Microsoft LAPS-Protokolle erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Windows LAPS-Logs (Local Administrator Password Solution) mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Windows LAPS verwaltet Passwörter für lokale Administratorkonten auf Geräten, die mit einer Domain verbunden sind, und generiert Ereignisprotokolleinträge für die Passwortrotation, die Richtlinienverarbeitung und Verwaltungsvorgänge. Der Parser extrahiert Felder aus dem XML-Format des Windows-Ereignisprotokolls und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher mit installiertem Bindplane-Agent
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Windows LAPS ist in Ihrer Umgebung konfiguriert und bereitgestellt.

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.

  4. Speichern Sie die Datei sicher auf dem System, auf dem der BindPlane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING (Wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent zum Erfassen des Windows-Ereignisprotokolls und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Verwenden Sie die folgende Syntax, um die Konfigurationsdatei zu finden:

      notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    windowseventlog/laps_operational:
        channel: Microsoft-Windows-LAPS/Operational
        max_reads: 100
        poll_interval: 5s
        raw: true
        start_at: end

processors:
    batch:

exporters:
    chronicle/laps:
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_LAPS
        override_log_type: false
        raw_log_field: body

service:
    pipelines:
        logs/laps:
            receivers:
                - windowseventlog/laps_operational
            processors: [batch]
            exporters: [chronicle/laps]

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • channel: Windows-Ereignislog-Channel, aus dem gelesen werden soll (Microsoft-Windows-LAPS/Operational)
    • max_reads: Maximale Anzahl der Logeinträge, die pro Abfragezyklus gelesen werden sollen
    • poll_interval: Wie oft nach neuen Ereignissen gesucht werden soll
    • start_at: Wo mit dem Lesen begonnen werden soll (end für neue Ereignisse)

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme (C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)
    • customer_id: Kunden-ID, die aus der Google SecOps Console kopiert wurde
    • endpoint: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector

  • Services-Konsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.

    3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

      sc query observiq-otel-collector

    5. Logs auf Fehler prüfen:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Microsoft Windows LAPS konfigurieren

  1. Geben Sie eventvwr.msc in einer Eingabeaufforderung mit erhöhten Rechten ein und drücken Sie die Eingabetaste, um die Ereignisanzeige zu öffnen.
  2. Gehen Sie zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > LAPS.
  3. Maximieren Sie LAPS.
  4. Klicken Sie mit der rechten Maustaste auf LAPS und dann auf Eigenschaften.
  5. Klicken Sie das Kästchen Logging aktivieren an.
  6. Klicken Sie auf OK, wenn Sie gefragt werden, ob das Log aktiviert ist.
  7. Klicken Sie auf OK.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Kanal read_only_udm.additional.fields.key Der Wert wird aus dem Feld Channel im Rohlog übernommen und dem Feld key zugewiesen.
Kanal read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld Channel im Rohlog übernommen und dem Feld string_value zugewiesen.
Computer read_only_udm.principal.hostname Der Wert wird aus dem Feld Computer im Rohlog übernommen.
Computer read_only_udm.principal.asset.hostname Der Wert wird aus dem Feld Computer im Rohlog übernommen.
EventData.%1 read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld EventData.%1 im Rohlog übernommen und dem Feld string_value zugewiesen.
EventId read_only_udm.metadata.product_event_type Der Wert wird aus dem Feld EventId im Rohlog übernommen.
EventId read_only_udm.security_result.rule_name Der Wert wird aus dem Feld EventId im Rohlog übernommen und an EventID: angehängt.
EventRecordID read_only_udm.metadata.product_log_id Der Wert wird aus dem Feld EventRecordID im Rohlog übernommen.
Keywords read_only_udm.additional.fields.key Der Wert wird aus dem Feld Keywords im Rohlog übernommen und dem Feld key zugewiesen.
Keywords read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld Keywords im Rohlog übernommen und dem Feld string_value zugewiesen.
Level read_only_udm.security_result.severity Der Wert wird aus dem Feld Level im Rohlog übernommen und den folgenden Werten zugeordnet: INFORMATIONAL für INFO, Informational, Information, Normal, NOTICE; ERROR für ERROR, Error; CRITICAL für Critical.
Opcode read_only_udm.additional.fields.key Der Wert wird aus dem Feld Opcode im Rohlog übernommen und dem Feld key zugewiesen.
Opcode read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld Opcode im Rohlog übernommen und dem Feld string_value zugewiesen.
ProcessID read_only_udm.principal.process.pid Der Wert wird aus dem Feld ProcessID im Rohlog übernommen.
ProviderName read_only_udm.metadata.product_name Der Wert wird aus dem Feld ProviderName im Rohlog übernommen.
Aufgabe read_only_udm.additional.fields.key Der Wert wird aus dem Feld Task im Rohlog übernommen und dem Feld key zugewiesen.
Aufgabe read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld Task im Rohlog übernommen und dem Feld string_value zugewiesen.
ThreadID read_only_udm.additional.fields.key Der Wert wird aus dem Feld ThreadID im Rohlog übernommen und dem Feld key zugewiesen.
ThreadID read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld ThreadID im Rohlog übernommen und dem Feld string_value zugewiesen.
TimeCreated read_only_udm.metadata.event_timestamp Der Wert wird aus dem Feld TimeCreated im Rohlog übernommen und als UNIX_MS-Zeitstempel geparst.
TimeCreated events.timestamp Der Wert wird aus dem Feld TimeCreated im Rohlog übernommen und als UNIX_MS-Zeitstempel geparst.
Version read_only_udm.additional.fields.key Der Wert wird aus dem Feld Version im Rohlog übernommen und dem Feld key zugewiesen.
Version read_only_udm.additional.fields.value.string_value Der Wert wird aus dem Feld Version im Rohlog übernommen und dem Feld string_value zugewiesen.
read_only_udm.additional.fields.key Der Wert EventData_P1 wurde zugewiesen.
read_only_udm.metadata.event_type Bedingt zugewiesen STATUS_UNCATEGORIZED, wenn EventId 7 oder 2 ist, andernfalls GENERIC_EVENT.
read_only_udm.metadata.vendor_name Der Wert Microsoft wurde zugewiesen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten