Mengumpulkan log Microsoft System Center Endpoint Protection (SCEP)

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Dokumen ini menjelaskan cara mengumpulkan log Microsoft System Center Endpoint Protection (SCEP) dengan menyiapkan feed Google Security Operations menggunakan Microsoft Azure Blob Storage V2.

Microsoft System Center Endpoint Protection (SCEP) adalah solusi antimalware dan antivirus perusahaan yang terintegrasi dengan System Center Configuration Manager (SCCM). SCEP memberikan perlindungan real-time terhadap malware, virus, spyware, dan software berbahaya lainnya untuk endpoint berbasis Windows. SCEP menulis peristiwa keamanan ke saluran Log Peristiwa Windows Microsoft-Windows-Windows Defender/Operational, yang dapat dikumpulkan menggunakan Azure Monitor Agent dan diekspor ke Azure Blob Storage.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke portal Microsoft Azure dengan izin untuk:
  • Membuat Akun Penyimpanan
  • Membuat dan mengelola ruang kerja Analisis Log
  • Membuat dan mengelola Aturan Pengumpulan Data
  • Mengonfigurasi aturan ekspor data
  • Mengelola kunci akses
• Windows Server 2012 R2 atau yang lebih baru dengan SCEP terinstal, atau Windows Server 2016 atau yang lebih baru dengan Windows Defender Antivirus
• Azure Monitor Agent yang diinstal di server Windows (memerlukan Azure Arc untuk server lokal, atau dukungan native untuk Azure VM)

• Akses administrator di server Windows tempat SCEP di-deploy

  Catatan: Jika membatasi akses ke resource Azure menggunakan firewall Azure Storage, Anda harus menambahkan rentang IP yang digunakan oleh worker Storage Transfer Service (STS) ke daftar IP yang diizinkan. Lihat Daftar IP yang Diizinkan.

Mengonfigurasi Akun Azure Storage

Membuat Akun Penyimpanan

1. Di portal Azure, telusuri Storage accounts.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan Azure Anda
   Grup resource	Pilih yang sudah ada atau buat yang baru
   Nama akun penyimpanan	Masukkan nama yang unik (misalnya, sceplogssa)
   Region	Pilih region (misalnya, East US)
   Performa	Standar (direkomendasikan)
   Redundansi	GRS (Geo-redundant storage) atau LRS (Locally redundant storage)

4. Klik Review + create.

5. Tinjau ringkasan akun, lalu klik Buat.

6. Tunggu hingga deployment selesai.

Mendapatkan kredensial Akun Penyimpanan

1. Buka Storage Account yang baru saja Anda buat.
2. Di navigasi kiri, pilih Access keys di bagian Security + networking.
3. Klik Show keys.
4. Salin dan simpan hal berikut untuk digunakan nanti:
   • Storage account name: Nama yang Anda buat (misalnya, sceplogssa)
   • Kunci 1 atau Kunci 2: Kunci akses bersama (string acak 512-bit dalam encoding base-64)

Mendapatkan endpoint Blob Service

1. Di Akun Penyimpanan yang sama, pilih Endpoints dari navigasi kiri.
2. Salin dan simpan URL endpoint Blob service.
   • Contoh: https://sceplogssa.blob.core.windows.net/

Membuat ruang kerja Analisis Log

1. Di portal Azure, telusuri ruang kerja Analisis Log.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan Azure Anda
   Grup resource	Pilih grup resource yang sama dengan Storage Account
   Nama	Masukkan nama yang unik (misalnya, scep-logs-workspace)
   Region	Pilih region yang sama dengan Akun Penyimpanan

4. Klik Review + Create.

5. Klik Create.

6. Tunggu hingga deployment selesai.

Menginstal Azure Monitor Agent di server Windows

Untuk server lokal yang menjalankan SCEP, Anda harus melakukan orientasi server ke Azure Arc terlebih dahulu, lalu menginstal Azure Monitor Agent.

