收集 Windows 防火牆記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Windows 防火牆記錄檔擷取至 Google Security Operations。

Windows 防火牆是 Windows 內建的主機防火牆，可產生連線允許/封鎖、規則變更和服務事件記錄。Bindplane 代理程式會直接從本機檔案系統收集防火牆記錄檔。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，並支援 observiq-otel-collector 服務
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
產生防火牆記錄的 Windows 主機管理存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，需要提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```

服務應顯示為RUNNING。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
    filelog:
        include:
            - C:\Windows\system32\LogFiles\Firewall\pfirewall.log
        start_at: beginning

exporters:
    chronicle/windows_firewall:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_FIREWALL
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/firewall_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/windows_firewall

設定參數

替換下列預留位置：

接收器設定：
- filelog：從磁碟收集記錄檔的接收器類型
- include：要監控的檔案路徑清單。預設 Windows 防火牆記錄位置：
  - C:\Windows\system32\LogFiles\Firewall\pfirewall.log
- start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目
匯出工具設定：
- windows_firewall：匯出工具的說明名稱
- creds_file_path：擷取驗證檔案的完整路徑：
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步中的客戶 ID
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」
- WINDOWS_FIREWALL：記錄類型，與 Chronicle 中顯示的完全相同
- ingestion_labels：YAML 格式的選用標籤 (例如 env: production)
管道設定：
- firewall_to_chronicle：管道的說明名稱

儲存設定檔

編輯完成後，請儲存檔案：
- Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

您可以選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
```
sc query observiq-otel-collector
```

檢查記錄中是否有錯誤：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Windows 防火牆記錄

按下 Win+R 鍵，輸入 wf.msc，然後按 Enter 鍵，開啟「Windows Defender 防火牆 - 具備進階安全性的防火牆」。
在左側窗格中，以滑鼠右鍵按一下「本機電腦上的 Windows Defender 防火牆進階安全性」，然後選取「內容」。
選取適當的設定檔分頁標籤 (「網域設定檔」、「私人設定檔」或「公開設定檔」)。
在「記錄」下方，按一下「自訂」。
請提供下列設定詳細資料：
- 記錄捨棄的封包：選取「是」。
- 記錄成功連線：選取「是」。
- 名稱：確認記錄檔路徑為 %systemroot%\system32\LogFiles\Firewall\pfirewall.log (預設)。
- 大小限制 (KB)：至少設為 4096，才能擷取足夠的記錄資料。
按一下「確定」儲存記錄設定。
視需要針對每個設定檔分頁 (「網域」、「私人」、「公開」) 重複執行步驟 3 到 6。
確認記錄檔是否寫入 C:\Windows\system32\LogFiles\Firewall\pfirewall.log。
確認 config.yaml 中的 Bindplane 代理程式 include 路徑與防火牆記錄檔路徑相符。

注意： 根據預設，Windows 防火牆只會記錄遭捨棄的封包。如要擷取所有連線事件以進行安全監控，請同時啟用「記錄捨棄的封包」和「記錄連線成功事件」。Bindplane 代理程式服務帳戶必須具備記錄檔的讀取權限。

UDM 對應表

記錄欄位	UDM 對應	邏輯
tcpflags、tcpsyn、tcpack、tcpwin、icmptype、icmpcode	about.labels	如果欄位 !=「-」，則合併為鍵/值組合
時間戳記	metadata.event_timestamp	以 yyyy-MM-dd HH:mm:ss 格式剖析
	metadata.event_type	設為「NETWORK_CONNECTION」
方向	network.direction	如果方向為「SEND」或「FORWARD」，則設為「OUTBOUND」；如果方向為「RECEIVE」，則設為「INBOUND」
通訊協定	network.ip_protocol	如果通訊協定位於 ["TCP", "UDP", "ICMP"]，則直接複製值
大小	network.received_bytes	如果方向 ==「RECEIVE」且大小 !=「-」，則轉換為 uinteger
大小	network.sent_bytes	如果方向為 ["SEND", "FORWARD"] 且大小 != "-"，則轉換為 uinteger
src_ip	principal.ip	直接複製值
src_port	principal.port	如果 src_port != "-"，則轉換為整數
動作	security_result.action	如果 action ==「DROP」，請設為「BLOCK」；如果 action ==「ALLOW」，請設為「ALLOW」
資訊	security_result.summary	如果 info != "-"，則直接複製值
dst_ip	target.ip	直接複製值
dst_port	target.port	如果 dst_port != "-"，則轉換為整數
	metadata.product_name	設為「Windows 防火牆」
	metadata.vendor_name	設為「Microsoft」

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。