安裝 Windows 轉寄站執行檔

支援的服務：

Google SecOps SIEM

注意： 轉寄站已淘汰。轉寄站元件將逐步從 Google SecOps 平台淘汰，並於 2027 年 1 月終止服務。2026 年 4 月 1 日：Google SecOps 新客戶無法使用轉寄站元件。2027 年 1 月 1 日：轉寄工具正式終止服務。我們不會再發布任何修補程式，包括安全性修補程式。2027 年 4 月 1 日：轉寄站元件將無法再擷取資料。Google 建議使用 Bindplane for Google SecOps 做為記錄收集的主要解決方案。詳情請參閱「搭配使用 Bindplane 與 Google SecOps」

注意： Windows 適用的 Google Security Operations 轉寄站執行檔已淘汰。雖然我們仍支援 Windows 版 Google SecOps 轉寄站執行檔，但建議您在 Docker 使用 Linux 版 Google SecOps 轉寄站，或遷移至 Bindplane。

本文說明如何在 Microsoft Windows 安裝及設定 Google SecOps 轉寄站。

自訂設定檔

根據您在部署前提交的資訊， Google Cloud會提供 Google SecOps 轉寄站的可執行檔案和選用設定檔。可執行的檔案只能在設定的主機上執行。每個可執行的檔案都包含網路中 Google SecOps 轉寄站執行個體的專屬設定。如需變更設定，請與 Google SecOps 支援團隊聯絡。

注意： 請勿將設定檔提供給機構外部人員。

系統需求

以下是一般建議。如需針對您系統的建議，請與 Google SecOps 支援團隊聯絡。

• Windows Server 版本：Google SecOps 轉寄站支援下列 Microsoft Windows Server 版本：

  • 2008 R2

  • 2012 R2

  • 2016

• RAM：每種收集的資料類型 1.5 GB。例如，端點偵測與應變 (EDR)、DNS 和 DHCP 都是不同的資料類型。您需要 4.5 GB 的 RAM，才能收集這三項資料。

• CPU：2 個 CPU 足以處理每秒少於 10,000 個事件 (EPS) (所有資料類型的總和)。如果預計轉送超過 10,000 EPS，則需要 4 到 6 個 CPU。

• 磁碟：無論 Google SecOps 轉寄站處理多少資料，都需要 20 GB 的磁碟空間。Google SecOps 轉寄站預設不會緩衝至磁碟，但建議啟用磁碟緩衝。您可以在設定檔中新增 write_to_disk_buffer_enabled 和 write_to_disk_dir_path 參數，為磁碟建立緩衝區。

  例如：

  - <collector>:
       common:
           ...
           write_to_disk_buffer_enabled: true
           write_to_disk_dir_path: <var>your_path</var>
           ...
  

Google IP 位址範圍

設定 Google SecOps 轉寄站時 (例如設定防火牆)，可能需要開啟 IP 位址範圍。Google 無法提供特定 IP 位址清單。不過，您可以取得 Google IP 位址範圍。

驗證防火牆設定

如果 Google SecOps 轉寄站容器和網際網路之間有防火牆或經過驗證的 Proxy，則必須設定規則，允許存取下列 Google Cloud 主機：

連線類型	目的地	通訊埠
TCP	malachiteingestion-pa.googleapis.com	443
TCP	asia-northeast1-malachiteingestion-pa.googleapis.com	443
TCP	asia-south1-malachiteingestion-pa.googleapis.com	443
TCP	asia-southeast1-malachiteingestion-pa.googleapis.com	443
TCP	australia-southeast1-malachiteingestion-pa.googleapis.com	443
TCP	eu-chronicle.googleapis.com	443
TCP	europe-malachiteingestion-pa.googleapis.com	443
TCP	europe-west2-malachiteingestion-pa.googleapis.com	443
TCP	europe-west3-malachiteingestion-pa.googleapis.com	443
TCP	europe-west6-malachiteingestion-pa.googleapis.com	443
TCP	europe-west9-malachiteingestion-pa.googleapis.com	443
TCP	europe-west12-malachiteingestion-pa.googleapis.com	443
TCP	me-central1-malachiteingestion-pa.googleapis.com	443
TCP	me-central2-malachiteingestion-pa.googleapis.com	443
TCP	me-west1-malachiteingestion-pa.googleapis.com	443
TCP	northamerica-northeast2-malachiteingestion-pa.googleapis.com	443
TCP	southamerica-east1-malachiteingestion-pa.googleapis.com	443
TCP	accounts.google.com	443
TCP	gcr.io	443
TCP	cloud.google.com/artifact-registry	443
TCP	oauth2.googleapis.com	443
TCP	www.googleapis.com	443
TCP	storage.googleapis.com	443

