Instalar o executável do encaminhador do Windows

Compatível com:

Google SecOps SIEM

Atenção: o encaminhador foi descontinuado. O componente de encaminhamento está sendo descontinuado da plataforma Google SecOps e vai chegar ao fim da vida útil (EOL) em janeiro de 2027. 1º de abril de 2026: os novos clientes do Google SecOps não poderão usar o componente de encaminhamento. 1º de janeiro de 2027: o encaminhador chega oficialmente EOL. Não serão lançados mais patches, incluindo patches de segurança. 1º de abril de 2027: não será mais permitido ingerir dados do componente de encaminhamento. O Google recomenda o uso do Bindplane para o Google SecOps como a principal solução para coleta de registros. Para mais informações, consulte Usar o Bindplane com o Google SecOps.

Atenção :o executável do encaminhador do Google Security Operations para Windows foi descontinuado. Embora ainda ofereçamos suporte ao executável do encaminhador do Google SecOps para Windows, recomendamos usar o encaminhador do Google SecOps para Linux no Docker ou migrar para o Bindplane.

Neste documento, descrevemos como instalar e configurar o encaminhador do Google SecOps no Microsoft Windows.

Personalizar os arquivos de configuração

Com base nas informações enviadas antes da implantação,o Google Cloud fornece um arquivo executável e um arquivo de configuração opcional para o encaminhador do Google SecOps. O arquivo executável só deve ser executado no host para o qual foi configurado. Cada arquivo executável inclui uma configuração específica para a instância do encaminhador do Google SecOps na sua rede. Se você precisar alterar a configuração, entre em contato com o suporte do Google SecOps.

Observação: não compartilhe seus arquivos de configuração fora da organização.

Requisitos do sistema

Confira a seguir as recomendações gerais. Para recomendações específicas para seu sistema, entre em contato com o suporte do Google SecOps.

• Versão do Windows Server: o encaminhador do Google SecOps é compatível com as seguintes versões do Microsoft Windows Server:

  • 2008 R2

  • 2012 R2

  • 2016

• RAM: 1,5 GB para cada tipo de dado coletado. Por exemplo, detecção e resposta de endpoints (EDR), DNS e DHCP são tipos de dados separados. Você precisa de 4,5 GB de RAM para coletar dados dos três.

• CPU: duas CPUs são suficientes para lidar com menos de 10.000 eventos por segundo (EPS,na sigla em inglês) (total para todos os tipos de dados). Se você espera encaminhar mais de 10.000 EPS, são necessárias de 4 a 6 CPUs.

• Disco: são necessários 20 GB de espaço em disco, independentemente da quantidade de dados que o encaminhador do Google SecOps processa. O encaminhador do Google SecOps não armazena em buffer no disco por padrão, mas é recomendável ativar o armazenamento em buffer no disco. É possível armazenar o disco em buffer adicionando os parâmetros write_to_disk_buffer_enabled e write_to_disk_dir_path no arquivo de configuração.

  Exemplo:

  - <collector>:
       common:
           ...
           write_to_disk_buffer_enabled: true
           write_to_disk_dir_path: <var>your_path</var>
           ...
  

Intervalos de endereços IP do Google

Talvez seja necessário abrir o intervalo de endereços IP ao definir uma configuração de encaminhador do Google SecOps, como ao definir a configuração do firewall. Não é possível para o Google fornecer uma lista específica de endereços IP. No entanto, é possível encontrar os intervalos de endereços IP do Google.

Verificar a configuração do firewall

Se houver firewalls ou proxies autenticados entre o contêiner do encaminhador do Google SecOps e a Internet, eles vão precisar de regras para permitir o acesso aos seguintes hosts do Google Cloud :

