התקנת קובץ ההפעלה של Windows Forwarder

נתמך ב:

במאמר הזה מוסבר איך להתקין ולהגדיר את המעביר של Google SecOps ב-Microsoft Windows.

התאמה אישית של קובצי התצורה

על סמך המידע ששלחתם לפני הפריסה, Google Cloudמספק לכם קובץ להפעלה וקובץ תצורה אופציונלי למעביר של Google SecOps. צריך להריץ את הקובץ להפעלה רק במארח שהוגדר בשבילו. כל קובץ להפעלה כולל הגדרות ספציפיות למכונה של Google SecOps forwarder ברשת שלכם. אם אתם צריכים לשנות את ההגדרות, פנו לתמיכה של Google SecOps.

דרישות מערכת

אלה המלצות כלליות. כדי לקבל המלצות ספציפיות למערכת שלכם, פנו לתמיכה של Google SecOps.

  • גרסת Windows Server: אפשר להשתמש ב-Google SecOps forwarder בגרסאות הבאות של Microsoft Windows Server:

    • 2008 R2

    • 2012 R2

    • 2016

  • ‫RAM: ‏1.5GB לכל סוג נתונים שנאסף. לדוגמה, זיהוי ותגובה בנקודות קצה (EDR),‏ DNS ו-DHCP הם סוגי נתונים נפרדים. כדי לאסוף נתונים לכל שלושת המדדים, נדרש זיכרון RAM בנפח 4.5GB.

  • מעבד (CPU): שני מעבדים מספיקים כדי לטפל בפחות מ-10,000 אירועים לשנייה (EPS) (סה"כ לכל סוגי הנתונים). אם אתם צופים שתעבירו יותר מ-10,000 אירועים לשנייה, תצטרכו 4 עד 6 מעבדים.

  • כונן: נדרש מקום פנוי של 20GB בכונן, בלי קשר לכמות הנתונים שהמפנה של Google SecOps מטפל בהם. כברירת מחדל, ה-forwarder של Google SecOps לא שומר נתונים במאגר זמני בדיסק, אבל מומלץ להפעיל את האפשרות הזו. אפשר להוסיף מאגר נתונים זמני לדיסק על ידי הוספת הפרמטרים write_to_disk_buffer_enabled ו-write_to_disk_dir_path בקובץ התצורה.

    לדוגמה:

    - <collector>:
     common:
         ...
         write_to_disk_buffer_enabled: true
         write_to_disk_dir_path: <var>your_path</var>
         ...

טווחי כתובות IP של Google

יכול להיות שתצטרכו לפתוח את טווח כתובות ה-IP כשאתם מגדירים את Google SecOps Forwarder, למשל כשאתם מגדירים את חומת האש. ‫Google לא יכולה לספק רשימה ספציפית של כתובות IP. עם זאת, אתם יכולים לקבל טווחי כתובות IP של Google.

אימות ההגדרות של חומת האש

אם יש לכם חומות אש או שרתי proxy מאומתים בין מאגר ה-forwarder של Google SecOps לבין האינטרנט, צריך להגדיר בהם כללים שיאפשרו גישה למארחים הבאים של Google Cloud :

סוג החיבור יעד יציאה
TCP malachiteingestion-pa.googleapis.com 443
TCP asia-northeast1-malachiteingestion-pa.googleapis.com 443
TCP asia-south1-malachiteingestion-pa.googleapis.com 443
TCP asia-southeast1-malachiteingestion-pa.googleapis.com 443
TCP australia-southeast1-malachiteingestion-pa.googleapis.com 443
TCP eu-chronicle.googleapis.com 443
TCP europe-malachiteingestion-pa.googleapis.com 443
TCP europe-west2-malachiteingestion-pa.googleapis.com 443
TCP europe-west3-malachiteingestion-pa.googleapis.com 443
TCP europe-west6-malachiteingestion-pa.googleapis.com 443
TCP europe-west9-malachiteingestion-pa.googleapis.com 443
TCP europe-west12-malachiteingestion-pa.googleapis.com 443
TCP me-central1-malachiteingestion-pa.googleapis.com 443
TCP me-central2-malachiteingestion-pa.googleapis.com 443
TCP me-west1-malachiteingestion-pa.googleapis.com 443
TCP northamerica-northeast2-malachiteingestion-pa.googleapis.com 443
TCP southamerica-east1-malachiteingestion-pa.googleapis.com 443
TCP accounts.google.com 443
TCP gcr.io 443
TCP cloud.google.com/artifact-registry 443
TCP oauth2.googleapis.com 443
TCP www.googleapis.com 443
TCP storage.googleapis.com 443

כדי לבדוק את החיבור לרשת Google Cloud :

  1. מפעילים את Windows PowerShell עם הרשאות אדמין (לוחצים על Start, מקלידים PowerShell, לוחצים לחיצה ימנית על Windows PowerShell ולוחצים על Run as administrator).