Melakukan aktivasi ke Azure Arc (khusus server lokal)

1. Di portal Azure, telusuri Azure Arc.
2. Pilih Servers di bagian Infrastructure.
3. Klik + Tambahkan.
4. Pilih Add a single server, lalu klik Generate script.
5. Berikan detail konfigurasi berikut:
   • Subscription: Pilih langganan Azure Anda
   • Grup resource: Pilih grup resource Anda
   • Region: Pilih region yang sama dengan Storage Account
   • Sistem operasi: Pilih Windows
6. Klik Download and run script.
7. Di server Windows yang menjalankan SCEP, buka PowerShell sebagai administrator.

8. Jalankan skrip yang didownload untuk menyelesaikan aktivasi Azure Arc.

   Catatan: Untuk virtual machine Azure, lewati orientasi Azure Arc. Azure Monitor Agent dapat diinstal langsung di VM.

Menginstal Azure Monitor Agent

1. Di portal Azure, buka Azure Arc > Servers (atau Virtual Machines untuk VM Azure).
2. Pilih server yang menjalankan SCEP.
3. Di navigasi kiri, pilih Ekstensi di bagian Setelan.
4. Klik + Tambahkan.
5. Telusuri dan pilih Azure Monitor Agent.
6. Klik Next, lalu Review + create.
7. Klik Create.
8. Tunggu hingga penginstalan ekstensi selesai.

Membuat Aturan Pengumpulan Data untuk peristiwa SCEP

1. Di portal Azure, telusuri Monitor.
2. Pilih Aturan Pengumpulan Data di bagian Setelan.
3. Klik + Create.
4. Di tab Basics, berikan detail konfigurasi berikut:
   • Nama aturan: Masukkan nama deskriptif (misalnya, dcr-scep-events)
   • Subscription: Pilih langganan Azure Anda
   • Grup resource: Pilih grup resource Anda
   • Region: Pilih region yang sama dengan ruang kerja analisis log
   • Jenis Platform: Pilih Windows
5. Klik Next: Resources.
6. Di tab Resources:
   1. Klik + Tambahkan materi.
   2. Luaskan grup resource dan pilih server yang menjalankan SCEP (server Azure Arc atau Azure VM).
   3. Klik Terapkan.
7. Klik Berikutnya: Pengumpulan dan pengiriman.

8. Di tab Pengambilan dan pengiriman:

   1. Klik + Tambahkan sumber data.
   2. Di dropdown Jenis sumber data, pilih Log Peristiwa Windows.
   3. Pilih Kustom untuk memasukkan kueri XPath.

   4. Klik + Add XPath query dan masukkan kueri XPath berikut untuk mengumpulkan semua peristiwa SCEP dan Windows Defender:

      Microsoft-Windows-Windows Defender/Operational!*[System[(Level=1 or Level=2 or Level=3 or Level=4 or Level=5)]]
      

      Kueri XPath ini mengumpulkan semua peristiwa (Critical, Error, Warning, Information, dan Verbose) dari saluran Windows Defender Operational. Untuk mengumpulkan ID peristiwa tertentu saja (misalnya, deteksi malware), gunakan kueri yang lebih bertarget seperti:

      Microsoft-Windows-Windows Defender/Operational!*[System[(EventID=1006 or EventID=1007 or EventID=1116 or EventID=1117 or EventID=2000 or EventID=2001 or EventID=5007)]]
      

   5. Di tab Tujuan, klik + Tambahkan tujuan.

   6. Pilih Azure Monitor Logs sebagai Destination type.

   7. Pilih ruang kerja Analisis Log yang Anda buat sebelumnya (misalnya, scep-logs-workspace).

9. Klik Tambahkan sumber data.

10. Klik Review + create.

11. Klik Create.

ID peristiwa utama yang dikumpulkan

Aturan Pengumpulan Data mengumpulkan peristiwa dari saluran Microsoft-Windows-Windows Defender/Operational, yang mencakup ID peristiwa SCEP utama berikut:

