Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Windows Defender 防毒軟體記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Windows Defender 防毒軟體記錄擷取至 Google Security Operations。

Windows Defender 防毒軟體是 Microsoft Windows 內建的反惡意軟體引擎，可提供即時威脅偵測、掃描結果和防護事件記錄。Bindplane 代理程式會直接從本機檔案系統收集匯出的 Windows Defender 事件記錄檔。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows Server 2016 以上版本，並支援 observiq-otel-collector 服務
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
具備 Windows 端點的管理員存取權，且端點執行 Windows Defender 防毒軟體

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
- 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
  filelog:
    include:
      - C:\Logs\defender-av\*.evtx
    start_at: beginning

exporters:
  chronicle/windows_defender_av:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: WINDOWS_DEFENDER_AV
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/defender_av_to_chronicle:
      receivers:
        - filelog
      exporters:
        - chronicle/windows_defender_av

設定參數

替換下列預留位置：

接收器設定：
- filelog：從磁碟收集記錄檔的接收器類型
- include：要監控的檔案路徑清單。將此設定為匯出 Windows Defender 事件記錄檔的位置 (例如 C:\Logs\defender-av\*.evtx)
- start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目
匯出工具設定：
- windows_defender_av：匯出工具的說明名稱
- creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步中的客戶 ID
- location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
- project：將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
- endpoint：維持設為 chronicle.googleapis.com。
- WINDOWS_DEFENDER_AV：記錄類型，與 Chronicle 中顯示的完全相同
- ingestion_labels：YAML 格式的選用標籤 (例如 env: production)
管道設定：
- defender_av_to_chronicle：：管道的說明名稱

舊版 Ingestion API 匯出工具

如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/windows_defender_av:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: WINDOWS_DEFENDER_AV
    raw_log_field: body
    ingestion_labels:
      env: production

儲存設定檔

編輯完成後，請儲存檔案：
- Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

您可以選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
```
sc query observiq-otel-collector
```

查看記錄檔是否有錯誤：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Windows Defender 防毒軟體記錄匯出

Windows Defender 防毒軟體記錄會儲存在 Windows 事件記錄的 Microsoft-Windows-Windows Defender/Operational 中。您必須將這些記錄匯出至磁碟上的檔案，Bindplane 代理程式才能收集。

建立目錄來儲存匯出的記錄檔：
```
mkdir C:\Logs\defender-av
```

使用 wevtutil 匯出 Windows Defender 防毒軟體事件記錄：

wevtutil epl "Microsoft-Windows-Windows Defender/Operational" C:\Logs\defender-av\defender-av.evtx

(選用) 使用 Windows 工作排程器排定定期匯出作業：

$action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Microsoft-Windows-Windows Defender/Operational" C:\Logs\defender-av\defender-av.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportDefenderLogs" -Description "Export Windows Defender AV logs for Bindplane agent"

確認匯出的記錄檔是在 `C:\Logs\defender-av` 建立。
確認 config.yaml 中的 Bindplane 代理程式 include 路徑與匯出目錄相符。

