O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do Microsoft LAPS

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do LAPS (Solução de senha de administrador local) do Microsoft Windows no Google Security Operations usando o agente Bindplane.

O LAPS do Windows gerencia senhas de contas de administrador local em dispositivos associados a um domínio e gera entradas de registro de eventos para rotação de senhas, processamento de políticas e operações de gerenciamento. O analisador extrai campos do formato XML do log de eventos do Windows e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Windows Server 2016 ou mais recente com o agente do Bindplane instalado
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
O LAPS do Windows configurado e implantado no seu ambiente

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão.
Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo JSON contém credenciais para autenticar o agente do Bindplane no Google SecOps.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do BindPlane

Abra o prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sc query observiq-otel-collector
```
O serviço vai aparecer como EM EXECUÇÃO.

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir o registro de eventos do Windows e enviar ao Google SecOps

Localizar o arquivo de configuração

Use a seguinte sintaxe para localizar o arquivo de configuração:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela seguinte configuração:

receivers:
    windowseventlog/laps_operational:
        channel: Microsoft-Windows-LAPS/Operational
        max_reads: 100
        poll_interval: 5s
        raw: true
        start_at: end

processors:
    batch:

exporters:
    chronicle/laps:
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_LAPS
        override_log_type: false
        raw_log_field: body

service:
    pipelines:
        logs/laps:
            receivers:
                - windowseventlog/laps_operational
            processors: [batch]
            exporters: [chronicle/laps]

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

Configuração do receptor:
- channel: canal de log de eventos do Windows para leitura (Microsoft-Windows-LAPS/Operational)
- max_reads: número máximo de entradas de registro a serem lidas por ciclo de pesquisa.
- poll_interval: com que frequência pesquisar novos eventos
- start_at: onde começar a leitura (end somente para novos eventos)
Configuração do exportador:
- creds_file_path: caminho completo para o arquivo de autenticação de ingestão (C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)
- customer_id: ID do cliente copiado do console do Google SecOps
- endpoint: URL do endpoint regional:
  - EUA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulte a lista completa em Endpoints regionais.

Salvar o arquivo de configuração

Clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

Prompt de comando ou PowerShell como administrador:

net stop observiq-otel-collector && net start observiq-otel-collector

Console de serviços:
1. Pressione Win+R, digite services.msc e pressione Enter.
2. Localize o Coletor do OpenTelemetry da observIQ.
3. Clique com o botão direito do mouse e selecione Reiniciar.
4. Verifique se o serviço está em execução:
```
sc query observiq-otel-collector
```
5. Verifique se há erros nos registros:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurar o LAPS do Microsoft Windows

Digite eventvwr.msc em um prompt de comando elevado e pressione ENTER para abrir o Visualizador de eventos.
Acesse Logs de aplicativos e serviços > Microsoft > Windows > LAPS.
Expanda LAPS.
Clique com o botão direito do mouse em LAPS e em Propriedades.
Marque a caixa de seleção Ativar geração de registros.
Clique em OK quando perguntarem se o registro está ativado.
Clique em OK.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
Canal	read_only_udm.additional.fields.key	O valor é extraído do campo `Channel` no registro bruto e atribuído ao campo `key`.
Canal	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `Channel` no registro bruto e atribuído ao campo `string_value`.
Computador	read_only_udm.principal.hostname	O valor é extraído do campo `Computer` no registro bruto.
Computador	read_only_udm.principal.asset.hostname	O valor é extraído do campo `Computer` no registro bruto.
EventData.%1	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `EventData.%1` no registro bruto e atribuído ao campo `string_value`.
EventId	read_only_udm.metadata.product_event_type	O valor é extraído do campo `EventId` no registro bruto.
EventId	read_only_udm.security_result.rule_name	O valor é extraído do campo `EventId` no registro bruto e anexado a `EventID:`.
EventRecordID	read_only_udm.metadata.product_log_id	O valor é extraído do campo `EventRecordID` no registro bruto.
Palavras-chave	read_only_udm.additional.fields.key	O valor é extraído do campo `Keywords` no registro bruto e atribuído ao campo `key`.
Palavras-chave	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `Keywords` no registro bruto e atribuído ao campo `string_value`.
Nível	read_only_udm.security_result.severity	O valor é extraído do campo `Level` no registro bruto e mapeado para: `INFORMATIONAL` para `INFO`, `Informational`, `Information`, `Normal`, `NOTICE`; `ERROR` para `ERROR`, `Error`; `CRITICAL` para `Critical`.
Opcode	read_only_udm.additional.fields.key	O valor é extraído do campo `Opcode` no registro bruto e atribuído ao campo `key`.
Opcode	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `Opcode` no registro bruto e atribuído ao campo `string_value`.
ProcessID	read_only_udm.principal.process.pid	O valor é extraído do campo `ProcessID` no registro bruto.
ProviderName	read_only_udm.metadata.product_name	O valor é extraído do campo `ProviderName` no registro bruto.
Tarefa	read_only_udm.additional.fields.key	O valor é extraído do campo `Task` no registro bruto e atribuído ao campo `key`.
Tarefa	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `Task` no registro bruto e atribuído ao campo `string_value`.
ThreadID	read_only_udm.additional.fields.key	O valor é extraído do campo `ThreadID` no registro bruto e atribuído ao campo `key`.
ThreadID	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `ThreadID` no registro bruto e atribuído ao campo `string_value`.
TimeCreated	read_only_udm.metadata.event_timestamp	O valor é extraído do campo `TimeCreated` no registro bruto e analisado como um carimbo de data/hora UNIX_MS.
TimeCreated	events.timestamp	O valor é extraído do campo `TimeCreated` no registro bruto e analisado como um carimbo de data/hora UNIX_MS.
Versão	read_only_udm.additional.fields.key	O valor é extraído do campo `Version` no registro bruto e atribuído ao campo `key`.
Versão	read_only_udm.additional.fields.value.string_value	O valor é extraído do campo `Version` no registro bruto e atribuído ao campo `string_value`.
	read_only_udm.additional.fields.key	Atribuiu o valor `EventData_P1`.
	read_only_udm.metadata.event_type	Atribuído condicionalmente `STATUS_UNCATEGORIZED` se EventId for `7` ou `2`. Caso contrário, `GENERIC_EVENT`.
	read_only_udm.metadata.vendor_name	Atribuiu o valor `Microsoft`.

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.