Mengumpulkan log Windows Firewall

Didukung di:

Google secops SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Dokumen ini menjelaskan cara menyerap log Windows Firewall ke Google Security Operations menggunakan Bindplane.

Windows Firewall adalah firewall host Windows bawaan yang menghasilkan log peristiwa layanan, perubahan aturan, dan izinkan/blokir koneksi. Agen Bindplane mengumpulkan file log firewall langsung dari sistem file lokal.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru dengan dukungan layanan observiq-otel-collector
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke host Windows yang menghasilkan log firewall

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.

3. Download Ingestion Authentication File. Simpan file dengan aman di sistem tempat Bindplane akan diinstal.

   Catatan: File JSON ini berisi kredensial untuk mengautentikasi agen Bindplane ke Google SecOps.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan Customer ID dari bagian Organization Details.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi eksportir agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

Layanan akan ditampilkan sebagai RUNNING.

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen Bindplane.

Mengonfigurasi agen Bindplane untuk menyerap log dan mengirim ke Google SecOps

Menemukan file konfigurasi

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      filelog:
          include:
              - C:\Windows\system32\LogFiles\Firewall\pfirewall.log
          start_at: beginning
  
  exporters:
      chronicle/windows_firewall:
          compression: gzip
          creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: WINDOWS_FIREWALL
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/firewall_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/windows_firewall
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • filelog: Jenis penerima untuk mengumpulkan file log dari disk
  • include: Daftar jalur file yang akan dipantau. Lokasi log Windows Firewall default:
    • C:\Windows\system32\LogFiles\Firewall\pfirewall.log
  • start_at: Tetapkan ke beginning untuk membaca log yang ada atau end untuk hanya membaca entri baru

• Konfigurasi eksportir:

  • windows_firewall: Nama deskriptif untuk eksportir
  • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: ID Pelanggan dari langkah sebelumnya
  • endpoint: URL endpoint regional:
    • US: malachiteingestion-pa.googleapis.com
    • Eropa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Lihat Endpoint Regional untuk daftar lengkap
  • WINDOWS_FIREWALL: Jenis log persis seperti yang muncul di Chronicle
  • ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

• Konfigurasi pipeline:

  • firewall_to_chronicle: Nama deskriptif untuk pipeline

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Windows: Klik File > Save

Memulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Temukan observIQ OpenTelemetry Collector.
     3. Klik kanan dan pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi logging Windows Firewall

1. Buka Windows Defender Firewall with Advanced Security dengan menekan Win+R, mengetik wf.msc, lalu menekan Enter.
2. Di panel kiri, klik kanan Windows Defender Firewall with Advanced Security on Local Computer , lalu pilih Properties.
3. Pilih tab profil yang sesuai (Domain Profile, Private Profile, atau Public Profile).
4. Di bagian Logging, klik Customize.
5. Berikan detail konfigurasi berikut:
   • Log dropped packets: Pilih Yes.
   • Log successful connections: Pilih Yes.
   • Nama: Pastikan jalur file log adalah %systemroot%\system32\LogFiles\Firewall\pfirewall.log (default).
   • Batas ukuran (KB): Tetapkan ke minimal 4096 untuk menangkap data log yang memadai.
6. Klik OK untuk menyimpan setelan logging.
7. Ulangi langkah 3-6 untuk setiap tab profil (Domain, Private, Public) sesuai kebutuhan.
8. Pastikan file log sedang ditulis di C:\Windows\system32\LogFiles\Firewall\pfirewall.log.

9. Pastikan jalur include agen Bindplane di config.yaml cocok dengan jalur file log firewall.

   Catatan: Secara default, Windows Firewall hanya mencatat paket yang dihentikan. Untuk menangkap semua peristiwa koneksi untuk pemantauan keamanan, aktifkan Log dropped packets dan Log successful connections. Akun layanan agen Bindplane harus memiliki akses baca ke file log.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
tcpflags, tcpsyn, tcpack, tcpwin, icmptype, icmpcode	about.labels	Digabungkan sebagai pasangan nilai kunci jika kolom != "-"
timestamp	metadata.event_timestamp	Diuraikan menggunakan format yyyy-MM-dd HH:mm:ss
	metadata.event_type	Ditetapkan ke "NETWORK_CONNECTION"
direction	network.direction	Ditetapkan ke "OUTBOUND" jika arah dalam ["SEND", "FORWARD"]; "INBOUND" jika arah == "RECEIVE"
protocol	network.ip_protocol	Nilai disalin langsung jika protokol dalam ["TCP", "UDP", "ICMP"]
size	network.received_bytes	Dikonversi ke uinteger jika arah == "RECEIVE" dan ukuran != "-"
size	network.sent_bytes	Dikonversi ke uinteger jika arah dalam ["SEND", "FORWARD"] dan ukuran != "-"
src_ip	principal.ip	Nilai disalin langsung
src_port	principal.port	Dikonversi ke bilangan bulat jika src_port != "-"
action	security_result.action	Ditetapkan ke "BLOCK" jika tindakan == "DROP"; "ALLOW" jika tindakan == "ALLOW"
info	security_result.summary	Nilai disalin langsung jika info != "-"
dst_ip	target.ip	Nilai disalin langsung
dst_port	target.port	Dikonversi ke bilangan bulat jika dst_port != "-"
	metadata.product_name	Ditetapkan ke "Windows Firewall"
	metadata.vendor_name	Ditetapkan ke "Microsoft"

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.