Tipo de conexão	Destino	Porta
TCP	malachiteingestion-pa.googleapis.com	443
TCP	asia-northeast1-malachiteingestion-pa.googleapis.com	443
TCP	asia-south1-malachiteingestion-pa.googleapis.com	443
TCP	asia-southeast1-malachiteingestion-pa.googleapis.com	443
TCP	australia-southeast1-malachiteingestion-pa.googleapis.com	443
TCP	eu-chronicle.googleapis.com	443
TCP	europe-malachiteingestion-pa.googleapis.com	443
TCP	europe-west2-malachiteingestion-pa.googleapis.com	443
TCP	europe-west3-malachiteingestion-pa.googleapis.com	443
TCP	europe-west6-malachiteingestion-pa.googleapis.com	443
TCP	europe-west9-malachiteingestion-pa.googleapis.com	443
TCP	europe-west12-malachiteingestion-pa.googleapis.com	443
TCP	me-central1-malachiteingestion-pa.googleapis.com	443
TCP	me-central2-malachiteingestion-pa.googleapis.com	443
TCP	me-west1-malachiteingestion-pa.googleapis.com	443
TCP	northamerica-northeast2-malachiteingestion-pa.googleapis.com	443
TCP	southamerica-east1-malachiteingestion-pa.googleapis.com	443
TCP	accounts.google.com	443
TCP	gcr.io	443
TCP	cloud.google.com/artifact-registry	443
TCP	oauth2.googleapis.com	443
TCP	www.googleapis.com	443
TCP	storage.googleapis.com	443

Para verificar a conectividade de rede com o Google Cloud , siga estas etapas:

1. Inicie o Windows PowerShell com privilégios de administrador (clique em Iniciar, digite PowerShell, clique com o botão direito do mouse em Windows PowerShell e clique em Executar como administrador).

2. Execute o comando a seguir. TcpTestSucceeded precisa retornar verdadeiro.

   C:\> test-netconnection <host> -port <port>

   Exemplo:

   C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
   ComputerName     : malchiteingestion-pa.googleapis.com
   RemoteAddress    : 198.51.100.202
   RemotePort       : 443
   InterfaceAlias   : Ethernet
   SourceAddress    : 10.168.0.2
   TcpTestSucceeded : True
   

Também é possível usar o encaminhador do Google SecOps para verificar a conectividade de rede:

1. Inicie o prompt de comando com privilégios de administrador (clique em Iniciar, digite Command Prompt, clique com o botão direito do mouse em Prompt de comando e clique em Executar como administrador).

2. Para verificar a conectividade de rede, execute o encaminhador do Google SecOps com a opção -test.

   C:\> .\chronicle_forwarder.exe -test
   Verify network connection succeeded!
   

Instalar o encaminhador do Google SecOps no Windows

No Windows, o executável do encaminhador do Google SecOps precisa ser instalado como um serviço.

1. Copie o arquivo chronicle_forwarder.exe e o arquivo de configuração para um diretório de trabalho.

2. Inicie o prompt de comando com privilégios de administrador (clique em Iniciar, digite Command Prompt, clique com o botão direito do mouse em Prompt de comando e clique em Executar como administrador).

3. Para instalar o serviço, acesse o diretório de trabalho criado na etapa 1 e execute o seguinte comando:

   C:\> .\chronicle_forwarder.exe -install -config FILE_NAME
   

   Substitua FILE_NAME pelo nome do arquivo de configuração fornecido a você.

   O serviço é instalado em C:\Windows\system32\ChronicleForwarder.

4. Para iniciar o serviço, execute o seguinte comando:

   C:\> sc.exe start chronicle_forwarder
   

Verificar se o encaminhador do Google SecOps está em execução

O encaminhador do Google SecOps precisa ter uma conexão de rede aberta na porta 443, e seus dados devem aparecer na interface da Web do Google SecOps em alguns minutos.

É possível verificar se o encaminhador do Google SecOps está em execução usando um dos seguintes métodos:

• Gerenciador de tarefas: acesse a guia Processos > Processos em segundo plano > chronicle_forwarder.

• Monitor de recursos: na guia Rede, o aplicativo chronicle_forwarder.exe precisa estar listado em Atividade da rede (sempre que o aplicativo chronicle_forwarder.exe se conectar a Google Cloud), em "Conexões TCP" e em "Portas de escuta".

Ver registros do encaminhador

Os arquivos de registro do encaminhador do Google SecOps são armazenados na pasta C:\Windows\Temp. Os arquivos de registro começam com chronicle_forwarder.exe.win-forwarder. Os arquivos de registro fornecem várias informações, incluindo quando o encaminhador foi iniciado e quando começou a enviar dados para o Google Cloud.

