Microsoft LAPS ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Microsoft Windows LAPS（ローカル管理者パスワード ソリューション）ログを Google Security Operations に取り込む方法について説明します。

Windows LAPS は、ドメインに参加しているデバイスのローカル管理者アカウントのパスワードを管理し、パスワードのローテーション、ポリシー処理、管理オペレーションのイベントログ エントリを生成します。パーサーは、Windows イベントログの XML 形式からフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Bindplane エージェントがインストールされた Windows Server 2016 以降
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
• 環境で Windows LAPS が構成され、デプロイされている

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイル をダウンロードします。

4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

   注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。

3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

   注: Bindplane エージェント エクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sc query observiq-otel-collector
   

   サービスは RUNNING と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Windows イベントログを取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

• 次の構文を使用して構成ファイルを見つけます。

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

構成ファイルを編集します。

• config.yaml の内容全体を次の構成に置き換えます。

  receivers:
      windowseventlog/laps_operational:
          channel: Microsoft-Windows-LAPS/Operational
          max_reads: 100
          poll_interval: 5s
          raw: true
          start_at: end
  
  processors:
      batch:
  
  exporters:
      chronicle/laps:
          creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: WINDOWS_LAPS
          override_log_type: false
          raw_log_field: body
  
  service:
      pipelines:
          logs/laps:
              receivers:
                  - windowseventlog/laps_operational
              processors: [batch]
              exporters: [chronicle/laps]
  

構成パラメータ

各プレースホルダを次のように置き換えます。

• レシーバーの構成:

  • channel: 読み取る Windows イベントログ チャネル（Microsoft-Windows-LAPS/Operational）
  • max_reads: ポーリング サイクルごとに読み取るログエントリの最大数
  • poll_interval: 新しいイベントをポーリングする頻度
  • start_at: 読み取りを開始する場所（新しいイベントの場合は end のみ）

• エクスポータの構成:

  • creds_file_path: 取り込み認証ファイル（C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）のフルパス
  • customer_id: Google SecOps コンソールからコピーしたお客様 ID
  • endpoint: リージョン エンドポイント URL:
    • 米国: malachiteingestion-pa.googleapis.com
    • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
    • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

[ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

• 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  net stop observiq-otel-collector && net start observiq-otel-collector
  

• サービス コンソール:

  1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
  2. observIQ OpenTelemetry Collector を見つけます。

  3. 右クリックして [再起動] を選択します。

  4. サービスが実行されていることを確認します。

     sc query observiq-otel-collector
     

  5. ログでエラーを確認します。

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Microsoft Windows LAPS を構成する

1. 管理者権限でコマンド プロンプトを開き、「eventvwr.msc」と入力して Enter キーを押すと、イベント ビューアーが開きます。
2. [アプリケーションとサービス ログ> Microsoft > Windows > LAPS] に移動します。
3. [LAPS] を開きます。
4. [LAPS] を右クリックし、[プロパティ] をクリックします。
5. [ロギングを有効にする] チェックボックスをオンにします。
6. ログが有効になっているかどうかを尋ねられたら、[OK] をクリックします。
7. [OK] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
チャネル	read_only_udm.additional.fields.key	値は未加工ログの Channel フィールドから取得され、key フィールドに割り当てられます。
チャネル	read_only_udm.additional.fields.value.string_value	値は未加工ログの Channel フィールドから取得され、string_value フィールドに割り当てられます。
パソコン	read_only_udm.principal.hostname	値は、未加工ログの Computer フィールドから取得されます。
パソコン	read_only_udm.principal.asset.hostname	値は、未加工ログの Computer フィールドから取得されます。
EventData.%1	read_only_udm.additional.fields.value.string_value	値は未加工ログの EventData.%1 フィールドから取得され、string_value フィールドに割り当てられます。
EventId	read_only_udm.metadata.product_event_type	値は、未加工ログの EventId フィールドから取得されます。
EventId	read_only_udm.security_result.rule_name	値は未加工ログの EventId フィールドから取得され、EventID: に追加されます。
EventRecordID	read_only_udm.metadata.product_log_id	値は、未加工ログの EventRecordID フィールドから取得されます。
キーワード	read_only_udm.additional.fields.key	値は未加工ログの Keywords フィールドから取得され、key フィールドに割り当てられます。
キーワード	read_only_udm.additional.fields.value.string_value	値は未加工ログの Keywords フィールドから取得され、string_value フィールドに割り当てられます。
レベル	read_only_udm.security_result.severity	値は未加工ログの Level フィールドから取得され、INFO、Informational、Information、Normal、NOTICE の場合は INFORMATIONAL、ERROR、Error の場合は ERROR、Critical の場合は CRITICAL にマッピングされます。
オペコード	read_only_udm.additional.fields.key	値は未加工ログの Opcode フィールドから取得され、key フィールドに割り当てられます。
オペコード	read_only_udm.additional.fields.value.string_value	値は未加工ログの Opcode フィールドから取得され、string_value フィールドに割り当てられます。
ProcessID	read_only_udm.principal.process.pid	値は、未加工ログの ProcessID フィールドから取得されます。
ProviderName	read_only_udm.metadata.product_name	値は、未加工ログの ProviderName フィールドから取得されます。
タスク	read_only_udm.additional.fields.key	値は未加工ログの Task フィールドから取得され、key フィールドに割り当てられます。
タスク	read_only_udm.additional.fields.value.string_value	値は未加工ログの Task フィールドから取得され、string_value フィールドに割り当てられます。
ThreadID	read_only_udm.additional.fields.key	値は未加工ログの ThreadID フィールドから取得され、key フィールドに割り当てられます。
ThreadID	read_only_udm.additional.fields.value.string_value	値は未加工ログの ThreadID フィールドから取得され、string_value フィールドに割り当てられます。
TimeCreated	read_only_udm.metadata.event_timestamp	値は未加工ログの TimeCreated フィールドから取得され、UNIX_MS タイムスタンプとして解析されます。
TimeCreated	events.timestamp	値は未加工ログの TimeCreated フィールドから取得され、UNIX_MS タイムスタンプとして解析されます。
バージョン	read_only_udm.additional.fields.key	値は未加工ログの Version フィールドから取得され、key フィールドに割り当てられます。
バージョン	read_only_udm.additional.fields.value.string_value	値は未加工ログの Version フィールドから取得され、string_value フィールドに割り当てられます。
	read_only_udm.additional.fields.key	値 EventData_P1 が割り当てられています。
	read_only_udm.metadata.event_type	EventId が 7 または 2 の場合は STATUS_UNCATEGORIZED を条件付きで割り当て、それ以外の場合は GENERIC_EVENT を割り当てます。
	read_only_udm.metadata.vendor_name	値 Microsoft が割り当てられています。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。