收集 Microsoft Windows 系統監視器記錄

這份文件：

• 說明部署架構和安裝步驟，以及產生 Google Security Operations Parser 支援記錄檔的必要設定，以供 Microsoft Windows 系統監視器 (Sysmon) 事件使用。如要瞭解如何擷取 Google Security Operations 資料，請參閱「將資料擷取至 Google Security Operations」。
• 包含剖析器如何將原始記錄中的欄位對應至 Google Security Operations Unified Data Model 欄位的相關資訊。

本文中的資訊適用於具有 WINDOWS_SYSMON 攝取標籤的剖析器。擷取標籤會識別哪個剖析器將原始記錄資料正規化為具結構性的 UDM 格式。

事前準備

查看建議的部署架構

這張圖顯示部署架構中建議的核心元件，用於收集 Microsoft Windows Sysmon 資料並傳送至 Google Security Operations。請比對這項資訊與您的環境，確認已安裝這些元件。每個客戶的部署作業都會與此表示法不同，而且可能更複雜。必備項目如下：

• 部署架構中的系統已設定為世界標準時間時區。
• 在伺服器、端點和網域控制站上安裝 Sysmon。
• 收集器 Microsoft Windows 伺服器會接收來自伺服器、端點和網域控制器的記錄。

• 部署架構中的 Microsoft Windows 系統使用：

  • 來源啟動的訂閱項目，可收集多個裝置的事件。
  • 用於遠端系統管理的 WinRM 服務。

• 在收集器 Windows 伺服器上安裝 NXLog，將記錄轉送至 Google Security Operations 轉送器。

• Google Security Operations 轉寄站安裝在中央 Microsoft Windows 伺服器或 Linux 伺服器上。

  

查看支援的裝置和版本

Google Security Operations 剖析器支援下列 Microsoft Windows 伺服器版本產生的記錄。Microsoft Windows Server 發布了下列版本：Foundation、Essentials、Standard 和 Datacenter。各版本產生的記錄檔事件結構相同。

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

Google Security Operations 剖析器支援下列來源產生的記錄：

• Microsoft Windows 7 以上版本的用戶端系統
• Sysmon 13.24 版。

Google Security Operations 剖析器支援 NXLog Community 或 Enterprise Edition 收集的記錄。

查看支援的記錄類型

Google Security Operations 剖析器支援 Microsoft Windows Sysmon 產生的下列記錄類型。如要進一步瞭解這些記錄類型，請參閱 Microsoft Windows Sysmon 說明文件。這項功能支援以英文文字產生的記錄，但不支援以非英文語言產生的記錄。

記錄類型	說明
Sysmon 記錄	Sysmon 管道包含 27 個事件 ID。(活動 ID：1 到 26，以及 255)。 如要瞭解這類記錄，請參閱 Microsoft Windows Sysmon Events 說明文件

設定 Microsoft Windows 伺服器、端點和網域控制站

1. 安裝及設定伺服器、端點和網域控制站。 詳情請參閱 Microsoft Windows Sysmon 設定說明文件。
2. 設定 Microsoft Windows 伺服器做為收集器，剖析從多個系統收集的記錄。
3. 設定中央 Microsoft Windows 或 Linux 伺服器
4. 將所有系統設定為世界標準時間時區。
5. 設定裝置，將記錄轉寄至收集器 Microsoft Windows 伺服器。
   • 在 Microsoft Windows 系統上設定來源啟動訂閱項目。詳情請參閱「設定來源啟動型訂閱」。
   • 在 Microsoft Windows 伺服器和用戶端上啟用 WinRM。詳情請參閱「Microsoft Windows 遠端管理安裝與設定」。

設定 Bindplane 代理程式

使用 Bindplane 代理程式收集 Windows Sysmon 記錄。 安裝完成後，Bindplane Agent 服務會以 observerIQ 服務的形式顯示在 Windows 服務清單中。

1. 在執行收集器的 Windows 伺服器上安裝 Bindplane 代理程式： 如要進一步瞭解如何安裝 Bindplane 代理程式，請參閱 Bindplane 代理程式安裝說明。

2. 建立 Bindplane 代理程式的設定檔，並加入以下內容。

   receivers:
     windowseventlog/sysmon:
       channel: Microsoft-Windows-Sysmon/Operational
       raw: true
   processors:
     batch:
   
   exporters:
     chronicle/winsysmon:
       endpoint: https://malachiteingestion-pa.googleapis.com
       creds: '{
       "type": "service_account",
       "project_id": "malachite-projectname",
       "private_key_id": `PRIVATE_KEY_ID`,
       "private_key": `PRIVATE_KEY`,
       "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "client_id": `CLIENT_ID`,
       "auth_uri": "https://accounts.google.com/o/oauth2/auth",
       "token_uri": "https://oauth2.googleapis.com/token",
       "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
       "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.iam.gserviceaccount.com",
       "universe_domain": "googleapis.com"
       }'
     log_type: 'WINDOWS_SYSMON'
     override_log_type: false
     raw_log_field: body
     customer_id: `CUSTOMER_ID`
   
   service:
     pipelines:
       logs/winsysmon:
         receivers:
           - windowseventlog/sysmon
         processors: [batch]
         exporters: [chronicle/winsysmon]
   