您可以按照下列步驟，檢查與 Google Cloud 的網路連線：

1. 以管理員權限啟動 Windows PowerShell (依序點選「開始」、輸入 PowerShell、在「Windows PowerShell」上按一下滑鼠右鍵，然後點選「以管理員身分執行」)。

2. 執行下列指令。TcpTestSucceeded 應傳回 true。

   C:\> test-netconnection <host> -port <port>

   例如：

   C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
   ComputerName     : malchiteingestion-pa.googleapis.com
   RemoteAddress    : 198.51.100.202
   RemotePort       : 443
   InterfaceAlias   : Ethernet
   SourceAddress    : 10.168.0.2
   TcpTestSucceeded : True
   

您也可以使用 Google SecOps 轉寄站檢查網路連線：

1. 以管理員權限啟動命令提示字元 (依序點選「開始」、輸入 Command Prompt、在「命令提示字元」上按一下滑鼠右鍵，然後點選「以系統管理員身分執行」)。

2. 如要驗證網路連線，請使用 -test 選項執行 Google SecOps 轉寄站。

   C:\> .\chronicle_forwarder.exe -test
   Verify network connection succeeded!
   

在 Windows 上安裝 Google SecOps 轉寄站

在 Windows 上，Google SecOps 轉寄站執行檔必須以服務形式安裝。

1. 將 chronicle_forwarder.exe 檔案和設定檔複製到目前使用的目錄。

2. 以管理員權限啟動命令提示字元 (依序點選「開始」、輸入 Command Prompt、在「命令提示字元」上按一下滑鼠右鍵，然後點選「以系統管理員身分執行」)。

3. 如要安裝服務，請前往您在步驟 1 建立的目前使用的目錄，然後執行下列指令：

   C:\> .\chronicle_forwarder.exe -install -config FILE_NAME
   

   將 FILE_NAME 替換為您取得的設定檔名稱。

   服務會安裝到 C:\Windows\system32\ChronicleForwarder。

4. 如要啟動服務，請執行下列指令：

   C:\> sc.exe start chronicle_forwarder
   

確認 Google SecOps 轉寄站正在運作

Google SecOps 轉寄站應在通訊埠 443 開啟網路連線，幾分鐘內，Google SecOps 網頁介面就會顯示資料。

您可以透過下列任一方法，確認 Google SecOps 轉寄站是否正在運作：

• 工作管理員：依序前往「處理程序」分頁 >「背景處理程序」 >「chronicle_forwarder」。

• 資源監視器：在「網路」分頁中，chronicle_forwarder.exe 應用程式應列在「網路活動」下方 (每當 chronicle_forwarder.exe 應用程式連線至 Google Cloud時)、TCP 連線下方，以及監聽通訊埠下方。

查看轉寄站記錄

Google SecOps 轉寄站記錄檔會儲存在 C:\Windows\Temp 資料夾中。記錄檔開頭為 chronicle_forwarder.exe.win-forwarder。記錄檔提供多種資訊，包括轉寄站啟動時間，以及開始將資料傳送至 Google Cloud的時間。

解除安裝 Google SecOps 轉寄站

如要解除安裝 Google SecOps 轉寄站服務，請完成下列步驟：

1. 以系統管理員模式開啟命令提示字元。

2. 停止 Google SecOps 轉寄站服務：

   SERVICE_NAME: chronicle_forwarder
   TYPE               : 10  WIN32_OWN_PROCESS
   STATE              : 4  RUNNING (STOPPABLE, PAUSABLE, ACCEPTS_SHUTDOWN)
   WIN32_EXIT_CODE    : 0  (0x0)
   SERVICE_EXIT_CODE  : 0  (0x0)
   CHECKPOINT         : 0x0
   WAIT_HINT          : 0x0
   