  2. מריצים את הפקודה הבאה: ‫TcpTestSucceeded אמור להחזיר את הערך True.

    C:\> test-netconnection <host> -port <port>

    לדוגמה:

    C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
ComputerName     : malchiteingestion-pa.googleapis.com
RemoteAddress    : 198.51.100.202
RemotePort       : 443
InterfaceAlias   : Ethernet
SourceAddress    : 10.168.0.2
TcpTestSucceeded : True

אתם יכולים גם להשתמש ב-Google SecOps Forwarder כדי לבדוק את הקישוריות לרשת:

  1. מפעילים את שורת הפקודה עם הרשאות אדמין (לוחצים על התחלה, מקלידים Command Prompt, לוחצים לחיצה ימנית על שורת הפקודה ולוחצים על הפעלה כמנהל מערכת).

  2. כדי לאמת את הקישוריות לרשת, מריצים את ה-forwarder של Google SecOps עם האפשרות -test.

    C:\> .\chronicle_forwarder.exe -test
Verify network connection succeeded!

התקנת המעביר של Google SecOps ב-Windows

ב-Windows, צריך להתקין את קובץ ההפעלה של המעביר של Google SecOps כשירות.

  1. מעתיקים את הקובץ chronicle_forwarder.exe ואת קובץ התצורה לספריית עבודה.

  2. מפעילים את שורת הפקודה עם הרשאות אדמין (לוחצים על התחלה, מקלידים Command Prompt, לוחצים לחיצה ימנית על שורת הפקודה ולוחצים על הפעלה כמנהל מערכת).

  3. כדי להתקין את השירות, עוברים לספריית העבודה שיצרתם בשלב 1 ומריצים את הפקודה הבאה:

    C:\> .\chronicle_forwarder.exe -install -config FILE_NAME

    מחליפים את FILE_NAME בשם של קובץ התצורה שקיבלתם.

    השירות מותקן ב-C:\Windows\system32\ChronicleForwarder.

  4. כדי להפעיל את השירות, מריצים את הפקודה הבאה:

    C:\> sc.exe start chronicle_forwarder

איך מוודאים שהמפנה של Google SecOps פועל

למערכת ההעברה של Google SecOps צריך להיות חיבור רשת פתוח ביציאה 443, והנתונים אמורים להופיע בממשק האינטרנט של Google SecOps תוך כמה דקות.

כדי לוודא שה-forwarder של Google SecOps פועל, אפשר להשתמש באחת מהשיטות הבאות:

  • מנהל המשימות: עוברים לכרטיסייה תהליכים > תהליכים ברקע > chronicle_forwarder.

  • ב-Resources Monitor: בכרטיסייה Network, האפליקציה chronicle_forwarder.exe אמורה להופיע בקטע פעילות ברשת (בכל פעם שהאפליקציה chronicle_forwarder.exe מתחברת אל Google Cloud), בקטע TCP Connections ובקטע Listening Ports.

צפייה ביומני ההעברה

קובצי היומן של Google SecOps Forwarder מאוחסנים בתיקייה C:\Windows\Temp. קובצי היומן מתחילים ב-chronicle_forwarder.exe.win-forwarder. קובצי היומן מספקים מגוון פרטים, כולל מתי הופעל ה-forwarder ומתי הוא התחיל לשלוח נתונים אל Google Cloud.

הסרת ההתקנה של Google SecOps forwarder

כדי להסיר את שירות הפורוורדר של Google SecOps:

  1. פותחים את שורת הפקודה במצב אדמין.

  2. עוצרים את שירות ההעברה של Google SecOps:

    SERVICE_NAME: chronicle_forwarder
TYPE               : 10  WIN32_OWN_PROCESS
STATE              : 4  RUNNING (STOPPABLE, PAUSABLE, ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE    : 0  (0x0)
SERVICE_EXIT_CODE  : 0  (0x0)
CHECKPOINT         : 0x0
WAIT_HINT          : 0x0

  3. עוברים לספרייה C:\Windows\system32\ChronicleForwarder ומסירים את שירות ה-forwarder של Google SecOps: ‏C:\> .\chronicle_forwarder.exe -uninstall

שדרוג של Google SecOps Forwarder

כדי לשדרג את ה-forwarder של Google SecOps ולהמשיך להשתמש בקובץ התצורה הנוכחי:

  1. פותחים את שורת הפקודה במצב אדמין.