3. 將 PRIVATE_KEY_ID、PRIVATE_KEY、SERVICSERVICE_ACCOUNT_NAME、PROJECT_ID、CLIENT_ID 和 CUSTOMER_ID 替換為服務帳戶 JSON 檔案中的相應值，您可以從 Google Cloud 平台下載該檔案。如要進一步瞭解服務帳戶金鑰，請參閱「建立及刪除服務帳戶金鑰」說明文件。

4. 如要啟動 observerIQ 代理程式服務，請依序選取「Services」>「Extended」>「the observerIQ Service」>「start」。

設定 NXLog 和 Google Security Operations 轉送器

1. 在 Windows 伺服器上執行的收集器中安裝 NXLog。 請參閱 NXLog 說明文件，包括如何設定 NXLog 來收集 Sysmon 記錄。

2. 建立 NXLog 的設定檔。使用 im_msvistalog 輸入模組。以下是 NXLog 設定範例。 將 HOSTNAME 和 PORT 值替換為目的地中央 Microsoft Windows 或 Linux 伺服器的相關資訊。詳情請參閱 NXLog 說明文件中的 om_tcp 模組。

   define ROOT     C:\Program Files\nxlog
   define SYSMON_OUTPUT_DESTINATION_ADDRESS HOSTNAME
   define SYSMON_OUTPUT_DESTINATION_PORT PORT
   define CERTDIR  %ROOT%\cert
   define CONFDIR  %ROOT%\conf
   define LOGDIR   %ROOT%\data
   define LOGFILE  %LOGDIR%\nxlog.log
   LogFile %LOGFILE%
   
   Moduledir %ROOT%\modules
   CacheDir  %ROOT%\data
   Pidfile   %ROOT%\data\nxlog.pid
   SpoolDir  %ROOT%\data
   
   <Extension _json>
       Module      xm_json
   </Extension>
   
   <Input windows_sysmon_eventlog>
       Module  im_msvistalog
       <QueryXML>
           <QueryList>
               <Query Id="0">
                   <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
               </Query>
           </QueryList>
       </QueryXML>
       ReadFromLast  False
       SavePos  False
   </Input>
   
   <Output out_chronicle_sysmon>
       Module      om_tcp
       Host        %SYSMON_OUTPUT_DESTINATION_ADDRESS%
       Port        %SYSMON_OUTPUT_DESTINATION_PORT%
       Exec        $EventTime = integer($EventTime) / 1000;
       Exec        $EventReceivedTime = integer($EventReceivedTime) / 1000;
       Exec        to_json();
   </Output>
   
   <Route r2>
       Path    windows_sysmon_eventlog => out_chronicle_sysmon
   </Route>
   

3. 在中央 Microsoft Windows 或 Linux 伺服器上安裝 Google Security Operations 轉寄站。 如要瞭解如何安裝及設定轉寄站，請參閱「在 Linux 上安裝及設定轉寄站」或「在 Microsoft Windows 上安裝及設定轉寄站」。

4. 設定 Google Security Operations 轉送器，將記錄傳送至 Google Security Operations。 以下是轉送站設定範例。

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_SYSMON
           Data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. 啟動 NXLog 服務。

