我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Windows Defender 防毒軟體記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Windows Defender 防毒記錄檔擷取至 Google Security Operations。

Windows Defender 防毒軟體是 Microsoft Windows 內建的反惡意軟體引擎，可提供即時威脅偵測、掃描結果和防護事件記錄。Bindplane 代理程式會直接從本機檔案系統收集匯出的 Windows Defender 事件記錄檔。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
支援 observiq-otel-collector 服務的 Windows Server 2016 以上版本
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Windows 端點的管理員存取權 (執行 Windows Defender 防毒軟體)

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    filelog:
        include:
            - C:\Logs\defender-av\*.evtx
        start_at: beginning

exporters:
    chronicle/windows_defender_av:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_DEFENDER_AV
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/defender_av_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/windows_defender_av

設定參數

替換下列預留位置：

接收器設定：
- filelog：從磁碟收集記錄檔的接收器類型
- include：要監控的檔案路徑清單。將此值設為匯出 Windows Defender 事件記錄的位置 (例如 C:\Logs\defender-av\*.evtx)
- start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目
匯出工具設定：
- windows_defender_av：匯出工具的說明名稱
- creds_file_path：擷取驗證檔案的完整路徑：
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步中的客戶 ID
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」
- WINDOWS_DEFENDER_AV：記錄類型，與 Chronicle 中顯示的完全相同
- ingestion_labels：YAML 格式的選用標籤 (例如 env: production)
管道設定：
- defender_av_to_chronicle：管道的說明名稱

儲存設定檔

編輯完成後，請儲存檔案：
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

您可以選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
```
sc query observiq-otel-collector
```

檢查記錄中是否有錯誤：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Windows Defender 防毒記錄匯出作業

Windows Defender 防毒軟體記錄會儲存在 Windows 事件記錄檔的 Microsoft-Windows-Windows Defender/Operational 中。您必須將這些記錄匯出至磁碟上的檔案，Bindplane 代理程式才能收集這些記錄。

建立目錄來儲存匯出的記錄檔：
```
mkdir C:\Logs\defender-av
```

使用 wevtutil 匯出 Windows Defender 防毒軟體事件記錄：

wevtutil epl "Microsoft-Windows-Windows Defender/Operational" C:\Logs\defender-av\defender-av.evtx

(選用) 使用 Windows 工作排程器排定定期匯出作業：

$action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Microsoft-Windows-Windows Defender/Operational" C:\Logs\defender-av\defender-av.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportDefenderLogs" -Description "Export Windows Defender AV logs for Bindplane agent"

確認匯出的記錄檔是否正在 `C:\Logs\defender-av` 中建立。
確認 config.yaml 中的 Bindplane 代理程式 include 路徑與匯出目錄相符。

