Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Elastic Windows 事件日志 Beats 日志

解析器版本：19.0

支持：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Elastic Windows Event Log Beats 日志注入到 Google Security Operations 中。

Winlogbeat 是 Elastic 专为 Windows 设计的事件日志传送代理，可收集 Windows 事件日志并将其转发到各种目标位置。它在 Windows 系统上作为 Windows 服务运行，可以从应用、安全、系统和其他 Windows 事件日志渠道收集事件。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机，用于运行 Bindplane 代理
Bindplane 代理与 Logstash 服务器之间的网络连接
Logstash 与 Bindplane 代理之间的网络连接
如果在代理后面运行，请确保根据 Bindplane 代理要求打开防火墙端口
将安装 Winlogbeat 以收集事件日志的 Windows 系统
安装 Winlogbeat 所需的 Windows 系统管理员访问权限
用于中间处理的 Logstash 服务器（版本 7.x 或 8.x）

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥> 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
前往 IAM 和管理 > 设置，然后复制项目编号。您需要此信息才能配置导出器。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将要安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
前往 SIEM 设置 > 个人资料。
从组织详细信息部分复制并保存客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
服务状态应为 RUNNING。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
服务状态应为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
  tcplog:
    listen_address: "0.0.0.0:1514"

exporters:
  chronicle/winlogbeat:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: ELASTIC_WINLOGBEAT
    raw_log_field: body
    ingestion_labels:
      env: production
      source: winlogbeat

service:
  pipelines:
    logs/winlogbeat_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/winlogbeat

替换以下占位符：
- 接收器配置：
  - listen_address：设置为 0.0.0.0:1514 可在端口 1514 (TCP) 上监听所有接口。您可以根据需要更改端口号，但请确保其与 Logstash syslog 输出配置一致。
- 导出器配置：
  - <CREDS_FILE_PATH>：服务账号 JSON 密钥文件的完整路径（选项 1）：
    - Linux：/opt/observiq-otel-collector/ingestion-auth.json
    - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - <CUSTOMER_ID>：上一步中的客户 ID
  - location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。
  - project：将 <PROJECT_NUMBER> 替换为“IAM 和管理”>“设置”中的项目编号。
  - endpoint：保持设置为 chronicle.googleapis.com。

配置示例：

receivers:
  tcplog:
    listen_address: "0.0.0.0:1514"

exporters:
  chronicle/winlogbeat:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: ELASTIC_WINLOGBEAT
    raw_log_field: body
    ingestion_labels:
      env: production
      source: winlogbeat

service:
  pipelines:
    logs/winlogbeat_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/winlogbeat

旧版提取 API

如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

exporters:
  chronicle/winlogbeat:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ELASTIC_WINLOGBEAT
    raw_log_field: body
    ingestion_labels:
      env: production
      source: winlogbeat

保存配置文件

修改后，保存文件：

Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中的错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：
1. 请从下列选项中选择一项：
  - 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - “服务”控制台：
    1. 按 Win+R，输入 services.msc，然后按 Enter 键。
    2. 找到 observIQ OpenTelemetry 收集器。
    3. 右键点击并选择重启。
2. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
3. 检查日志中的错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

安装和配置 Logstash

需要使用 Logstash 作为中介，从 Winlogbeat 接收事件，并通过 syslog 将事件转发到 Bindplane 代理。Winlogbeat 不具备原生 syslog 输出功能。

安装 Logstash

从 Elastic 下载页面下载 Logstash。
在 Windows 或 Linux 服务器上安装 Logstash：

Linux（Debian/Ubuntu）：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-8.x.list
sudo apt-get update && sudo apt-get install logstash

Linux (RHEL/CentOS)：

sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
sudo tee /etc/yum.repos.d/logstash.repo <<EOF
[logstash-8.x]
name=Elastic repository for 8.x packages
baseurl=https://artifacts.elastic.co/packages/8.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF
sudo yum install logstash

Windows：
1. 从 Elastic 下载页面下载 ZIP 文件。
2. 解压到 C:\logstash。

配置 Logstash 流水线

创建新的流水线配置文件：

Linux：

sudo nano /etc/logstash/conf.d/winlogbeat-to-syslog.conf

Windows：

notepad "C:\logstash\config\winlogbeat-to-syslog.conf"

添加以下配置：

input {
    beats {
        port => 5044
    }
}

output {
    syslog {
        host => "<BINDPLANE_AGENT_IP>"
        port => 1514
        protocol => "tcp"
        rfc => "rfc5424"
        appname => "winlogbeat"
        facility => "user-level"
        severity => "informational"
    }
}

将 <BINDPLANE_AGENT_IP> 替换为运行 Bindplane 代理的服务器的 IP 地址。

Logstash 配置示例

input {
    beats {
        port => 5044
    }
}

output {
    syslog {
        host => "192.168.1.100"
        port => 1514
        protocol => "tcp"
        rfc => "rfc5424"
        appname => "winlogbeat"
        facility => "user-level"
        severity => "informational"
    }
}

启动 Logstash

Linux：

启动 Logstash：

sudo systemctl start logstash
sudo systemctl enable logstash

验证 Logstash 是否正在运行：
```
sudo systemctl status logstash
```

检查 Logstash 日志：

sudo tail -f /var/log/logstash/logstash-plain.log

Windows：
```
cd C:\logstash\bin
logstash.bat -f C:\logstash\config\winlogbeat-to-syslog.conf
```
对于生产环境，请使用 NSSM 或类似工具将 Logstash 安装为 Windows 服务。