ID Peristiwa	Deskripsi
1006	Malware terdeteksi oleh mesin antimalware
1007	Tindakan antimalware yang diambil terhadap malware yang terdeteksi
1116	Perlindungan real-time mendeteksi malware atau software yang berpotensi tidak diinginkan
1117	Perlindungan real-time mengambil tindakan terhadap malware
2000	Update tanda tangan antimalware dimulai
2001	Update tanda tangan antimalware selesai
5007	Konfigurasi platform antimalware diubah

Mengonfigurasi ekspor data dari ruang kerja Analisis Log ke Azure Blob Storage

Mendaftarkan penyedia resource Microsoft.Insights

1. Di portal Azure, buka Subscriptions.
2. Pilih langganan Anda.
3. Di navigasi kiri, pilih Resource providers di bagian Settings.
4. Telusuri Microsoft.Insights.
5. Jika statusnya bukan Registered, pilih dan klik Register.

Membuat aturan ekspor data

1. Di portal Azure, buka ruang kerja Analisis Log (misalnya, scep-logs-workspace).
2. Di navigasi kiri, pilih Ekspor Data di bagian Setelan.
3. Klik + Aturan ekspor baru.
4. Di tab Basics:
   • Nama aturan ekspor data: Masukkan nama deskriptif (misalnya, export-scep-to-blob)
5. Klik Next: Source.

6. Di tab Source, pilih tabel Event.

   Catatan: Peristiwa Operasional Windows Defender yang dikumpulkan melalui Agen Azure Monitor disimpan dalam tabel Event di ruang kerja Log Analytics.

7. Klik Berikutnya: Tujuan.

8. Di tab Destination:

   • Destination type: Pilih Storage Account
   • Subscription: Pilih langganan yang berisi Akun Penyimpanan
   • Storage account: Pilih Storage Account yang Anda buat sebelumnya (misalnya, sceplogssa)

9. Klik Next: Review + Create.

10. Klik Create.

• Setelah konfigurasi, peristiwa akan otomatis diekspor ke Storage Account. Container bernama am-Event dibuat di Akun Penyimpanan. Blob disimpan dalam folder 5 menit menggunakan struktur jalur berikut:

  am-Event/
    └── WorkspaceResourceId=/subscriptions/{subscription-id}/resourcegroups/{resource-group}/providers/microsoft.operationalinsights/workspaces/{workspace}/
        └── y={year}/m={month}/d={day}/h={hour}/m={minute}/
            └── PT05M.json
  

Memverifikasi ekspor data

1. Di portal Azure, buka Storage Account (misalnya, sceplogssa).
2. Di navigasi kiri, pilih Containers di bagian Penyimpanan data.
3. Pastikan container am-Event ada.
4. Buka container dan pastikan file JSON dengan data peristiwa dibuat dalam struktur folder.

Mengonfigurasi feed di Google SecOps untuk menyerap log Microsoft System Center Endpoint Protection (SCEP)

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft SCEP Logs).
5. Pilih Microsoft Azure Blob Storage V2 sebagai Source type.
6. Pilih Microsoft System Center Endpoint Protection (SCEP) sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Azure URI: Masukkan URL endpoint Blob Service dengan jalur container:

   https://sceplogssa.blob.core.windows.net/am-Event/
   

   Ganti kode berikut:

   • sceplogssa: Nama akun penyimpanan Azure Anda.
   • am-Event: Nama container blob tempat peristiwa yang diekspor disimpan.
   Catatan: Sertakan garis miring (/) di akhir URI.
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:
     • Never: Tidak pernah menghapus file apa pun setelah transfer.
     • Delete transferred files: Menghapus file setelah transfer berhasil.
     • Delete transferred files and empty directories: Menghapus file dan direktori kosong setelah transfer berhasil.
   Catatan: Jika Anda memilih opsi penghapusan, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)
   • Shared key: Masukkan nilai kunci bersama (kunci akses) yang Anda ambil dari Storage Account
   • Namespace aset: Namespace aset
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Mengonfigurasi firewall Azure Storage (jika diaktifkan)

Jika Akun Azure Storage Anda menggunakan firewall, Anda harus menambahkan rentang IP Google SecOps.