注意： /ow:true 旗標會覆寫現有的匯出檔案。根據記錄檔保留需求調整匯出策略。Bindplane 代理程式服務帳戶必須具備匯出目錄的讀取權限。

UDM 對應表

記錄欄位	UDM 對應	邏輯
OpcodeValue、ThreadID、Channel、engine_version、security_intelligence_version、network_realtime_inspection_engine_version、network_realtime_inspection_security_intelligence_version、rtp_state、oa_state、ioav_state、bm_state、antivirus_security_intelligence_age、antispyware_security_intelligence_age、last_quick_scan_age、last_full_scan_age、antivirus_security_intelligence_creation_time、antispyware_security_intelligence_creation_time、last_quick_scan_start_time、last_quick_scan_end_time、last_quick_scan_source、last_full_scan_start_time、last_full_scan_end_time、last_full_scan_source、product_status	additional.fields	如果標籤對應不是空白，則會與標籤對應合併 {key: field name, value: {string_value: field value}}
	metadata.description	根據 EventID 設定事件專屬說明字串
	metadata.event_type	如果 has_principal 為 true，則設為「SCAN_HOST」，否則設為「GENERIC_EVENT」；如果 EventID 為 1011、1116、1117，則設為「SCAN_FILE」
ProviderGuid	metadata.product_deployment_id	移除 {} 後 ProviderGuid 的值
	metadata.product_event_type	根據 EventID 設定活動專屬產品事件類型字串
RecordNumber	metadata.product_log_id	直接複製為字串的值
platform_version	metadata.product_version	直接複製值
FWLink	metadata.url_back_to_product	直接複製值
	metadata.vendor_name	設為「Microsoft」
	metadata.product_name	設為「Windows Defender AV」
SourceModuleType	observer.application	直接複製值
網域，__domain	principal.administrative_domain	網域值，或使用 grok 從偵測使用者擷取的 _domain，適用於 EventID 1116、1117
主機名稱	principal.hostname	直接複製值
程序名稱	principal.process.file.full_path	直接複製事件 ID 1116、1117 的值
ProcessID	principal.process.pid	直接複製值
SourceModuleName	principal.resource.name	直接複製值
AccountType	principal.user.role_description	直接複製值
AccountName	principal.user.user_display_name	直接複製值
User、UserID、_account	principal.user.userid	User 的值，或 UserID (如果不是空白)，或使用 grok 從 Detection User 擷取的 _account (EventID 1116、1117)
SourceName	security_result.about.resource.attribute.labels	如果標籤對應 {key: "SourceName", value: SourceName} 不是空白，則與其合併
	security_result.action	預設設為「ALLOW」；EventID 1116 設為「BLOCK」；EventID 1117 設為「QUARANTINE」
	security_result.category	將事件 ID 1011、1116、1117 設為「SOFTWARE_MALICIOUS」
ActivityID	security_result.detection_fields	如果 ActivityID 不是空白且不為「-」，則與 detection_fields {key: "Activity ID", value: ActivityID} 合併
EventID	security_result.description	設為「EventID: %{EventID}」
威脅名稱	security_result.rule_name	直接複製事件 ID 1011、1116、1117 的值
Severity、Level、EventType	security_result.severity	如果嚴重性符合 verbose\|information\|info，則設為 LOW；如果符合 warning\|error，則設為 MEDIUM；如果符合 critical，則設為 HIGH；嚴重性是根據 Level (5\|4 -> information、2\|3 -> warning、1 -> critical) 或 EventType (ERROR -> %{severity}、INFO -> "INFORMATIONAL"，否則為 severity_details) 設定
嚴重性名稱、嚴重性	security_result.severity_details	EventID 1011、1116、1117 的嚴重性名稱值，或 EventType 不是 ERROR 或 INFO 的嚴重性值
威脅名稱	security_result.summary	直接複製 EventID 1011、1116、1117 的值
類別名稱	security_result.threat_name	直接複製 EventID 1011、1116、1117 的值
FWLink	security_result.url_back_to_product	直接複製 EventID 1011、1116、1117 的值
路徑	target.file.full_path	直接複製 EventID 1116、1117 的值
	target.hostname	針對事件 ID 1117 設為「」
路徑	target.registry.registry_key	直接複製 EventID 1011 的值
`EventRecordID`	`event.idm.read_only_udm.metadata.product_log_id`	從變更記錄對應
`Product Version`	`event.idm.read_only_udm.metadata.product_version`	從變更記錄對應
`ProviderGuid`	`event.idm.read_only_udm.metadata.product_deployment_id`	從變更記錄對應
`Hostname`	`event.idm.read_only_udm.principal.asset.hostname`	從變更記錄對應
`xmlns`	`event.idm.read_only_udm.principal.url`	從變更記錄對應
`Threat Resource Path`	`event.idm.read_only_udm.target.file.full_path`	從變更記錄對應
`Hashes`	`event.idm.read_only_udm.target.file.sha1`	從變更記錄對應
`RenderingInfoLevel`	`event.idm.read_only_udm.security_result.severity_details`	從變更記錄對應
`Action Name`	`event.idm.read_only_udm.security_result.action_details`	從變更記錄對應
`Detection Time`	`event.idm.read_only_udm.security_result.first_discovered_time`	從變更記錄對應
`Threat ID`	`event.idm.read_only_udm.security_result.threat_id`	從變更記錄對應
`Remediation User`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Status Description`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Action ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Additional Actions ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Additional Actions String`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Category ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Detection ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Engine Version`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Error Code`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Error Description`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Execution ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Execution Name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Origin ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Origin Name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Post Clean Status`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Pre Execution Status`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Security Intelligence Version`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Severity ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Source ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`State`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Status Code`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Type ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Type Name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Level`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Culture`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Keywords`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Opcode`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Product Name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Provider Name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`RenderingInfoMessage`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Service`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Task`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Version`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Security UserID`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`EventID`	`event.idm.read_only_udm.security_result.summary`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。