Recolha registos do Sysmon do Microsoft Windows

Este documento:

• descreve a arquitetura de implementação e os passos de instalação, além de qualquer configuração necessária que produza registos suportados pelo analisador do Google Security Operations para eventos do Microsoft Windows Sysmon. Para uma vista geral da carregamento de dados do Google Security Operations, consulte o artigo Carregamento de dados para o Google Security Operations.
• Inclui informações sobre como o analisador mapeia os campos no registo original para os campos do modelo de dados unificado do Google Security Operations.

As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento WINDOWS_SYSMON. A etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado.

Antes de começar

Reveja a arquitetura de implementação recomendada

Este diagrama representa os componentes principais recomendados numa arquitetura de implementação para recolher e enviar dados do Microsoft Windows Sysmon para o Google Security Operations. Compare estas informações com o seu ambiente para se certificar de que estes componentes estão instalados. Cada implementação do cliente difere desta representação e pode ser mais complexa. É necessário o seguinte:

• Os sistemas na arquitetura de implementação estão configurados com o fuso horário UTC.
• O Sysmon está instalado em servidores, pontos finais e controladores de domínio.
• O servidor Microsoft Windows do coletor recebe registos de servidores, pontos finais e controladores de domínio.

• Os sistemas Microsoft Windows na arquitetura de implementação usam:

  • Subscrições iniciadas pela origem para recolher eventos em vários dispositivos.
  • Serviço WinRM para gestão remota do sistema.

• O NXLog está instalado no servidor Windows do coletor para encaminhar registos para o encaminhador do Google Security Operations.

• O encaminhador do Google Security Operations está instalado num servidor central do Microsoft Windows ou num servidor Linux.

  

Reveja os dispositivos e as versões suportados

O analisador do Google Security Operations suporta registos gerados pelas seguintes versões do servidor Microsoft Windows. O Microsoft Windows Server é lançado com as seguintes edições: Foundation, Essentials, Standard e Datacenter. O esquema de eventos dos registos gerados por cada edição não difere.

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

O analisador do Google Security Operations suporta registos gerados por:

• Sistemas de cliente Microsoft Windows 7 e superior
• Sysmon versão 13.24.

O analisador do Google Security Operations suporta registos recolhidos pela NXLog Community ou pela Enterprise Edition.

Reveja os tipos de registos suportados

O analisador do Google Security Operations suporta os seguintes tipos de registos gerados pelo Microsoft Windows Sysmon. Para mais informações sobre estes tipos de registos, consulte a documentação do Microsoft Windows Sysmon. Suporta registos gerados com texto em inglês e não é suportado com registos gerados em idiomas que não o inglês.

Tipo de registo	Descrição
Registos do Sysmon	O canal Sysmon contém 27 IDs de eventos. (Event Id: 1 a 26 e 255). Para uma descrição deste tipo de registo, consulte a documentação de eventos do Sysmon do Microsoft Windows

Configure servidores, pontos finais e controladores de domínio do Microsoft Windows

1. Instale e configure os servidores, os pontos finais e os controladores de domínio. Para mais informações, consulte a documentação de configuração do Sysmon do Microsoft Windows.
2. Configure um servidor Microsoft Windows de recolha para analisar os registos recolhidos de vários sistemas.
3. Configure o servidor central Microsoft Windows ou Linux
4. Configure todos os sistemas com o fuso horário UTC.
5. Configure os dispositivos para encaminharem registos para o servidor Microsoft Windows do coletor.
   • Configure subscrições iniciadas pela origem em sistemas Microsoft Windows. Para mais informações, consulte o artigo Configurar uma subscrição iniciada pela origem.
   • Ative o WinRM em servidores e clientes do Microsoft Windows. Para mais informações, consulte o artigo Instalação e configuração da gestão remota do Microsoft Windows.

Configure o agente do Bindplane

Recolha os registos do Windows Sysmon através do agente Bindplane. Após a instalação, o serviço do agente Bindplane é apresentado como o serviço observerIQ na lista de serviços do Windows.

1. Instale o agente do Bindplane num servidor Windows que execute o coletor: Para mais informações sobre a instalação do agente do Bindplane, consulte as instruções de instalação do agente do Bindplane.

2. Crie um ficheiro de configuração para o agente Bindplane com o seguinte conteúdo.

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. Substitua PRIVATE_KEY_ID, PRIVATE_KEY SERVICSERVICE_ACCOUNT_NAME,PROJECT_ID, CLIENT_ID e CUSTOMER_ID pelos respetivos valores do ficheiro JSON da conta de serviço, que pode transferir da Google Cloud plataforma. Para mais informações sobre chaves de contas de serviço, consulte a documentação sobre como criar e eliminar chaves de contas de serviço.

4. Para iniciar o serviço do agente observerIQ, selecione Serviços > Expandido > o serviço observerIQ > iniciar.

Configure o NXLog e o encaminhador do Google Security Operations

1. Instale o NXLog no coletor que está a ser executado num servidor Windows. Siga a documentação do NXLog, incluindo informações sobre como configurar o NXLog para recolher registos do Sysmon.

2. Crie um ficheiro de configuração para o NXLog. Use o módulo de entrada im_msvistalog. Segue-se um exemplo de configuração do NXLog. Substitua os valores HOSTNAME e PORT por informações sobre o servidor central Microsoft Windows ou Linux de destino. Para mais informações, consulte a documentação do NXLog acerca do módulo om_tcp.

   define ROOT     C:\Program Files\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define SYSMON_OUTPUT_DESTINATION_PORT PORT
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. Instale o encaminhador do Google Security Operations no servidor central Microsoft Windows ou Linux. Consulte o artigo Instalar e configurar o encaminhador no Linux ou Instalar e configurar o encaminhador no Microsoft Windows para ver informações sobre a instalação e a configuração do encaminhador.

4. Configure o encaminhador do Google Security Operations para enviar registos para o Google Security Operations. Segue-se um exemplo de configuração do encaminhador.

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. Inicie o serviço NXLog.

Formatos de registos do Sysmon do Windows suportados

O analisador do Windows Sysmon suporta registos nos formatos JSON e XML.

Registos de exemplo do Windows Sysmon suportados

• JSON:

  {
    "EventTime": 1611175283,
    "Hostname": "dummy10-1.user12.local",
    "Keywords": -9223372036854775808,
    "EventType": "INFO",
    "SeverityValue": 2,
    "Severity": "INFO",
    "EventID": 1,
    "SourceName": "Microsoft-Windows-Sysmon",
    "ProviderGuid": "{5770385F-C22A-43E0-BF4C-06F5698FFBD9}",
    "Version": 5,
    "Task": 1,
    "OpcodeValue": 0,
    "RecordNumber": 8846,
    "ProcessID": 1184,
    "ThreadID": 2568,
    "Channel": "Microsoft-Windows-Sysmon/Operational",
    "Domain": "NT AUTHORITY",
    "AccountName": "SYSTEM",
    "UserID": "S-1-2-3",
    "AccountType": "User",
    "Message": "Process Create:\\r\\nRuleName: -\\r\\nUtcTime: 2021-09-13 06:34:03.015\\r\\nProcessGuid: {de2dee9a-f0db-613e-7017-000000001100}\\r\\nProcessId: 5440\\r\\nImage: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\r\\nFileVersion: -\\r\\nDescription: -\\r\\nProduct: -\\r\\nCompany: -\\r\\nOriginalFileName: -\\r\\nCommandLine: \\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca\\r\\nCurrentDirectory: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\\\r\\nUser: DUMMY10-1\\\\admin\\r\\nLogonGuid: {de2dee9a-8d8d-6138-3c16-120000000000}\\r\\nLogonId: 0x12163C\\r\\nTerminalSessionId: 1\\r\\nIntegrityLevel: AppContainer\\r\\nHashes: SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F\\r\\nParentProcessGuid: {de2dee9a-8a98-6138-0d00-000000001100}\\r\\nParentProcessId: 924\\r\\nParentImage: C:\\\\Windows\\\\System32\\\\svchost.exe\\r\\nParentCommandLine: C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "Category": "Process Create (rule: ProcessCreate)",
    "Opcode": "Info",
    "RuleName": "-",
    "UtcTime": "2021-09-13 06:34:03.015",
    "ProcessGuid": "{de2dee9a-f0db-613e-7017-000000001100}",
    "Image": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe",
    "FileVersion": "-",
    "Description": "-",
    "Product": "-",
    "Company": "-",
    "OriginalFileName": "-",
    "CommandLine": "\\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca",
    "CurrentDirectory": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\",
    "User": "DUMMY10-1\\\\admin",
    "LogonGuid": "{de2dee9a-8d8d-6138-3c16-120000000000}",
    "LogonId": "0x12163c",
    "TerminalSessionId": "1",
    "IntegrityLevel": "AppContainer",
    "Hashes": "SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F",
    "ParentProcessGuid": "{de2dee9a-8a98-6138-0d00-000000001100}",
    "ParentProcessId": "924",
    "ParentImage": "C:\\\\Windows\\\\System32\\\\svchost.exe",
    "ParentCommandLine": "C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "EventReceivedTime": 1611175286,
    "SourceModuleName": "windows_sysmon_eventlog",
    "SourceModuleType": "im_msvistalog"
  }
  