3. 前往 C:\Windows\system32\ChronicleForwarder 目錄，然後解除安裝 Google SecOps 轉寄站服務：C:\> .\chronicle_forwarder.exe -uninstall

升級 Google SecOps 轉寄站

如要升級 Google SecOps 轉寄站，並繼續使用目前的設定檔，請完成下列步驟：

1. 以系統管理員模式開啟命令提示字元。

2. 將設定檔從 C:\Windows\system32\ChronicleForwarder 目錄複製到其他目錄。

3. 停止 Google SecOps 轉寄站：

   C:\> sc.exe stop chronicle_forwarder
   

4. 解除安裝 Google SecOps 轉寄站服務和應用程式：

   C:\> .\chronicle_forwarder.exe --uninstall
   

5. 刪除 C:\windows\system32\ChronicleForwarder 目錄中的所有檔案。

6. 將新的 chronicle_forwarder.exe 應用程式和原始設定檔複製到目前使用的目錄。

7. 在目前使用的目錄中執行下列指令：

   C:\> .\chronicle_forwarder.exe -install -config configFileProvidedToYou
   

8. 啟動服務：

   C:\ sc.exe start chronicle_forwarder
   

收集 Splunk 資料

請與 Google SecOps 支援團隊聯絡，更新 Google SecOps 轉寄站設定檔，將 Splunk 資料轉寄至 Google Cloud。

收集系統記錄資料

Google SecOps 轉寄站可做為 syslog 伺服器運作，也就是說，您可以設定任何支援透過 TCP 或 UDP 連線傳送 syslog 資料的設備或伺服器，將資料轉寄至 Google SecOps 轉寄站。您可以精確控管設備或伺服器傳送至 Google SecOps 轉寄站的資料，然後轉寄站會將資料轉寄至 Google Cloud。

Google SecOps 轉寄站設定檔會指定要監控哪些通訊埠，以接收各類轉寄資料 (例如通訊埠 10514)。根據預設，Google SecOps 轉寄站會接受 TCP 和 UDP 連線。請與 Google SecOps 支援團隊聯絡，更新 Google SecOps 轉寄站設定檔，以支援 syslog。

切換資料壓縮

記錄壓縮功能可減少將記錄傳輸至 Google SecOps 時的網路頻寬消耗。不過，壓縮可能會導致 CPU 使用率增加。CPU 使用率和頻寬之間的取捨取決於許多因素，包括記錄資料類型、資料可壓縮性、執行轉送器的代管主機上可用的 CPU 週期，以及減少網路頻寬消耗的需求。

舉例來說，文字型記錄檔的壓縮效果很好，而且能以低 CPU 使用率大幅節省頻寬。不過，原始封包的加密酬載無法妥善壓縮，且會導致 CPU 使用率偏高。

由於轉寄站擷取的大多數記錄類型都能有效壓縮，因此系統預設會啟用記錄壓縮功能，減少頻寬消耗。不過，如果 CPU 用量增加的幅度超過節省頻寬的好處，您可以將 Google SecOps 轉寄站設定檔中的 compression 欄位設為 false，停用壓縮功能，如下例所示：

  compression: false
  url: malachiteingestion-pa.googleapis.com:443
  identity:
  identity:
  collector_id: 10479925-878c-11e7-9421-10604b7abba1
  customer_id: abcd4bb9-878b-11e7-8455-12345b7cb5c1
  secret_key: |
  {
    "type": "service_account",
  ...