注意： /ow:true 旗標會覆寫現有的匯出檔案。根據記錄保留需求調整匯出策略。Bindplane 代理程式服務帳戶必須具備匯出目錄的讀取權限。

UDM 對應表

記錄欄位	UDM 對應	邏輯
OpcodeValue、ThreadID、Channel、engine_version、security_intelligence_version、network_realtime_inspection_engine_version、network_realtime_inspection_security_intelligence_version、rtp_state、oa_state、ioav_state、bm_state、antivirus_security_intelligence_age、antispyware_security_intelligence_age、last_quick_scan_age、last_full_scan_age、antivirus_security_intelligence_creation_time、antispyware_security_intelligence_creation_time、last_quick_scan_start_time、last_quick_scan_end_time、last_quick_scan_source、last_full_scan_start_time、last_full_scan_end_time、last_full_scan_source、product_status	additional.fields	如果標籤對應不是空白，則與標籤對應 {key: field name, value: {string_value: field value}} 合併
	metadata.description	根據 EventID 設定為事件專屬說明字串
	metadata.event_type	如果 has_principal 為 true，則設為「SCAN_HOST」，否則設為「GENERIC_EVENT」；EventID 1011、1116、1117 則設為「SCAN_FILE」
ProviderGuid	metadata.product_deployment_id	移除 {} 後的 ProviderGuid 值
	metadata.product_event_type	根據 EventID 設定活動專屬的產品事件類型字串
RecordNumber	metadata.product_log_id	直接複製值 (以字串形式)
platform_version	metadata.product_version	直接複製值
FWLink	metadata.url_back_to_product	直接複製值
	metadata.vendor_name	設為「Microsoft」
	metadata.product_name	設為「Windows Defender 防毒軟體」
SourceModuleType	observer.application	直接複製值
網域，__domain	principal.administrative_domain	網域值，或使用 grok 從偵測使用者擷取的 _domain，適用於 EventID 1116、1117
主機名稱	principal.hostname	直接複製值
程序名稱	principal.process.file.full_path	直接複製 EventID 1116、1117 的值
ProcessID	principal.process.pid	直接複製值
SourceModuleName	principal.resource.name	直接複製值
AccountType	principal.user.role_description	直接複製值
AccountName	principal.user.user_display_name	直接複製值
User、UserID、_account	principal.user.userid	使用者提供的值，或 UserID (如不為空)，或使用 grok 從偵測使用者擷取的 _account (適用於 EventID 1116、1117)
SourceName	security_result.about.resource.attribute.labels	如果標籤對應不為空白，則與標籤對應 {key: "SourceName", value: SourceName} 合併
	security_result.action	預設為「ALLOW」；EventID 1116 為「BLOCK」；EventID 1117 為「QUARANTINE」
	security_result.category	針對 EventID 1011、1116、1117 設為「SOFTWARE_MALICIOUS」
ActivityID	security_result.detection_fields	如果 ActivityID 不為空白且不是「-」，則會與 detection_fields {key: "Activity ID", value: ActivityID} 合併
EventID	security_result.description	設為「EventID: %{EventID}」
威脅名稱	security_result.rule_name	直接複製 EventID 1011、1116、1117 的值
嚴重性、等級、EventType	security_result.severity	如果嚴重程度符合 verbose\|information\|info，則設為 LOW；如果符合 warning\|error，則設為 MEDIUM；如果符合 critical，則設為 HIGH；嚴重程度是從 Level 設定 (5\|4 -> information、2\|3 -> warning、1 -> critical)；或是從 EventType 設定 (ERROR -> %{severity}、INFO -> "INFORMATIONAL"，否則為 severity_details)
嚴重性名稱、嚴重性	security_result.severity_details	來自 EventID 1011、1116、1117 的嚴重性名稱值；或來自非 ERROR 或 INFO 的 EventType 的嚴重性
威脅名稱	security_result.summary	直接複製 EventID 1011、1116、1117 的值
類別名稱	security_result.threat_name	直接複製 EventID 1011、1116、1117 的值
FWLink	security_result.url_back_to_product	直接複製 EventID 1011、1116、1117 的值
路徑	target.file.full_path	直接複製 EventID 1116、1117 的值
	target.hostname	將 EventID 1117 設為「」
路徑	target.registry.registry_key	直接複製 EventID 1011 的值
`EventRecordID`	`event.idm.read_only_udm.metadata.product_log_id`	從變更記錄對應
`Product Version`	`event.idm.read_only_udm.metadata.product_version`	從變更記錄對應
`ProviderGuid`	`event.idm.read_only_udm.metadata.product_deployment_id`	從變更記錄對應
`Hostname`	`event.idm.read_only_udm.principal.asset.hostname`	從變更記錄對應
`xmlns`	`event.idm.read_only_udm.principal.url`	從變更記錄對應
`Threat Resource Path`	`event.idm.read_only_udm.target.file.full_path`	從變更記錄對應
`Hashes`	`event.idm.read_only_udm.target.file.sha1`	從變更記錄對應
`RenderingInfoLevel`	`event.idm.read_only_udm.security_result.severity_details`	從變更記錄對應
`Action Name`	`event.idm.read_only_udm.security_result.action_details`	從變更記錄對應
`Detection Time`	`event.idm.read_only_udm.security_result.first_discovered_time`	從變更記錄對應
`Threat ID`	`event.idm.read_only_udm.security_result.threat_id`	從變更記錄對應
`Remediation User`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Status Description`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Action ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Additional Actions ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Additional Actions String`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Category ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Detection ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Engine Version`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Error Code`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Error Description`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Execution ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Execution Name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Origin ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Origin Name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Post Clean Status`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Pre Execution Status`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Security Intelligence Version`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Severity ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Source ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`State`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Status Code`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Type ID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Type Name`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`Level`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Culture`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Keywords`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Opcode`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Product Name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Provider Name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`RenderingInfoMessage`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Service`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Task`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Version`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`Security UserID`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`EventID`	`event.idm.read_only_udm.security_result.summary`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。