Collecter les journaux Microsoft LAPS

Compatible avec :

Ce document explique comment ingérer des journaux Microsoft Windows LAPS (Local Administrator Password Solution) dans Google Security Operations à l'aide de l'agent Bindplane.

Windows LAPS gère les mots de passe des comptes d'administrateur local sur les appareils associés à un domaine et génère des entrées de journal d'événements pour la rotation des mots de passe, le traitement des règles et les opérations de gestion. L'analyseur extrait les champs du format XML du journal des événements Windows et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure avec l'agent Bindplane installé
  • Si vous exécutez le système derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Windows LAPS configuré et déployé dans votre environnement

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la Google Cloud console et sélectionnez le Google Cloud projet associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet , cliquez sur Sélectionner un rôle , puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continuer, puis sur OK.
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON , puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres , puis copiez le numéro de projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne version)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez l'ID client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    L'état du service doit être RUNNING.

Ressources d'installation supplémentaires

Pour obtenir des options d'installation supplémentaires et des informations sur la résolution des problèmes, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer le journal des événements Windows et l'envoyer à Google SecOps

Localiser le fichier de configuration

  • Utilisez la syntaxe suivante pour localiser le fichier de configuration :

      notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifier le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  windowseventlog/laps_operational:
    channel: Microsoft-Windows-LAPS/Operational
    max_reads: 100
    poll_interval: 5s
    raw: true
    start_at: end

processors:
  batch:

exporters:
  chronicle/laps:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: WINDOWS_LAPS
    override_log_type: false
    raw_log_field: body

service:
  pipelines:
    logs/laps:
      receivers:
        - windowseventlog/laps_operational
      processors: [batch]
      exporters: [chronicle/laps]

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • channel : canal du journal des événements Windows à partir duquel lire (Microsoft-Windows-LAPS/Operational)
    • max_reads : nombre maximal d'entrées de journal à lire par cycle d'interrogation
    • poll_interval : fréquence d'interrogation des nouveaux événements
    • start_at : point de départ de la lecture (end pour les nouveaux événements uniquement)

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) (C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)
    • customer_id : ID client copié à partir de la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez la section Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
    • endpoint : conservez la valeur chronicle.googleapis.com.

Exportateur de l'ancienne API Ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/laps:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: WINDOWS_LAPS
    override_log_type: false
    raw_log_field: body

Enregistrer le fichier de configuration

Cliquez sur Fichier > Enregistrer.

Redémarrer l'agent Bindplane pour appliquer les modifications

  • Invite de commande ou PowerShell en tant qu'administrateur :

    net stop observiq-otel-collector && net start observiq-otel-collector

  • Console Services :

    1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
    2. Recherchez observIQ OpenTelemetry Collector.

    3. Effectuez un clic droit, puis sélectionnez Redémarrer.

    4. Vérifiez que le service est en cours d'exécution :

      sc query observiq-otel-collector

    5. Recherchez les erreurs dans les journaux :

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer Microsoft Windows LAPS

  1. Saisissez eventvwr.msc dans une invite de commandes avec élévation de privilèges, puis appuyez sur Entrée pour ouvrir l'Observateur d'événements.
  2. Accédez à Journaux des applications et des services > Microsoft > Windows > LAPS.
  3. Développez LAPS.
  4. Effectuez un clic droit sur LAPS, puis cliquez sur Propriétés.
  5. Cochez la case Activer la journalisation.
  6. Cliquez sur OK lorsque vous êtes invité à confirmer que le journal est activé.
  7. Cliquez sur OK.

Tableau de mappage UDM

Champ du journal Mappage UDM Logique
Canal read_only_udm.additional.fields.key La valeur est extraite du champ Channel du journal brut et attribuée au champ key.
Canal read_only_udm.additional.fields.value.string_value La valeur est extraite du champ Channel du journal brut et attribuée au champ string_value.
Ordinateur read_only_udm.principal.hostname La valeur est extraite du champ Computer du journal brut.
Ordinateur read_only_udm.principal.asset.hostname La valeur est extraite du champ Computer du journal brut.
EventData.%1 read_only_udm.additional.fields.value.string_value La valeur est extraite du champ EventData.%1 du journal brut et attribuée au champ string_value.
EventId read_only_udm.metadata.product_event_type La valeur est extraite du champ EventId du journal brut.
EventId read_only_udm.security_result.rule_name La valeur est extraite du champ EventId du journal brut et ajoutée à EventID:.
EventRecordID read_only_udm.metadata.product_log_id La valeur est extraite du champ EventRecordID du journal brut.
Mots clés read_only_udm.additional.fields.key La valeur est extraite du champ Keywords du journal brut et attribuée au champ key.
Mots clés read_only_udm.additional.fields.value.string_value La valeur est extraite du champ Keywords du journal brut et attribuée au champ string_value.
Niveau read_only_udm.security_result.severity La valeur est extraite du champ Level du journal brut et mappée sur : INFORMATIONAL pour INFO, Informational, Information, Normal, NOTICE ; ERROR pour ERROR, Error ; CRITICAL pour Critical.
Opcode read_only_udm.additional.fields.key La valeur est extraite du champ Opcode du journal brut et attribuée au champ key.
Opcode read_only_udm.additional.fields.value.string_value La valeur est extraite du champ Opcode du journal brut et attribuée au champ string_value.
ProcessID read_only_udm.principal.process.pid La valeur est extraite du champ ProcessID du journal brut.
ProviderName read_only_udm.metadata.product_name La valeur est extraite du champ ProviderName du journal brut.
Tâche read_only_udm.additional.fields.key La valeur est extraite du champ Task du journal brut et attribuée au champ key.
Tâche read_only_udm.additional.fields.value.string_value La valeur est extraite du champ Task du journal brut et attribuée au champ string_value.
ThreadID read_only_udm.additional.fields.key La valeur est extraite du champ ThreadID du journal brut et attribuée au champ key.
ThreadID read_only_udm.additional.fields.value.string_value La valeur est extraite du champ ThreadID du journal brut et attribuée au champ string_value.
TimeCreated read_only_udm.metadata.event_timestamp La valeur est extraite du champ TimeCreated du journal brut et analysée en tant qu'horodatage UNIX_MS.
TimeCreated events.timestamp La valeur est extraite du champ TimeCreated du journal brut et analysée en tant qu'horodatage UNIX_MS.
Version read_only_udm.additional.fields.key La valeur est extraite du champ Version du journal brut et attribuée au champ key.
Version read_only_udm.additional.fields.value.string_value La valeur est extraite du champ Version du journal brut et attribuée au champ string_value.
read_only_udm.additional.fields.key La valeur EventData_P1 est attribuée.
read_only_udm.metadata.event_type STATUS_UNCATEGORIZED est attribué de manière conditionnelle si EventId est 7 ou 2, sinon GENERIC_EVENT.
read_only_udm.metadata.vendor_name La valeur Microsoft est attribuée.

Journal des modifications

Consulter le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.