessGuid: {de2dee9a-8a98-6138-0d00-000000001100}\\r\\nParentProcessId: 924\\r\\nParentImage: C:\\\\Windows\\\\System32\\\\svchost.exe\\r\\nParentCommandLine: C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "Category": "Process Create (rule: ProcessCreate)",
    "Opcode": "Info",
    "RuleName": "-",
    "UtcTime": "2021-09-13 06:34:03.015",
    "ProcessGuid": "{de2dee9a-f0db-613e-7017-000000001100}",
    "Image": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe",
    "FileVersion": "-",
    "Description": "-",
    "Product": "-",
    "Company": "-",
    "OriginalFileName": "-",
    "CommandLine": "\\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca",
    "CurrentDirectory": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\",
    "User": "DUMMY10-1\\\\admin",
    "LogonGuid": "{de2dee9a-8d8d-6138-3c16-120000000000}",
    "LogonId": "0x12163c",
    "TerminalSessionId": "1",
    "IntegrityLevel": "AppContainer",
    "Hashes": "SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F",
    "ParentProcessGuid": "{de2dee9a-8a98-6138-0d00-000000001100}",
    "ParentProcessId": "924",
    "ParentImage": "C:\\\\Windows\\\\System32\\\\svchost.exe",
    "ParentCommandLine": "C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "EventReceivedTime": 1611175286,
    "SourceModuleName": "windows_sysmon_eventlog",
    "SourceModuleType": "im_msvistalog"
  }
  

• XML :

  <Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
    <System>
      <Provider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/>
      <EventID>7</EventID>
      <Version>3</Version>
      <Level>4</Level>
      <Task>7</Task>
      <Opcode>0</Opcode>
      <Keywords>0x8000000000000000</Keywords>
      <TimeCreated SystemTime='2024-11-14T15:41:55.9275040Z'/>
      <EventRecordID>15560430</EventRecordID>
      <Correlation/>
      <Execution ProcessID='2124' ThreadID='6004'/>
      <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
      <Computer>testcomputer.example.org</Computer>
      <Security UserID='S-1-5-18'/>
    </System>
    <EventData>
      <Data Name='RuleName'>technique_id=T1047,technique_name=Windows Management Instrumentation</Data>
      <Data Name='UtcTime'>2024-11-14 15:41:55.918</Data>
      <Data Name='ProcessGuid'>{de61df1c-1a43-6736-a863-00000000ad00}</Data>
      <Data Name='ProcessId'>20728</Data>
      <Data Name='Image'>C:\\Program Files\\SourceFile\\SourceFile.exe</Data>
      <Data Name='ImageLoaded'>C:\\Windows\\System32\\wbem\\imagename.dll</Data>
      <Data Name='FileVersion'>10.0.22621.3672 (WinBuild.160101.0800)</Data>
      <Data Name='Description'>WMI</Data>
      <Data Name='Product'>Microsoft® Windows® Operating System</Data>
      <Data Name='Company'>Microsoft Corporation</Data>
      <Data Name='OriginalFileName'>originalimagename.dll</Data>
      <Data Name='Hashes'>SHA1=AB20D0B71E38A3BF130100BE2F85D32F29D04697,MD5=2C6D07DCF4CDD6177B67F210019D5C61,SHA256=413CDAACD75C19725591059F70CB7F1C0C1AEAA6E1D43C70A687310859C1813F,IMPHASH=472A202488B9A8A8072E75ADE4EC1496</Data>
      <Data Name='Signed'>true</Data>
      <Data Name='Signature'>Microsoft Windows</Data>
      <Data Name='SignatureStatus'>Valid</Data>
      <Data Name='User'>Test\\TestUser</Data>
    </EventData>
  </Event>
  

Documentation de référence sur le mappage de champs : champs d'événements liés à l'appareil vers champs UDM

Cette section décrit comment l'analyseur mappe les champs de journaux d'appareils d'origine aux champs UDM (Unified Data Model). Le mappage des champs peut varier en fonction de l'ID de l'événement.

Référence du mappage des champs : identifiant d'événement vers type d'événement

Le tableau suivant liste les types de journaux WINDOWS_SYSMON et les types d'événements UDM correspondants.

Référence de mappage de champ : WINDOWS_SYSMON

Le tableau suivant liste les champs de journaux du type de journal WINDOWS_SYSMON et les champs UDM correspondants.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.