Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Microsoft LAPS

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Microsoft Windows LAPS (Local Administrator Password Solution) ke Google Security Operations menggunakan agen Bindplane.

LAPS Windows mengelola sandi akun administrator lokal di perangkat yang bergabung dengan domain dan menghasilkan entri log peristiwa untuk rotasi sandi, pemrosesan kebijakan, dan operasi pengelolaan. Parser mengekstrak kolom dari format XML Windows Event Log dan memetakannya ke Unified Data Model (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru dengan agen Bindplane yang terinstal
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Windows LAPS dikonfigurasi dan di-deploy di lingkungan Anda

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan.
Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Tunggu hingga penginstalan selesai.
Verifikasi penginstalan dengan menjalankan:
```
sc query observiq-otel-collector
```
Layanan akan ditampilkan sebagai RUNNING.

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap Log Peristiwa Windows dan mengirimkannya ke Google SecOps

Cari file konfigurasi

Gunakan sintaksis berikut untuk menemukan file konfigurasi:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi berikut:

receivers:
    windowseventlog/laps_operational:
        channel: Microsoft-Windows-LAPS/Operational
        max_reads: 100
        poll_interval: 5s
        raw: true
        start_at: end

processors:
    batch:

exporters:
    chronicle/laps:
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_LAPS
        override_log_type: false
        raw_log_field: body

service:
    pipelines:
        logs/laps:
            receivers:
                - windowseventlog/laps_operational
            processors: [batch]
            exporters: [chronicle/laps]

Parameter konfigurasi

Ganti placeholder berikut:

Konfigurasi penerima:
- channel: Channel Log Peristiwa Windows yang akan dibaca (Microsoft-Windows-LAPS/Operational)
- max_reads: Jumlah maksimum entri log yang akan dibaca per siklus polling
- poll_interval: Seberapa sering melakukan polling untuk peristiwa baru
- start_at: Tempat untuk mulai membaca (end hanya untuk peristiwa baru)
Konfigurasi pengekspor:
- creds_file_path: Jalur lengkap ke file autentikasi penyerapan (C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)
- customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
- endpoint: URL endpoint regional:
  - Amerika Serikat: malachiteingestion-pa.googleapis.com
  - Eropa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Simpan file konfigurasi

Klik File > Save.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Command Prompt atau PowerShell sebagai administrator:

net stop observiq-otel-collector && net start observiq-otel-collector

Konsol layanan:
1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
2. Cari observIQ OpenTelemetry Collector.
3. Klik kanan, lalu pilih Mulai ulang.
4. Pastikan layanan sedang berjalan:
```
sc query observiq-otel-collector
```
5. Periksa log untuk mengetahui error:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Mengonfigurasi LAPS Microsoft Windows

Ketik eventvwr.msc di command prompt yang ditinggikan, lalu tekan ENTER untuk membuka Event Viewer.
Buka Applications and Services Logs > Microsoft > Windows > LAPS.
Luaskan LAPS.
Klik kanan LAPS, lalu klik Properties.
Centang kotak Enable logging.
Klik OK saat ditanya apakah log diaktifkan.
Klik Oke.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Saluran	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Channel` di log mentah dan ditetapkan ke kolom `key`.
Saluran	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Channel` di log mentah dan ditetapkan ke kolom `string_value`.
Komputer	read_only_udm.principal.hostname	Nilai diambil dari kolom `Computer` di log mentah.
Komputer	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom `Computer` di log mentah.
EventData.%1	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `EventData.%1` di log mentah dan ditetapkan ke kolom `string_value`.
EventId	read_only_udm.metadata.product_event_type	Nilai diambil dari kolom `EventId` di log mentah.
EventId	read_only_udm.security_result.rule_name	Nilai diambil dari kolom `EventId` di log mentah dan ditambahkan ke `EventID:`.
EventRecordID	read_only_udm.metadata.product_log_id	Nilai diambil dari kolom `EventRecordID` di log mentah.
Kata kunci	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Keywords` di log mentah dan ditetapkan ke kolom `key`.
Kata kunci	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Keywords` di log mentah dan ditetapkan ke kolom `string_value`.
Tingkat	read_only_udm.security_result.severity	Nilai diambil dari kolom `Level` dalam log mentah dan dipetakan ke: `INFORMATIONAL` untuk `INFO`, `Informational`, `Information`, `Normal`, `NOTICE`; `ERROR` untuk `ERROR`, `Error`; `CRITICAL` untuk `Critical`.
Opcode	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Opcode` di log mentah dan ditetapkan ke kolom `key`.
Opcode	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Opcode` di log mentah dan ditetapkan ke kolom `string_value`.
ProcessID	read_only_udm.principal.process.pid	Nilai diambil dari kolom `ProcessID` di log mentah.
ProviderName	read_only_udm.metadata.product_name	Nilai diambil dari kolom `ProviderName` di log mentah.
Tugas	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Task` di log mentah dan ditetapkan ke kolom `key`.
Tugas	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Task` di log mentah dan ditetapkan ke kolom `string_value`.
ThreadID	read_only_udm.additional.fields.key	Nilai diambil dari kolom `ThreadID` di log mentah dan ditetapkan ke kolom `key`.
ThreadID	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `ThreadID` di log mentah dan ditetapkan ke kolom `string_value`.
TimeCreated	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom `TimeCreated` di log mentah, diuraikan sebagai stempel waktu UNIX_MS.
TimeCreated	events.timestamp	Nilai diambil dari kolom `TimeCreated` di log mentah, diuraikan sebagai stempel waktu UNIX_MS.
Versi	read_only_udm.additional.fields.key	Nilai diambil dari kolom `Version` di log mentah dan ditetapkan ke kolom `key`.
Versi	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom `Version` di log mentah dan ditetapkan ke kolom `string_value`.
	read_only_udm.additional.fields.key	Ditetapkan nilai `EventData_P1`.
	read_only_udm.metadata.event_type	Ditetapkan secara bersyarat `STATUS_UNCATEGORIZED` jika EventId adalah `7` atau `2`, jika tidak `GENERIC_EVENT`.
	read_only_udm.metadata.vendor_name	Ditetapkan nilai `Microsoft`.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.