支援的 Windows Sysmon 記錄格式

Windows Sysmon 剖析器支援 JSON 和 XML 格式的記錄。

支援的 Windows Sysmon 範例記錄檔

• JSON：

  {
    "EventTime": 1611175283,
    "Hostname": "dummy10-1.user12.local",
    "Keywords": -9223372036854775808,
    "EventType": "INFO",
    "SeverityValue": 2,
    "Severity": "INFO",
    "EventID": 1,
    "SourceName": "Microsoft-Windows-Sysmon",
    "ProviderGuid": "{5770385F-C22A-43E0-BF4C-06F5698FFBD9}",
    "Version": 5,
    "Task": 1,
    "OpcodeValue": 0,
    "RecordNumber": 8846,
    "ProcessID": 1184,
    "ThreadID": 2568,
    "Channel": "Microsoft-Windows-Sysmon/Operational",
    "Domain": "NT AUTHORITY",
    "AccountName": "SYSTEM",
    "UserID": "S-1-2-3",
    "AccountType": "User",
    "Message": "Process Create:\\r\\nRuleName: -\\r\\nUtcTime: 2021-09-13 06:34:03.015\\r\\nProcessGuid: {de2dee9a-f0db-613e-7017-000000001100}\\r\\nProcessId: 5440\\r\\nImage: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\r\\nFileVersion: -\\r\\nDescription: -\\r\\nProduct: -\\r\\nCompany: -\\r\\nOriginalFileName: -\\r\\nCommandLine: \\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca\\r\\nCurrentDirectory: C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\\\r\\nUser: DUMMY10-1\\\\admin\\r\\nLogonGuid: {de2dee9a-8d8d-6138-3c16-120000000000}\\r\\nLogonId: 0x12163C\\r\\nTerminalSessionId: 1\\r\\nIntegrityLevel: AppContainer\\r\\nHashes: SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F\\r\\nParentProcessGuid: {de2dee9a-8a98-6138-0d00-000000001100}\\r\\nParentProcessId: 924\\r\\nParentImage: C:\\\\Windows\\\\System32\\\\svchost.exe\\r\\nParentCommandLine: C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "Category": "Process Create (rule: ProcessCreate)",
    "Opcode": "Info",
    "RuleName": "-",
    "UtcTime": "2021-09-13 06:34:03.015",
    "ProcessGuid": "{de2dee9a-f0db-613e-7017-000000001100}",
    "Image": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe",
    "FileVersion": "-",
    "Description": "-",
    "Product": "-",
    "Company": "-",
    "OriginalFileName": "-",
    "CommandLine": "\\"C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\Calculator.exe\\" -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca",
    "CurrentDirectory": "C:\\\\Program Files\\\\WindowsApps\\\\Microsoft.WindowsCalculator_10.2103.8.0_x64__8wekyb3d8bbwe\\\\",
    "User": "DUMMY10-1\\\\admin",
    "LogonGuid": "{de2dee9a-8d8d-6138-3c16-120000000000}",
    "LogonId": "0x12163c",
    "TerminalSessionId": "1",
    "IntegrityLevel": "AppContainer",
    "Hashes": "SHA256=1BE51B1664853ACCA05B402FBB441456D0A6FA57D70BAED476434CF8F686E15F",
    "ParentProcessGuid": "{de2dee9a-8a98-6138-0d00-000000001100}",
    "ParentProcessId": "924",
    "ParentImage": "C:\\\\Windows\\\\System32\\\\svchost.exe",
    "ParentCommandLine": "C:\\\\Windows\\\\system32\\\\svchost.exe -k DcomLaunch -p",
    "EventReceivedTime": 1611175286,
    "SourceModuleName": "windows_sysmon_eventlog",
    "SourceModuleType": "im_msvistalog"
  }
  

• XML：

  <Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
    <System>
      <Provider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/>
      <EventID>7</EventID>
      <Version>3</Version>
      <Level>4</Level>
      <Task>7</Task>
      <Opcode>0</Opcode>
      <Keywords>0x8000000000000000</Keywords>
      <TimeCreated SystemTime='2024-11-14T15:41:55.9275040Z'/>
      <EventRecordID>15560430</EventRecordID>
      <Correlation/>
      <Execution ProcessID='2124' ThreadID='6004'/>
      <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
      <Computer>testcomputer.example.org</Computer>
      <Security UserID='S-1-5-18'/>
    </System>
    <EventData>
      <Data Name='RuleName'>technique_id=T1047,technique_name=Windows Management Instrumentation</Data>
      <Data Name='UtcTime'>2024-11-14 15:41:55.918</Data>
      <Data Name='ProcessGuid'>{de61df1c-1a43-6736-a863-00000000ad00}</Data>
      <Data Name='ProcessId'>20728</Data>
      <Data Name='Image'>C:\\Program Files\\SourceFile\\SourceFile.exe</Data>
      <Data Name='ImageLoaded'>C:\\Windows\\System32\\wbem\\imagename.dll</Data>
      <Data Name='FileVersion'>10.0.22621.3672 (WinBuild.160101.0800)</Data>
      <Data Name='Description'>WMI</Data>
      <Data Name='Product'>Microsoft® Windows® Operating System</Data>
      <Data Name='Company'>Microsoft Corporation</Data>
      <Data Name='OriginalFileName'>originalimagename.dll</Data>
      <Data Name='Hashes'>SHA1=AB20D0B71E38A3BF130100BE2F85D32F29D04697,MD5=2C6D07DCF4CDD6177B67F210019D5C61,SHA256=413CDAACD75C19725591059F70CB7F1C0C1AEAA6E1D43C70A687310859C1813F,IMPHASH=472A202488B9A8A8072E75ADE4EC1496</Data>
      <Data Name='Signed'>true</Data>
      <Data Name='Signature'>Microsoft Windows</Data>
      <Data Name='SignatureStatus'>Valid</Data>
      <Data Name='User'>Test\\TestUser</Data>
    </EventData>
  </Event>
  

欄位對應參考資料：裝置事件欄位對應至 UDM 欄位

本節說明剖析器如何將原始裝置記錄欄位對應至 Unified Data Model (UDM) 欄位。欄位對應可能因活動 ID 而異。

欄位對應參照：事件 ID 對應至事件類型

下表列出 WINDOWS_SYSMON 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：WINDOWS_SYSMON

下表列出 WINDOWS_SYSMON 記錄類型的記錄欄位，以及對應的 UDM 欄位。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。