Desinstalar o encaminhador do Google SecOps

Para desinstalar o serviço de encaminhamento do Google SecOps, siga estas etapas:

1. Abra o prompt de comando no modo de administrador.

2. Interrompa o serviço de encaminhamento do Google SecOps:

   SERVICE_NAME: chronicle_forwarder
   TYPE               : 10  WIN32_OWN_PROCESS
   STATE              : 4  RUNNING (STOPPABLE, PAUSABLE, ACCEPTS_SHUTDOWN)
   WIN32_EXIT_CODE    : 0  (0x0)
   SERVICE_EXIT_CODE  : 0  (0x0)
   CHECKPOINT         : 0x0
   WAIT_HINT          : 0x0
   

3. Acesse o diretório C:\Windows\system32\ChronicleForwarder e desinstale o serviço de encaminhamento do Google SecOps: C:\> .\chronicle_forwarder.exe -uninstall

Fazer upgrade do encaminhador do Google SecOps

Para fazer upgrade do encaminhador do Google SecOps sem deixar de usar o arquivo de configuração atual, siga estas etapas:

1. Abra o prompt de comando no modo de administrador.

2. Copie o arquivo de configuração do diretório C:\Windows\system32\ChronicleForwarder para outro diretório.

3. Interrompa o encaminhador do Google SecOps:

   C:\> sc.exe stop chronicle_forwarder
   

4. Desinstale o serviço e o aplicativo do encaminhador do Google SecOps:

   C:\> .\chronicle_forwarder.exe --uninstall
   

5. Exclua todos os arquivos no diretório C:\windows\system32\ChronicleForwarder.

6. Copie o novo aplicativo chronicle_forwarder.exe e o arquivo de configuração original para um diretório de trabalho.

7. No diretório de trabalho, execute o seguinte comando:

   C:\> .\chronicle_forwarder.exe -install -config configFileProvidedToYou
   

8. Inicie o serviço:

   C:\ sc.exe start chronicle_forwarder
   

Coletar dados do Splunk

Entre em contato com o suporte do Google SecOps para atualizar o arquivo de configuração do encaminhador do Google SecOps e encaminhar seus dados do Splunk para o Google Cloud.

Coletar dados do syslog

O encaminhador do Google SecOps pode operar como um servidor syslog, o que significa que é possível configurar qualquer dispositivo ou servidor que aceite o envio de dados syslog por uma conexão TCP ou UDP para encaminhar os dados ao encaminhador do Google SecOps. Você pode controlar exatamente quais dados o dispositivo ou servidor envia para o encaminhador do Google SecOps, que pode encaminhar os dados para o Google Cloud.

O arquivo de configuração do encaminhador do Google SecOps especifica quais portas monitorar para cada tipo de dado encaminhado (por exemplo, a porta 10514). Por padrão, o encaminhador do Google SecOps aceita conexões TCP e UDP. Entre em contato com o suporte do Google SecOps para atualizar o arquivo de configuração do encaminhador do Google SecOps para que ele seja compatível com o syslog.

Alternar compactação de dados

A compactação de registros reduz o consumo de largura de banda da rede ao transferir registros para o Google SecOps. No entanto, a compactação pode aumentar o uso da CPU. A compensação entre o uso da CPU e a largura de banda depende de muitos fatores, incluindo o tipo de dados de registro, a compactação desses dados, a disponibilidade de ciclos de CPU no host que executa o encaminhador e a necessidade de reduzir o consumo de largura de banda da rede.

Por exemplo, os registros baseados em texto são bem compactados e podem proporcionar uma economia substancial de largura de banda com baixo uso de CPU. No entanto, os payloads criptografados de pacotes brutos não são bem compactados e geram um uso maior de CPU.

Como a maioria dos tipos de registro ingeridos pelo encaminhador é compactável de forma eficiente, a compactação de registros é ativada por padrão para reduzir o consumo de largura de banda. No entanto, se o aumento do uso da CPU superar o benefício da economia de largura de banda, desative a compactação definindo o campo compression como false no arquivo de configuração do encaminhador do Google SecOps, conforme mostrado no exemplo a seguir:

  compression: false
  url: malachiteingestion-pa.googleapis.com:443
  identity:
  identity:
  collector_id: 10479925-878c-11e7-9421-10604b7abba1
  customer_id: abcd4bb9-878b-11e7-8455-12345b7cb5c1
  secret_key: |
  {
    "type": "service_account",
  ...

Ativar o TLS para configurações de syslog

É possível ativar o Transport Layer Security (TLS) para a conexão do syslog com o encaminhador do Google SecOps. No arquivo de configuração do encaminhador do Google SecOps, especifique o local do certificado e da chave do certificado, conforme mostrado no exemplo a seguir:

certificado	C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem
certificate_key	C:/opt/chronicle/external/certs/forwarder.key

Com base no exemplo mostrado, a configuração do encaminhador do Google SecOps seria modificada da seguinte maneira:

  collectors:
- syslog:
    common:
      enabled: true
      data_type: WINDOWS_DNS
      data_hint:
      batch_n_seconds: 10
      batch_n_bytes: 1048576
  tcp_address: 0.0.0.0:10515
  connection_timeout_sec: 60
  certificate: "C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem"
  certificate_key: "C:/opt/chronicle/external/certs/forwarder.key"

É possível criar um diretório de certificados no diretório de configuração e armazenar os arquivos de certificado nele.