• XML:

  <Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
    <System>
      <Provider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/>
      <EventID>7</EventID>
      <Version>3</Version>
      <Level>4</Level>
      <Task>7</Task>
      <Opcode>0</Opcode>
      <Keywords>0x8000000000000000</Keywords>
      <TimeCreated SystemTime='2024-11-14T15:41:55.9275040Z'/>
      <EventRecordID>15560430</EventRecordID>
      <Correlation/>
      <Execution ProcessID='2124' ThreadID='6004'/>
      <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
      <Computer>testcomputer.example.org</Computer>
      <Security UserID='S-1-5-18'/>
    </System>
    <EventData>
      <Data Name='RuleName'>technique_id=T1047,technique_name=Windows Management Instrumentation</Data>
      <Data Name='UtcTime'>2024-11-14 15:41:55.918</Data>
      <Data Name='ProcessGuid'>{de61df1c-1a43-6736-a863-00000000ad00}</Data>
      <Data Name='ProcessId'>20728</Data>
      <Data Name='Image'>C:\\Program Files\\SourceFile\\SourceFile.exe</Data>
      <Data Name='ImageLoaded'>C:\\Windows\\System32\\wbem\\imagename.dll</Data>
      <Data Name='FileVersion'>10.0.22621.3672 (WinBuild.160101.0800)</Data>
      <Data Name='Description'>WMI</Data>
      <Data Name='Product'>Microsoft® Windows® Operating System</Data>
      <Data Name='Company'>Microsoft Corporation</Data>
      <Data Name='OriginalFileName'>originalimagename.dll</Data>
      <Data Name='Hashes'>SHA1=AB20D0B71E38A3BF130100BE2F85D32F29D04697,MD5=2C6D07DCF4CDD6177B67F210019D5C61,SHA256=413CDAACD75C19725591059F70CB7F1C0C1AEAA6E1D43C70A687310859C1813F,IMPHASH=472A202488B9A8A8072E75ADE4EC1496</Data>
      <Data Name='Signed'>true</Data>
      <Data Name='Signature'>Microsoft Windows</Data>
      <Data Name='SignatureStatus'>Valid</Data>
      <Data Name='User'>Test\\TestUser</Data>
    </EventData>
  </Event>
  

Referência de mapeamento de campos: campos de eventos de dispositivos para campos da UDM

Esta secção descreve como o analisador mapeia os campos de registo do dispositivo original para os campos do modelo de dados unificado (UDM). O mapeamento de campos pode diferir consoante o ID do evento.

Referência de mapeamento de campos: identificador do evento para tipo de evento

A tabela seguinte apresenta os WINDOWS_SYSMON tipos de registos e os respetivos tipos de eventos da UDM.

Referência de mapeamento de campos: WINDOWS_SYSMON

A tabela seguinte apresenta os campos de registo do WINDOWS_SYSMON tipo de registo e os respetivos campos UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.