Exécutable du redirecteur Google Security Operations pour Windows

Compatible avec:

Ce document explique comment installer et configurer le transfert Google Security Operations sur Microsoft Windows.

Personnaliser les fichiers de configuration

Sur la base des informations que vous avez envoyées avant le déploiement, Google Cloud vous fournit un fichier exécutable et un fichier de configuration facultatif pour le transfert Google Security Operations. Le fichier exécutable ne doit être exécuté que sur l'hôte pour lequel il a été configuré. Chaque fichier exécutable inclut une configuration spécifique au Instance du redirecteur Google Security Operations sur votre réseau. Si vous devez modifier la configuration, contactez l'assistance Google Security Operations.

Configuration requise

Voici quelques recommandations générales. Pour obtenir des recommandations personnalisées contactez l'assistance Google Security Operations.

  • Version Windows Server: le redirecteur Google Security Operations est compatible sur les versions suivantes de Microsoft Windows Server:

    • 2008 R2

    • 2012 R2

    • 2016

  • RAM: 1,5 Go pour chaque type de données collectées Par exemple, la détection et la réponse des points de terminaison (EDR), DNS et DHCP sont tous des types de données distincts. Vous avez besoin de 4,5 Go de RAM pour collecter des données pour les trois.

  • Processeur: 2 processeurs suffisent pour gérer moins de 10 000 événements par seconde (EPS) (au total pour tous les types de données). Si vous prévoyez de transférer plus de 10 000 EPS, vous avez besoin de quatre à six CPU.

  • Disque : 20 Go d'espace disque sont requis, quelle que soit la quantité de données gérées par le transpondeur Google Security Operations. Par défaut, le redirecteur Google Security Operations n'effectue pas de mise en mémoire tampon sur le disque, mais nous vous recommandons d'activer cette fonctionnalité. Vous pouvez mettre en mémoire tampon le disque en ajoutant les paramètres write_to_disk_buffer_enabled et write_to_disk_dir_path dans le fichier de configuration.

    Exemple :

    - <collector>:
     common:
         ...
         write_to_disk_buffer_enabled: true
         write_to_disk_dir_path: <var>your_path</var>
         ...

Plages d'adresses IP utilisées par Google

Vous devrez peut-être ouvrir la plage d'adresses IP lorsque vous configurerez un forwarder Google Security Operations, par exemple lorsque vous configurerez votre pare-feu. Google ne peut pas fournir une liste spécifique d'adresses IP. Vous pouvez toutefois obtenir les plages d'adresses IP utilisées par Google.

Vérifier la configuration du pare-feu

Si vous avez des pare-feu ou des proxys authentifiés entre le conteneur du redirecteur Google Security Operations et Internet, ils requièrent des règles pour autoriser l'accès aux hôtes Google Cloud suivants:

Type de connexion Destination Port
TCP malachiteingestion-pa.googleapis.com 443
TCP asia-northeast1-malachiteingestion-pa.googleapis.com 443
TCP asia-south1-malachiteingestion-pa.googleapis.com 443
TCP asia-southeast1-malachiteingestion-pa.googleapis.com 443
TCP australia-southeast1-malachiteingestion-pa.googleapis.com 443
TCP europe-malachiteingestion-pa.googleapis.com 443
TCP europe-west2-malachiteingestion-pa.googleapis.com 443
TCP europe-west3-malachiteingestion-pa.googleapis.com 443
TCP europe-west6-malachiteingestion-pa.googleapis.com 443
TCP europe-west12-malachiteingestion-pa.googleapis.com 443
TCP me-central1-malachiteingestion-pa.googleapis.com 443
TCP me-central2-malachiteingestion-pa.googleapis.com 443
TCP me-west1-malachiteingestion-pa.googleapis.com 443
TCP northamerica-northeast2-malachiteingestion-pa.googleapis.com 443
TCP accounts.google.com 443
TCP gcr.io 443
TCP oauth2.googleapis.com 443
TCP storage.googleapis.com 443

Pour vérifier la connectivité réseau à Google Cloud, procédez comme suit :

  1. Démarrez Windows PowerShell avec des droits d'administrateur (cliquez sur Démarrer, saisissez PowerShell, effectuez un clic droit sur Windows PowerShell, puis cliquez sur Exécuter en tant qu'administrateur).

  2. Exécutez la commande suivante : TcpTestSucceeded doit renvoyer "true".

    C:\> test-netconnection <host> -port <port>

    Exemple :

    C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
ComputerName     : malchiteingestion-pa.googleapis.com
RemoteAddress    : 198.51.100.202
RemotePort       : 443
InterfaceAlias   : Ethernet
SourceAddress    : 10.168.0.2
TcpTestSucceeded : True

Vous pouvez également vérifier la connectivité réseau à l'aide du redirecteur Google Security Operations:

  1. Démarrez l'invite de commande avec les droits d'administrateur (cliquez sur Démarrer, saisissez Command Prompt, effectuez un clic droit sur Invite de commandes, puis cliquez sur Exécuter en tant qu'administrateur).

  2. Pour vérifier la connectivité réseau, exécutez le forwarder Google Security Operations avec l'option -test.

    C:\> .\chronicle_forwarder.exe -test
Verify network connection succeeded!

Installer le redirecteur Google Security Operations sous Windows

Sous Windows, l'exécutable du redirecteur Google Security Operations doit être installé en tant que service.

  1. Copiez le fichier chronicle_forwarder.exe et le fichier de configuration dans un répertoire de travail.

  2. Ouvrez l'invite de commande avec des droits d'administrateur (cliquez sur Démarrer, saisissez Command Prompt, effectuez un clic droit sur Invite de commande, puis cliquez sur Exécuter en tant qu'administrateur).

  3. Pour installer le service, accédez au répertoire de travail que vous avez créé à l'étape 1 et exécutez la commande suivante:

    C:\> .\chronicle_forwarder.exe -install -config FILE_NAME

    Remplacez FILE_NAME par le nom du fichier de configuration. qui vous sont fournies.

    Le service est installé dans C:\Windows\system32\ChronicleForwarder.

  4. Pour démarrer le service, exécutez la commande suivante :

    C:\> sc.exe start chronicle_forwarder

Vérifier que le transfert Google Security Operations est en cours d'exécution

Le transfert Google Security Operations doit disposer d'une connexion réseau ouverte sur le port 443. Vos données devraient s'afficher dans l'interface Web Google Security Operations en quelques minutes.

Vous pouvez vérifier que le transfert Google Security Operations est en cours d'exécution à l'aide de l'une des méthodes suivantes :

  • Gestionnaire des tâches : accédez à l'onglet Processus > Processus en arrière-plan > chronicle_forwarder.

  • Moniteur des ressources: dans l'onglet Réseau, l'application chronicle_forwarder.exe doit être répertoriée sous Activité réseau (à chaque fois que l'application chronicle_forwarder.exe se connecte à Google Cloud), sous "Connexions TCP" et sous "Ports d'écoute".

Afficher les journaux du transpondeur

Les fichiers journaux du forwarder Google Security Operations sont stockés dans le dossier C:\Windows\Temp. Les fichiers journaux commencent par chronicle_forwarder.exe.win-forwarder. Les fichiers journaux fournissent diverses informations, y compris le moment où le transfert a été lancé et le moment où il a commencé à envoyer des données à Google Cloud.

Désinstaller le transpondeur Google Security Operations

Pour désinstaller le service de redirecteur Google Security Operations, procédez comme suit:

  1. Ouvrez l'invite de commande en mode administrateur.

  2. Arrêtez le service de transfert Google Security Operations :

    SERVICE_NAME: chronicle_forwarder
TYPE               : 10  WIN32_OWN_PROCESS
STATE              : 4  RUNNING (STOPPABLE, PAUSABLE, ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE    : 0  (0x0)
SERVICE_EXIT_CODE  : 0  (0x0)
CHECKPOINT         : 0x0
WAIT_HINT          : 0x0

  3. Accédez au répertoire C:\Windows\system32\ChronicleForwarder et désinstallez le service de transfert Google Security Operations : C:\> .\chronicle_forwarder.exe -uninstall

Mettre à niveau le forwarder Google Security Operations

Pour mettre à niveau le redirecteur Google Security Operations tout en continuant à utiliser votre fichier de configuration actuel, procédez comme suit:

  1. Ouvrez l'invite de commande en mode administrateur.

  2. Copiez votre fichier de configuration du répertoire C:\Windows\system32\ChronicleForwarder vers un autre répertoire.

  3. Arrêtez le redirecteur Google Security Operations:

    C:\> sc.exe stop chronicle_forwarder

  4. Désinstallez l'application et le service de redirecteur Google Security Operations:

    C:\> .\chronicle_forwarder.exe --uninstall

  5. Supprimez tous les fichiers du répertoire C:\windows\system32\ChronicleForwarder.

  6. Copiez la nouvelle application chronicle_forwarder.exe et le fichier de configuration d'origine dans un répertoire de travail.

  7. À partir du répertoire de travail, exécutez la commande suivante:

    C:\> .\chronicle_forwarder.exe -install -config configFileProvidedToYou

  8. Démarrez le service :

    C:\ sc.exe start chronicle_forwarder

Collecter des données Splunk

Contactez l'assistance Google Security Operations pour mettre à jour votre redirecteur Google Security Operations pour transférer vos données Splunk vers Google Cloud.

Collecter des données syslog

Le transfert Google Security Operations peut fonctionner comme un serveur syslog. Vous pouvez donc configurer n'importe quel appareil ou serveur compatible avec l'envoi de données syslog via une connexion TCP ou UDP pour transférer ses données vers le transfert Google Security Operations. Vous pouvez contrôler précisément les données que l'appareil ou le serveur envoie au redirecteur Google Security Operations qui peut ensuite les transférer vers Google Cloud.

Le fichier de configuration du redirecteur Google Security Operations spécifie les ports à surveiller chaque type de données transférées (par exemple, le port 10514). Par défaut, le transfert Google Security Operations accepte à la fois les connexions TCP et UDP. Contactez l'assistance Google Security Operations pour mettre à jour votre fichier de configuration du redirecteur Google Security Operations afin qu'il soit compatible avec syslog.

Activer/Désactiver la compression des données

La compression des journaux réduit la consommation de bande passante réseau lors du transfert des journaux vers Google Security Operations. Toutefois, la compression peut entraîner une augmentation de l'utilisation du processeur. Le compromis entre l'utilisation du processeur et la bande passante dépend de nombreux facteurs, y compris le type de données de journal, la compressibilité de ces données, la disponibilité de cycles de processeur sur l'hôte exécutant le forwarder et la nécessité de réduire la consommation de bande passante réseau.

Par exemple, les journaux basés sur du texte se compressent bien et peuvent économiser une bande passante importante avec une utilisation du processeur faible. Cependant, les charges utiles chiffrées des paquets bruts ne sont pas bien compressées et entraînent une utilisation plus élevée du processeur.

Étant donné que la plupart des types de journaux ingérés par le redirecteur sont efficacement compressibles, les journaux est activée par défaut pour réduire la consommation de bande passante. Toutefois, si l'augmentation de l'utilisation du processeur l'emporte sur les avantages de l'économie de bande passante, vous pouvez désactiver la compression en définissant le champ compression sur false dans le fichier de configuration du forwarder Google Security Operations, comme indiqué dans l'exemple suivant :

  compression: false
  url: malachiteingestion-pa.googleapis.com:443
  identity:
  identity:
  collector_id: 10479925-878c-11e7-9421-10604b7abba1
  customer_id: abcd4bb9-878b-11e7-8455-12345b7cb5c1
  secret_key: |
  {
    "type": "service_account",
  ...

Activer le protocole TLS pour les configurations syslog

Vous pouvez activer le protocole TLS (Transport Layer Security) pour la connexion syslog à Google Security Operations à l'aide d'un redirecteur. Dans le fichier de configuration du forwarder Google Security Operations, spécifiez l'emplacement de votre certificat et de votre clé de certificat, comme indiqué dans l'exemple suivant :

certificat C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem
certificate_key C:/opt/chronicle/external/certs/forwarder.key

Sur la base de l'exemple présenté, la configuration du transfert Google Security Operations serait modifiée comme suit :

  collectors:
- syslog:
    common:
      enabled: true
      data_type: WINDOWS_DNS
      data_hint:
      batch_n_seconds: 10
      batch_n_bytes: 1048576
  tcp_address: 0.0.0.0:10515
  connection_timeout_sec: 60
  certificate: "C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem"
  certificate_key: "C:/opt/chronicle/external/certs/forwarder.key"

Vous pouvez créer un répertoire "certs" sous le répertoire de configuration et y stocker les fichiers de certificat.