Observação: remova o campo udp_address do arquivo de configuração do encaminhador do Google SecOps. O TLS precisa usar TCP para transporte, portanto, o UDP não pode ser configurado.

Coletar dados de pacotes

O encaminhador do Google SecOps pode capturar pacotes diretamente de uma interface de rede usando o Npcap em sistemas Windows.

Observação: o uso do WinPcap foi descontinuado. Recomendamos usar o Npcap.

Os pacotes são capturados e enviados para o Google Cloud em vez de entradas de registro. A captura é feita apenas em uma interface local.

Entre em contato com o suporte do Google SecOps para atualizar o arquivo de configuração do encaminhador do Google SecOps para que ele seja compatível com a captura de pacotes.

Para executar um encaminhador de captura de pacotes (PCAP), você precisa do seguinte:

• Instale o Npcap no host do Microsoft Windows.

• Conceda ao encaminhador do Google SecOps privilégios de raiz ou de administrador para monitorar a interface de rede.

• Não é necessário usar opções de linha de comando.

• Na instalação do Npcap, ative o modo de compatibilidade do WinPcap.

Para configurar um encaminhador de PCAP,o Google Cloud precisa do GUID da interface usada para capturar pacotes. Execute getmac.exe na máquina em que você planeja instalar o encaminhador do Google SecOps (o servidor ou a máquina que detecta a porta de span) e envie a saída para o Google SecOps.

Como alternativa, você pode modificar o arquivo de configuração. Localize a seção PCAP e substitua o valor do GUID mostrado ao lado da interface pelo GUID exibido ao executar getmac.exe.

Por exemplo, veja uma seção PCAP original:

 common:
       enabled: true
 data_type: PCAP_DNS
       batch_n_seconds: 10
   batch_n_bytes: 1048576
     interface: \Device\NPF_{1A7E7C8B-DD7B-4E13-9637-0437AB1A12FE}
   bpf: udp port 53

Confira a saída da execução de getmac.exe:

C:\>getmac.exe
  Physical Address    Transport Name
  ===========================================================================
  A4-73-9F-ED-E1-82   \Device\Tcpip_{2E0E9440-ABFF-4E5B-B43C-E188FCAD1234}

Por fim, veja a seção PCAP revisada com o novo GUID:

- pcap:
       common:
     enabled: true
         data_type: PCAP_DNS
     batch_n_seconds: 10
         batch_n_bytes: 1048576
       interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
     bpf: udp port 53

Observação :a saída getmac.exe para o nome do transporte começa com \Device\Tcpip, enquanto a seção pcap comparável começa com \Device\NPF.

Coletar dados do WebProxy

O encaminhador do Google SecOps pode capturar dados do WebProxy diretamente de uma interface de rede usando o Npcap e enviá-los para o Google Cloud.

Observação: o WinPcap foi descontinuado. Recomendamos o uso do Npcap.

Para ativar a captura de dados do WebProxy no seu sistema, entre em contato com o suporte do Google SecOps.

Antes de executar um encaminhador do WebProxy, faça o seguinte:

1. Instale o Npcap no host do Microsoft Windows. Ative o modo de compatibilidade com o WinPcap durante a instalação.

2. Conceda privilégios de raiz ou de administrador ao encaminhador do Google SecOps para monitorar a interface de rede.

3. Para configurar um encaminhador de WebProxy,o Google Cloud precisa do GUID da interface usada para capturar os pacotes do WebProxy.

   Execute getmac.exe na máquina em que você quer instalar o encaminhador do Google SecOps e envie a saída para o Google SecOps. Se preferir, modifique o arquivo de configuração. Localize a seção WebProxy e substitua o GUID mostrado ao lado da interface pelo GUID exibido após a execução de getmac.exe.

   Modifique o arquivo de configuração do encaminhador do Google SecOps (FORWARDER_NAME.conf) da seguinte maneira:

     - webproxy:
       common:
           enabled : true
           data_type: <Your LogType>
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
         bpf: tcp and dst port 80
   

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.