收集 Microsoft Exchange 記錄

本文說明如何使用 Bindplane 將 Microsoft Exchange 記錄檔擷取至 Google Security Operations。擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 EXCHANGE_MAIL 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已安裝 Microsoft Exchange Server 的 Windows Server 2016 以上版本
• Exchange Server 的管理員存取權
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案，並將檔案安全地儲存在要安裝 Bindplane 的系統中。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

其他安裝資源

• 如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，收集 Windows 事件記錄並傳送至 Google SecOps

1. 存取設定檔：

   • 找出 config.yaml 檔案。通常位於 Windows 的 `C:\Program Files\observIQ OpenTelemetry Collector` 目錄。
   • 使用文字編輯器 (例如記事本或 Notepad++) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
     windowseventlog/exchange_application:
       channel: Application
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
     windowseventlog/exchange_system:
       channel: System
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
     windowseventlog/exchange_management:
       channel: MSExchange Management
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
   processors:
     batch:
   
   exporters:
     chronicle/exchange:
       compression: gzip
       # Adjust the path to the credentials file you downloaded earlier
       creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
       # Replace with your actual customer ID
       customer_id: <PLACEHOLDER_CUSTOMER_ID>
       endpoint: <YOUR_REGIONAL_ENDPOINT>
       # Add ingestion labels for Exchange logs
       log_type: 'EXCHANGE_MAIL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/exchange:
         receivers:
           - windowseventlog/exchange_application
           - windowseventlog/exchange_system
           - windowseventlog/exchange_management
         processors:
           - batch
         exporters:
           - chronicle/exchange
   

   • 將 <PLACEHOLDER_CUSTOMER_ID> 替換為先前取得的實際客戶 ID。
   • 請從區域端點說明文件中，將 <YOUR_REGIONAL_ENDPOINT> 替換為適當的區域端點。
   • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

設定注意事項

• 應用程式通道：從 Exchange Server 收集應用程式層級的事件，包括服務啟動、錯誤和警告。
• 系統通道：收集可能影響 Exchange Server 運作的系統層級事件。
• MSExchange 管理管道：收集 Exchange 專屬管理事件，包括 PowerShell cmdlet 執行和管理動作。
• raw: true：以原始格式傳送完整的 Windows 事件記錄項目，以便進行全面剖析。
• start_at: end：從目前開始收集新事件 (不會擷取歷來記錄)。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」主控台，或是以管理員身分輸入下列指令：

  net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"
  

支援的 Microsoft Exchange 記錄範例

• Syslog + W3C

  <13>Jul 16 19:36:22 10.10.10.1
  2020-07-16 23:36:06 10.10.10.2 POST /mapi/nspi/
  MailboxId=00000000-0000-0000-0000-000000000000@example.com
  &FrontEnd=SERVER01.EXAMPLE.LOCAL
  &RequestId=11111111-2222-3333-4444-555555555555
  &ClientRequestInfo=R:{244982AA-6563-4272-8A81-6435F8C98736}:362;RT:PING;CI:{F1037E72-B035-4F6F-9EE2-CDC028A174BD}:5;CID:{C0C8D580-5B1A-48D2-9285-D0981B30BCAF}
  &ResponseInfo=XRC:0
  &Stage=BegR:2020-07-16T23:36:06.0762130Z;PostAR:14;PreH:15;PostH:15;EndR:15
  444 Anonymous 192.168.1.5 Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.4954;+Pro) - 200 0 0 25 10.0.0.1,10.0.0.2
  

• JSON

  {
    "EventReceivedTime": "2020-06-28 06:20:18",
    "SourceModuleName": "ExLogs",
    "SourceModuleType": "im_file",
    "date-time": "2020-06-28T10:00:52.987Z",
    "connector-id": "server-relay\\Anonymous Relay",
    "session-id": "08D91C389539A23E",
    "sequence-number": "4397",
    "local-endpoint": "10.0.0.1:25",
    "remote-endpoint": "192.168.1.100:30165",
    "event": "<",
    "data": "MAIL FROM:<sender@example.com>"
  }
  

• Syslog + CSV

  <13>May 17 11:56:05 SERVER01 Microsoft_Exchange_Server: 2023-05-17T15:56:05.260Z,
  ,
  SERVER02.EXAMPLE.LOCAL,
  ,
  SERVER01,
  08DB548089C89C20;2023-05-17T15:56:05.135Z;ClientSubmitTime:,
  ,
  STOREDRIVER,
  DELIVER,
  135536282960527,
  <835115255.9114241684338954615.JavaMail.app@example.com>,
  00000000-0000-0000-0000-000000000000,
  sender@example.com,
  ,
  48294,
  1,
  ,
  ,
  Webinar Subject Line,
  recipient@example.com,
  bounce-address@bounce.example.com,
  2023-05-17T15:56:04.064Z;SRV=SERVER01.EXAMPLE.LOCAL:TOTAL-FE=0.153|...,
  Incoming,
  ,
  10.10.10.1,
  10.10.10.2,
  S:IncludeInSla=True;...;S:AccountForest=EXAMPLE.LOCAL,
  Email,
  f351e35a-80b8-462a-197a-08db56ef38c4,
  15.02.0986.042
  

• 純 CSV

  2023-05-04T11:01:06.971Z,
  Inbound Proxy Internal Send Connector,
  08DB4283F358F976,
  231,
  10.0.0.1:21,
  192.168.1.50:25,
  >,
  MAIL FROM:user@example.nl SIZE=0 AUTH=<> XMESSAGEVALUE=MediumHigh,
  

• Syslog + Key-Value

  <13>Feb 08 12:43:54 SERVER01
  AgentDevice=MicrosoftExchange
  AgentLogFile=u_ex240208.log
  PluginVersion=7.3.1.22
  AgentLogFormat=W3C
  AgentLogProtocol=OWA
  date=2024-02-08
  time=10:43:49
  s-ip=10.0.0.1
  cs-method=POST
  cs-uri-stem=/mapi/emsmdb/
  cs-uri-query=MailboxId=00000000-0000-0000-0000-000000000000@example.com&CorrelationID=<empty>;&ClientRequestInfo=R:{19C548BA-F616-4021-B925-5716E62B5CB3}:3105;RT:NotificationWait;CI:{518670B4-ADF1-4C59-8A26-377C3F9B7DAB}:62560018;CID:{111677F0-FEB1-4194-9DAC-CC0437A5AD5F}&cafeReqId=310eebda-23e9-46cd-9576-e9892bcaffd0;
  s-port=443
  cs-username=EXAMPLE\user
  c-ip=192.168.1.10
  cs(User-Agent)=Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.10382;+Pro)
  cs(Referer)=-
  sc-status=200
  sc-substatus=0
  sc-win32-status=0
  time-taken=357708
  

• CEF

  CEF:0|Microsoft|Exchange|15.2|Mailbox|Deliver|3|
  src=10.10.10.5
  dst=192.168.1.20
  suser=sender@example.com
  duser=recipient@example.com
  suid=DOMAIN\sender
  duid=DOMAIN\recipient
  msg=Message Subject Line
  cs1Label=OriginalIP
  cs1=172.16.0.1
  cn1Label=MessageSize
  cn1=45000
  

UDM 對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。