1. Di portal Azure, buka Storage Account Anda.
2. Pilih Networking di bagian Security + networking.
3. Di bagian Firewalls and virtual networks, pilih Enabled from selected virtual networks and IP addresses.
4. Di bagian Firewall, di bagian Address range, klik + Add IP range.

5. Tambahkan setiap rentang IP Google SecOps dalam notasi CIDR.

   Untuk mendapatkan rentang IP saat ini:

   • Lihat dokumentasi Daftar IP yang Diizinkan
   • Atau ambil secara terprogram menggunakan Feed Management API

6. Selain itu, centang kotak Allow Azure services on the trusted services list to access this storage account untuk mengizinkan ekspor data ruang kerja analisis log menulis ke Akun Penyimpanan.

7. Klik Simpan.

   Catatan: Sumber feed ini menggunakan Storage Transfer Service (STS) untuk mentransfer data dari penyimpanan Azure ke Google SecOps. Sebelum menggunakan sumber feed ini, Anda mungkin perlu menambahkan rentang IP yang digunakan oleh pekerja STS ke daftar IP yang diizinkan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
about.hostname	about.hostname	Tetapkan ke "%{_DB_HOST}"
_DB_PORT	about.port	Nilai disalin langsung, dikonversi menjadi bilangan bulat
_DB_DRIVER	about.resource.name	Setel ke "%{_DB_DRIVER}"
_DB_URL	about.url	Tetapkan ke "%{_DB_URL}"
signature_labels	event.idm.read_only_udm.additional.fields	Digabungkan dari signature_labels jika signature tidak kosong, pending_action jika PendingAction tidak kosong, execution_status jika ExecutionStatus tidak kosong, record_id jika RecordID tidak kosong, error_code jika ErrorCode tidak kosong, action_success jika ActionSuccess tidak kosong
pending_action	event.idm.read_only_udm.additional.fields
execution_status	event.idm.read_only_udm.additional.fields
record_id	event.idm.read_only_udm.additional.fields
error_code	event.idm.read_only_udm.additional.fields
action_success	event.idm.read_only_udm.additional.fields
source_url	event.idm.read_only_udm.src.url	Nilai dari source_url jika tidak kosong, atau dari my_string1 jika tidak kosong
my_string1	event.idm.read_only_udm.src.url
has_principal	metadata.event_type	Tetapkan ke "NETWORK_CONNECTION" jika has_principal dan has_target benar, atau "STATUS_UPDATE" jika has_principal benar, atau "SCAN_FILE" jika bukan no_target_host dan path_available benar, atau "STATUS_UNCATEGORIZED" jika bukan no_target_host, atau "USER_UNCATEGORIZED" jika has_user benar, atau "GENERIC_EVENT"
has_user	metadata.event_type
has_target	metadata.event_type
no_target_host	metadata.event_type
path_available	metadata.event_type
Nama	metadata.product_event_type	Nilai disalin langsung
DetectionID	metadata.product_log_id	Nilai disalin langsung
metadata.product_name	metadata.product_name	Tetapkan ke "MICROSOFT SYSTEM CENTER ENDPOINT PROTECTION"
metadata.vendor_name	metadata.vendor_name	Tetapkan ke "MICROSOFT"
NTdomain	principal.administrative_domain	Nilai disalin langsung
hostname	principal.asset.hostname	Nilai dari nama host jika tidak kosong, jika tidak, dari TargetHost
TargetHost	principal.asset.hostname
action_type	principal.group.attribute.labels	Digabungkan dari action_type_label jika action_type tidak kosong
hostname	principal.hostname	Nilai dari nama host jika tidak kosong, jika tidak, dari TargetHost
TargetHost	principal.hostname