  2. מעתיקים את קובץ התצורה מהספרייה C:\Windows\system32\ChronicleForwarder לספרייה אחרת.

  3. עוצרים את ה-forwarder של Google SecOps:

    C:\> sc.exe stop chronicle_forwarder

  4. מסירים את השירות והאפליקציה של Google SecOps forwarder:

    C:\> .\chronicle_forwarder.exe --uninstall

  5. מוחקים את כל הקבצים בספרייה C:\windows\system32\ChronicleForwarder.

  6. מעתיקים את אפליקציית chronicle_forwarder.exe החדשה ואת קובץ התצורה המקורי לספריית עבודה.

  7. מריצים את הפקודה הבאה מספריית העבודה:

    C:\> .\chronicle_forwarder.exe -install -config configFileProvidedToYou

  8. מפעילים את השירות:

    C:\ sc.exe start chronicle_forwarder

איסוף נתוני Splunk

פנו אל התמיכה של Google SecOps כדי לעדכן את קובץ התצורה של מעביר הנתונים של Google SecOps, כך שיעביר את נתוני Splunk אל Google Cloud.

איסוף נתוני syslog

ה-forwarder של Google SecOps יכול לפעול כשרת syslog, כלומר אתם יכולים להגדיר כל מכשיר או שרת שתומכים בשליחת נתוני syslog דרך חיבור TCP או UDP כדי להעביר את הנתונים שלהם ל-forwarder של Google SecOps. אתם יכולים לקבוע בדיוק אילו נתונים המכשיר או השרת ישלחו אל Google SecOps forwarder, שיכול להעביר את הנתונים אל Google Cloud.

בקובץ התצורה של המעביר של Google SecOps מצוין אילו יציאות צריך לנטר לכל סוג של נתונים שמועברים (לדוגמה, יציאה 10514). כברירת מחדל, המעביר של Google SecOps מקבל גם חיבורי TCP וגם חיבורי UDP. פנו לצוות התמיכה של Google SecOps כדי לעדכן את קובץ התצורה של Google SecOps forwarder כך שיתמוך ב-syslog.

הפעלה או השבתה של דחיסת נתונים

דחיסת יומנים מפחיתה את צריכת רוחב הפס של הרשת כשמעבירים יומנים ל-Google SecOps. עם זאת, הדחיסה עלולה לגרום לעלייה בשימוש במעבד (CPU). האיזון בין השימוש ב-CPU לבין רוחב הפס תלוי בגורמים רבים, כולל סוג נתוני היומן, יכולת הדחיסה של הנתונים האלה, הזמינות של מחזורי ה-CPU במארח שמפעיל את ה-forwarder והצורך לצמצם את צריכת רוחב הפס של הרשת.

לדוגמה, יומנים מבוססי-טקסט נדחסים היטב ויכולים לחסוך הרבה רוחב פס עם שימוש נמוך ב-CPU. עם זאת, מטען ייעודי (payload) מוצפן של חבילות גולמיות לא נדחס היטב וגורם לשימוש גבוה יותר במעבד.

רוב סוגי היומנים שמועברים על ידי ה-forwarder ניתנים לדחיסה יעילה, ולכן דחיסת היומנים מופעלת כברירת מחדל כדי לצמצם את צריכת רוחב הפס. עם זאת, אם העלייה בשימוש במעבד (CPU) עולה על היתרון של החיסכון ברוחב הפס, אתם יכולים להשבית את הדחיסה על ידי הגדרת השדה compression לערך false בקובץ התצורה של Google SecOps Forwarder, כמו בדוגמה הבאה:

  compression: false
  url: malachiteingestion-pa.googleapis.com:443
  identity:
  identity:
  collector_id: 10479925-878c-11e7-9421-10604b7abba1
  customer_id: abcd4bb9-878b-11e7-8455-12345b7cb5c1
  secret_key: |
  {
    "type": "service_account",
  ...

הפעלת TLS להגדרות של syslog

אתם יכולים להפעיל את Transport Layer Security ‏ (TLS) לחיבור של syslog ל-Google SecOps forwarder. בקובץ התצורה של ה-forwarder של Google SecOps, מציינים את המיקום של האישור ומפתח האישור, כמו בדוגמה הבאה:

אישור C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem
certificate_key C:/opt/chronicle/external/certs/forwarder.key

לפי הדוגמה שמוצגת, צריך לשנות את ההגדרה של Google SecOps forwarder באופן הבא:

  collectors:
- syslog:
    common:
      enabled: true
      data_type: WINDOWS_DNS
      data_hint:
      batch_n_seconds: 10
      batch_n_bytes: 1048576
  tcp_address: 0.0.0.0:10515
  connection_timeout_sec: 60
  certificate: "C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem"
  certificate_key: "C:/opt/chronicle/external/certs/forwarder.key"

אפשר ליצור ספריית אישורים בספריית ההגדרות ולשמור שם את קובצי האישורים.