Collecter les données des paquets

Le redirecteur Google Security Operations peut capturer des paquets directement à partir d'une interface réseau à l'aide de Npcap sur les systèmes Windows.

Les paquets sont capturés et envoyés à Google Cloud au lieu d'être enregistrés dans des entrées de journal. La capture se fait à partir d'une interface locale uniquement.

Contactez l'assistance Google Security Operations pour mettre à jour votre fichier de configuration du redirecteur Google Security Operations afin de permettre la capture de paquets.

Pour exécuter un redirecteur de capture de paquets (PCAP), vous avez besoin des éléments suivants:

  • Installez Npcap sur l'hôte Microsoft Windows.

  • Accordez au redirecteur Google Security Operations des droits d'administrateur ou des droits racine pour surveiller l'interface réseau.

  • Aucune option de ligne de commande n'est nécessaire.

  • Lors de l'installation de Npcap, activez le mode de compatibilité WinPcap.

Pour configurer un redirecteur PCAP, Google Cloud a besoin du GUID de l'interface utilisée pour capturer les paquets. Exécutez getmac.exe sur la machine sur laquelle vous prévoyez d'installer le redirecteur Google Security Operations (le serveur ou la machine qui écoute sur le port span) et d'envoyer le résultat à Google Security Operations.

Vous pouvez également modifier le fichier de configuration. Localisez la section PCAP et Remplacez la valeur GUID affichée à côté de l'interface par le GUID affiché lors de l'exécution de getmac.exe.

Par exemple, voici une section PCAP originale:

 common:
       enabled: true
 data_type: PCAP_DNS
       batch_n_seconds: 10
   batch_n_bytes: 1048576
     interface: \Device\NPF_{1A7E7C8B-DD7B-4E13-9637-0437AB1A12FE}
   bpf: udp port 53

Voici le résultat de l'exécution de getmac.exe:

C:\>getmac.exe
  Physical Address    Transport Name
  ===========================================================================
  A4-73-9F-ED-E1-82   \Device\Tcpip_{2E0E9440-ABFF-4E5B-B43C-E188FCAD1234}

Enfin, voici la section PCAP révisée avec le nouveau GUID :

- pcap:
       common:
     enabled: true
         data_type: PCAP_DNS
     batch_n_seconds: 10
         batch_n_bytes: 1048576
       interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
     bpf: udp port 53

Collecter les données WebProxy

Le transfert Google Security Operations peut capturer des données WebProxy directement à partir d'une interface réseau à l'aide de Npcap et les envoyer à Google Cloud.

Pour activer la capture des données WebProxy pour votre système, contactez l'assistance Google Security Operations.

Avant d'exécuter un redirecteur WebProxy, procédez comme suit:

  1. Installez Npcap sur l'hôte Microsoft Windows. Activer la compatibilité avec WinPcap pendant l'installation.

  2. Attribuez des droits racine ou d'administrateur au forwarder Google Security Operations pour surveiller l'interface réseau.

  3. Pour configurer un redirecteur WebProxy, Google Cloud a besoin du GUID du utilisée pour capturer les paquets WebProxy.

    Exécutez getmac.exe sur la machine sur laquelle vous souhaitez installer le transpondeur Google Security Operations, puis envoyez la sortie à Google Security Operations. Vous pouvez également modifier le fichier de configuration. Recherchez la section "WebProxy" et remplacez le GUID affiché à côté de l'interface par celui affiché après l'exécution de getmac.exe.

    Modifier la configuration du redirecteur Google Security Operations (FORWARDER_NAME.conf) comme suit:

      - webproxy:
    common:
        enabled : true
        data_type: <Your LogType>
        batch_n_seconds: 10
        batch_n_bytes: 1048576
      interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
      bpf: tcp and dst port 80