Proses	principal.process.file.full_path	Nilai disalin langsung jika Process tidak kosong
NAMA PENGGUNA	principal.user.user_display_name	Nilai disalin langsung
NamaPengguna	principal.user.userid	Nilai dari UserName jika tidak kosong, atau dari pengguna jika tidak kosong
pengguna	principal.user.userid
tindakan	security_result.action	Setel berdasarkan nilai tindakan (ALLOW untuk success/created/started/delivered/allowed, BLOCK untuk failure/blocked/teardown/deferred/deleted/rejected/dropped/error/locked, ALLOW_WITH_MODIFICATION untuk acl_modified/modified, QUARANTINE untuk quarantined) atau CleanAction (FAIL jika Failed, QUARANTINE jika Quarantined, ALLOW jika Allowed, BLOCK jika Blocked)
CleanAction	security_result.action
CleanAction	security_result.action_details	Nilai disalin langsung jika CleanAction tidak kosong
category	security_result.category_details	Digabungkan dari category jika tidak kosong, jika tidak, dari Category
Kategori	security_result.category_details
DetectionID	security_result.detection_fields	Digabungkan dari DetectionID_field jika DetectionID tidak kosong, detectionid_field jika detectionid tidak kosong, detection_source_labels jika detection_source tidak kosong, pending_action_labels jika pending_action tidak kosong, detection_Path jika source_url dan file_path dan Path tidak kosong
detectionid	security_result.detection_fields
detection_source	security_result.detection_fields
pending_action	security_result.detection_fields
Jalur	security_result.detection_fields
tingkat keseriusan,	security_result.severity	Tetapkan berdasarkan tingkat keparahan (LOW untuk 0/1/2/3/LOW, MEDIUM untuk 4/5/6/MEDIUM/SUBSTANTIAL/INFO, HIGH untuk 7/8/HIGH/SEVERE, CRITICAL untuk 9/10/VERY-HIGH/CRITICAL) atau SeverityID (LOW untuk 1, MEDIUM untuk 2, HIGH untuk 4, CRITICAL untuk 5, UNKNOWN_SEVERITY lainnya)
SeverityID	security_result.severity
SeverityID	security_result.severity_details	Nilai disalin langsung
ThreatID	security_result.threat_id	Nilai disalin langsung
ThreatName	security_result.threat_name	Nilai disalin langsung
MaliciousFileCt	security_result.verdict_info	Nilai disalin langsung, dikonversi menjadi bilangan bulat, digabungkan sebagai malicious_file_ct
dest_nt_domain	target.administrative_domain	Nilai disalin langsung
dest_name	target.asset.hostname	Nilai disalin langsung jika dest_name tidak kosong
file_path	target.file.full_path	Nilai dari file_path jika tidak kosong, atau dari Path jika file_path kosong, atau dari my_string jika tidak kosong
Jalur	target.file.full_path
my_string	target.file.full_path
dest_name	target.hostname	Nilai disalin langsung jika dest_name tidak kosong
ResourceID	target.resource.name	Nilai dari ResourceID jika tidak kosong, atau dari resourceid jika tidak kosong
resourceid	target.resource.name
pengguna	target.user.userid	Nilai disalin langsung jika pengguna tidak kosong
waktu	metadata.event_timestamp	Dikonversi dari waktu menggunakan format "MMM dd HH:mm:ss" jika waktu tidak kosong, atau dari DetectionTime atau detectiontime menggunakan UNIX_MS
DetectionTime	metadata.event_timestamp
detectiontime	metadata.event_timestamp
time	syslogtimestamp	Dipetakan dari log perubahan
DetectionID", "detection_source", and "pending_action	security_result.detection_fields	Dipetakan dari log perubahan
action	temp_action	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.