איסוף נתוני חבילות

ה-forwarder של Google SecOps יכול לתעד חבילות ישירות מממשק רשת באמצעות Npcap במערכות Windows.

המערכת מתעדת את החבילות ושולחת אותן אל Google Cloud במקום רשומות ביומן. הצילום מתבצע מממשק מקומי בלבד.

פונים לתמיכה של Google SecOps כדי לעדכן את קובץ התצורה של Google SecOps Forwarder כך שיתמוך בלכידת חבילות.

כדי להפעיל מעביר של תיעוד חבילות (PCAP), צריך:

  • מתקינים את Npcap במארח של Microsoft Windows.

  • כדי לעקוב אחרי ממשק הרשת, צריך לתת ל-Google SecOps forwarder הרשאות אדמין או הרשאות ברמת הבסיס (root).

  • אין צורך באפשרויות של שורת הפקודה.

  • בהתקנה של Npcap, מפעילים את מצב התאימות של WinPcap.

כדי להגדיר מעביר PCAP,צריך את ה-GUID של הממשק שמשמש לתיעוד חבילות ב- Google Cloud . מריצים את getmac.exe במכונה שבה רוצים להתקין את המעביר של Google SecOps (השרת או המכונה שמאזינה ליציאת ה-SPAN) ושולחים את הפלט אל Google SecOps.

אפשר גם לשנות את קובץ התצורה. מאתרים את הקטע PCAP ומחליפים את ערך ה-GUID שמוצג לצד הממשק ב-GUID שמוצג מהרצת getmac.exe.

לדוגמה, הנה קטע PCAP מקורי:

 common:
       enabled: true
 data_type: PCAP_DNS
       batch_n_seconds: 10
   batch_n_bytes: 1048576
     interface: \Device\NPF_{1A7E7C8B-DD7B-4E13-9637-0437AB1A12FE}
   bpf: udp port 53

זה הפלט שמתקבל מהרצת getmac.exe:

C:\>getmac.exe
  Physical Address    Transport Name
  ===========================================================================
  A4-73-9F-ED-E1-82   \Device\Tcpip_{2E0E9440-ABFF-4E5B-B43C-E188FCAD1234}

ולסיום, הנה הקטע המתוקן של ה-PCAP עם ה-GUID החדש:

- pcap:
       common:
     enabled: true
         data_type: PCAP_DNS
     batch_n_seconds: 10
         batch_n_bytes: 1048576
       interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
     bpf: udp port 53

איסוף נתונים של WebProxy

ה-forwarder של Google SecOps יכול לתעד נתוני WebProxy ישירות מממשק רשת באמצעות Npcap ולשלוח אותם אל Google Cloud.

כדי להפעיל את תיעוד הנתונים של WebProxy במערכת, פנו לתמיכה של Google SecOps.

לפני שמפעילים את WebProxy forwarder, צריך לבצע את הפעולות הבאות:

  1. מתקינים את Npcap במארח של Microsoft Windows. מפעילים את מצב התאימות של WinPcap במהלך ההתקנה.

  2. נותנים הרשאות אדמין או הרשאות בסיסיות ל-Google SecOps forwarder כדי לעקוב אחרי ממשק הרשת.

  3. כדי להגדיר העברה של WebProxy,צריך את ה-GUID של הממשק שמשמש לתיעוד חבילות ה-WebProxy ב- Google Cloud .

    מריצים את getmac.exe במכונה שבה רוצים להתקין את ה-forwarder של Google SecOps ושולחים את הפלט אל Google SecOps. לחלופין, אפשר לשנות את קובץ התצורה. מאתרים את הקטע WebProxy ומחליפים את ה-GUID שמוצג לצד הממשק ב-GUID שמוצג אחרי שמריצים את getmac.exe.

    משנים את קובץ ההגדרות של Google SecOps Forwarder‏ (FORWARDER_NAME.conf) באופן הבא:

      - webproxy:
    common:
        enabled : true
        data_type: <Your LogType>
        batch_n_seconds: 10
        batch_n_bytes: 1048576
      interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
      bpf: tcp and dst port 80

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.