為 syslog 設定啟用 TLS

您可以為 syslog 連線啟用傳輸層安全標準 (TLS)，連至 Google SecOps 轉寄站。在 Google SecOps 轉寄站設定檔中，指定憑證和憑證金鑰的位置，如以下範例所示：

憑證	C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem
certificate_key	C:/opt/chronicle/external/certs/forwarder.key

根據上述範例，Google SecOps 轉寄站設定會修改如下：

  collectors:
- syslog:
    common:
      enabled: true
      data_type: WINDOWS_DNS
      data_hint:
      batch_n_seconds: 10
      batch_n_bytes: 1048576
  tcp_address: 0.0.0.0:10515
  connection_timeout_sec: 60
  certificate: "C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem"
  certificate_key: "C:/opt/chronicle/external/certs/forwarder.key"

您可以在設定目錄下建立 certs 目錄，並將憑證檔案儲存在該目錄中。

注意： 請從 Google SecOps 轉寄站設定檔中移除 udp_address 欄位。TLS 必須使用 TCP 傳輸，因此無法設定 UDP。

收集封包資料

Google SecOps 轉寄站可使用 Windows 系統上的 Npcap，直接從網路介面擷取封包。

注意： WinPcap 已淘汰。建議改用 Npcap。

系統會擷取封包並傳送至 Google Cloud ，而非記錄項目。只能從本機介面擷取。

請與 Google SecOps 支援團隊聯絡，更新 Google SecOps 轉寄站設定檔，以支援封包擷取。

如要執行封包擷取 (PCAP) 轉寄站，您需要具備下列項目：

• 在 Microsoft Windows 主機上安裝 Npcap。

• 授予 Google SecOps 轉寄站根層級或管理員權限，以便監控網路介面。

• 不需要指令列選項。

• 在 Npcap 安裝過程中，啟用 WinPcap 相容模式。

如要設定 PCAP 轉送器， Google Cloud 需要用於擷取封包的介面 GUID。在要安裝 Google SecOps 轉寄站的機器 (伺服器或監聽 SPAN 連接埠的機器) 上執行 getmac.exe，並將輸出內容傳送至 Google SecOps。

或者，您也可以修改設定檔。找出 PCAP 部分，並將介面旁顯示的 GUID 值，替換為執行 getmac.exe 後顯示的 GUID。

例如，以下是原始 PCAP 區段：

 common:
       enabled: true
 data_type: PCAP_DNS
       batch_n_seconds: 10
   batch_n_bytes: 1048576
     interface: \Device\NPF_{1A7E7C8B-DD7B-4E13-9637-0437AB1A12FE}
   bpf: udp port 53

執行 getmac.exe 後的輸出內容如下：

C:\>getmac.exe
  Physical Address    Transport Name
  ===========================================================================
  A4-73-9F-ED-E1-82   \Device\Tcpip_{2E0E9440-ABFF-4E5B-B43C-E188FCAD1234}

最後，以下是含有新 GUID 的修訂版 PCAP 部分：

- pcap:
       common:
     enabled: true
         data_type: PCAP_DNS
     batch_n_seconds: 10
         batch_n_bytes: 1048576
       interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
     bpf: udp port 53

注意： 傳輸名稱的 getmac.exe 輸出內容開頭為 \Device\Tcpip，而可比較的 pcap 區段開頭為 \Device\NPF。

收集 WebProxy 資料

Google SecOps 轉寄站可使用 Npcap 直接從網路介面擷取 WebProxy 資料，並傳送至 Google Cloud。

注意： WinPcap 已淘汰。建議使用 Npcap。

如要為系統啟用 WebProxy 資料擷取功能，請與 Google SecOps 支援團隊聯絡。

執行 WebProxy 轉送工具前，請先完成下列事項：

1. 在 Microsoft Windows 主機上安裝 Npcap。在安裝期間啟用 WinPcap 相容模式。

2. 將根或管理員權限授予 Google SecOps 轉寄站，以監控網路介面。

3. 如要設定 WebProxy 轉送站， Google Cloud 需要用於擷取 WebProxy 封包的介面 GUID。

   在要安裝 Google SecOps 轉寄站的機器上執行 getmac.exe，並將輸出內容傳送至 Google SecOps。或者，您也可以修改設定檔。找出 WebProxy 區段，將介面旁顯示的 GUID 替換為執行 getmac.exe 後顯示的 GUID。

   按照下列方式修改 Google SecOps 轉送站設定檔 (FORWARDER_NAME.conf)：

     - webproxy:
       common:
           enabled : true
           data_type: <Your LogType>
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
         bpf: tcp and dst port 80
   

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。