在 Windows 系统上安装 Winlogbeat

下载 Winlogbeat

从 Elastic 下载页面下载 Winlogbeat。
选择适用于 Windows 的 ZIP 或 MSI 安装程序。

安装 Winlogbeat

使用 MSI 安装程序：
1. 运行 MSI 安装程序。
2. 按照安装向导操作。
3. 安装到默认位置：C:\Program Files\Winlogbeat。
使用 ZIP 文件：
1. 将 ZIP 文件解压到 C:\Program Files\Winlogbeat。
2. 以管理员身份打开 PowerShell。
3. 前往 Winlogbeat 目录：
```
cd 'C:\Program Files\Winlogbeat'
```
4. 运行安装脚本：
```
.\install-service-winlogbeat.ps1
```

将 Winlogbeat 配置为向 Logstash 发送日志

打开 Winlogbeat 配置文件：

notepad "C:\Program Files\Winlogbeat\winlogbeat.yml"

配置要收集的事件日志。找到 winlogbeat.event_logs 部分，并按如下方式进行配置：

winlogbeat.event_logs:
  - name: Application
    ignore_older: 72h
  - name: System
  - name: Security
  - name: Microsoft-Windows-Sysmon/Operational
    ignore_older: 72h
  - name: Windows PowerShell
    event_id: 400, 403, 600, 800
  - name: Microsoft-Windows-PowerShell/Operational
    event_id: 4103, 4104, 4105, 4106
  - name: ForwardedEvents
    tags: [forwarded]

在每行开头添加 #，注释掉 Elasticsearch 输出部分：
```
#output.elasticsearch:
#  hosts: ["localhost:9200"]
```

取消注释并配置 Logstash 输出部分：

output.logstash:
  hosts: ["<LOGSTASH_SERVER_IP>:5044"]

将 <LOGSTASH_SERVER_IP> 替换为 Logstash 服务器的 IP 地址。

Winlogbeat 配置示例

winlogbeat.event_logs:
  - name: Application
    ignore_older: 72h
  - name: System
  - name: Security
  - name: Microsoft-Windows-Sysmon/Operational
    ignore_older: 72h

output.logstash:
  hosts: ["192.168.1.50:5044"]

保存配置文件

保存并关闭文件。

启动 Winlogbeat 服务

以管理员身份打开 PowerShell。
启动 Winlogbeat 服务：
```
Start-Service winlogbeat
```
验证服务是否正在运行：
```
Get-Service winlogbeat
```
状态应显示为正在运行。

检查 Winlogbeat 日志中是否存在错误：

Get-Content "C:\ProgramData\winlogbeat\Logs\winlogbeat" -Tail 50

验证日志流

验证 Winlogbeat 到 Logstash 的连接

在 Logstash 服务器上，检查 Logstash 日志：

Linux：

sudo tail -f /var/log/logstash/logstash-plain.log

Windows：

type C:\logstash\logs\logstash-plain.log

查找指示 Beats 连接的消息：

[INFO ][logstash.inputs.beats] Beats inputs: Starting input listener {:address=>"0.0.0.0:5044"}

验证 Logstash 到 Bindplane 代理的连接

在 Bindplane 代理服务器上，检查代理日志：

Linux：

sudo journalctl -u observiq-otel-collector -f

Windows：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

查找指示日志提取成功的消息。

在 Google SecOps 中验证日志

登录 Google SecOps 控制台。
前往搜索。
运行搜索查询，验证 Winlogbeat 日志是否正在注入：
```
metadata.log_type = "ELASTIC_WINLOGBEAT"
```
验证 Windows 事件日志是否显示在搜索结果中。

问题排查

Winlogbeat 未连接到 Logstash

验证 Winlogbeat 与 Logstash 之间的网络连接：

Test-NetConnection -ComputerName <LOGSTASH_IP> -Port 5044

检查 Windows 防火墙规则是否允许通过端口 5044 建立出站连接。

验证 Logstash 是否正在监听端口 5044：

Linux：
```
sudo netstat -tulpn | grep 5044
```
Windows：
```
netstat -an | findstr 5044
```

Logstash 未转发到 Bindplane 代理

验证 Logstash 与 Bindplane 代理之间的网络连接：

Linux：
```
telnet <BINDPLANE_IP> 1514
```

Windows：

Test-NetConnection -ComputerName <BINDPLANE_IP> -Port 1514

检查防火墙规则是否允许通过端口 1514 进行 TCP 连接。
验证 Bindplane 代理是否正在监听端口 1514：
- Linux：
```
sudo netstat -tulpn | grep 1514
```
- Windows：
```
netstat -an | findstr 1514
```

日志未显示在 Google SecOps 中

验证客户 ID 和注入身份验证文件是否正确。
检查 Bindplane 代理日志中是否存在身份验证错误。
验证区域端点是否与您的 Google SecOps 实例区域匹配。
确保 log_type 设置为 ELASTIC_WINLOGBEAT，如示例所示。

UDM 映射表

此解析器没有字段映射信息。

更新日志

查看相应解析器的更新日志