Mengumpulkan log Peristiwa Windows

Didukung di:

Dokumen ini menjelaskan cara menyerap log Peristiwa Windows ke Google Security Operations menggunakan Bindplane.

Log Peristiwa Windows adalah mekanisme pencatatan log utama di sistem operasi Microsoft Windows yang mencatat peristiwa sistem, keamanan, aplikasi, dan kustom. Log ini menyediakan data audit penting, termasuk login/logout pengguna, pembuatan proses, perubahan kebijakan, dan informasi kesehatan sistem untuk pemantauan dan kepatuhan keamanan. Agen Bindplane menggunakan penerima windowseventlog untuk mengumpulkan Log Peristiwa Windows secara native tanpa memerlukan penerusan syslog. Parser mendukung format JSON, XML, SYSLOG+KV, SYSLOG+JSON, dan SYSLOG+XML, serta memetakan kolom yang diekstrak ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2012 R2 atau yang lebih baru, atau klien Windows 10/11
  • Akses administrator ke sistem Windows
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows Anda.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen BindPlane untuk mengumpulkan log Windows Sysmon dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    windowseventlog/application:
        channel: Application
        raw: true
        max_reads: 100
        poll_interval: 5s
        start_at: end

    windowseventlog/security:
        channel: Security
        raw: true
        max_reads: 100
        poll_interval: 5s
        start_at: end

    windowseventlog/system:
        channel: System
        raw: true
        max_reads: 100
        poll_interval: 5s
        start_at: end

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'WINEVTLOG'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - windowseventlog/application
                - windowseventlog/security
                - windowseventlog/system
            exporters:
                - chronicle/chronicle_w_labels

Parameter konfigurasi

  • Ganti placeholder berikut:

    • Konfigurasi eksportir:
      • creds_file_path: Jalur lengkap ke file autentikasi penyerapan (default: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)
      • YOUR_CUSTOMER_ID: ID Pelanggan dari bagian Dapatkan ID pelanggan
      • endpoint: URL endpoint regional:
        • Amerika Serikat: malachiteingestion-pa.googleapis.com
        • Eropa: europe-malachiteingestion-pa.googleapis.com
        • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
        • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Temukan observIQ OpenTelemetry Collector.

      3. Klik kanan, lalu pilih Mulai Ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi Pengumpulan Log Peristiwa Windows

Karena agen Bindplane mengumpulkan Log Peristiwa Windows secara native menggunakan penerima windowseventlog, tidak diperlukan konfigurasi penerusan syslog. Sebagai gantinya, pastikan saluran Windows Event Log yang diinginkan aktif dan menghasilkan peristiwa.

Memastikan Saluran Peristiwa Aktif

  1. Buka Windows Event Viewer untuk memverifikasi bahwa saluran peristiwa yang diinginkan sudah aktif.
  2. Untuk mengaktifkan saluran peristiwa tambahan:
    1. Buka Event Viewer (tekan Win+R, ketik eventvwr.msc, tekan Enter).
    2. Buka Log Aplikasi dan Layanan.
    3. Untuk setiap channel yang diinginkan, klik kanan, lalu pilih Aktifkan Log.
  3. Channel utama yang akan dikumpulkan:
    • Aplikasi: Error, peringatan, dan informasi aplikasi
    • Keamanan: Peristiwa login, penggunaan hak istimewa, perubahan kebijakan (memerlukan konfigurasi Kebijakan Audit)
    • Sistem: Peristiwa komponen sistem, kegagalan driver, perubahan layanan

Mengonfigurasi Kebijakan Audit untuk Pengumpulan Peristiwa Keamanan

  1. Buka Local Security Policy (tekan Win+R, ketik secpol.msc, tekan Enter).
  2. Buka Security Settings > Local Policies > Audit Policy.
  3. Aktifkan kategori audit yang diinginkan:
    • Audit peristiwa login akun: Berhasil, Gagal
    • Audit peristiwa login: Berhasil, Gagal
    • Audit akses objek: Berhasil, Gagal
    • Perubahan kebijakan audit: Berhasil, Gagal
    • Penggunaan hak istimewa audit: Berhasil, Gagal
    • Pelacakan proses audit: Berhasil, Gagal

Tabel pemetaan UDM

Kolom NXLog Kolom UDM
EventTime metadata.event_timestamp
Hostname principal.hostname
EventID product_event_type ditetapkan ke "%{EventID}", security_result.rule_name ditetapkan ke "EventID: %{EventID}"
SourceName metadata.product_name ditetapkan ke "%25%7BSourceName}", metadata.vendor_name ditetapkan ke "Microsoft"
Kategori about.labels.key/value additional.fields.key additional.fields.value.string_value
Saluran about.labels.key/value additional.fields.key additional.fields.value.string_value
Keparahan Nilai yang dipetakan ke kolom security_result.severity sebagai berikut:, Nilai asli 0 (Tidak Ada), ditetapkan ke UNKNOWN_SEVERITY, Nilai asli 1 (Kritis) ditetapkan ke INFORMATIONAL, Nilai asli 2 (Error) ditetapkan ke ERROR, Nilai asli 3 (Peringatan) ditetapkan ke ERROR, Nilai asli 4 (Informasi) ditetapkan ke INFORMATIONAL, Nilai asli 5 (Verbose) ditetapkan ke INFORMATIONAL
UserID principal.user.windows_sid
ExecutionProcessID principal.process.pid
ProcessID principal.process.pid
ProviderGuid metadata.product_deployment_id
RecordNumber metadata.product_log_id
SourceModuleName observer.labels.key/value additional.fields.key additional.fields.value.string_value
SourceModuleType observer.application
Kode operasi about.labels.key/value additional.fields.key additional.fields.value.string_value
Kata kunci additional.fields.key additional.fields.value.string_value
ActivityID security_result.detection_fields.key/value
Pesan additional.fields.key additional.fields.value.string_value
HostIP intermediary.ip

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.