Executável do encaminhador do Chronicle para Windows

Este documento descreve como instalar e configurar o encaminhador do Chronicle no Microsoft Windows.

Personalizar os arquivos de configuração

Com base nas informações enviadas antes da implantação, o Google Cloud fornece um arquivo executável e um arquivo de configuração opcional para o encaminhador do Chronicle. O arquivo executável só pode ser executado no host para o qual foi configurado. Cada arquivo executável inclui configurações específicas para a instância do encaminhador do Chronicle na sua rede. Se você precisar alterar a configuração, entre em contato com o suporte do Chronicle.

Requisitos do sistema

Confira a seguir recomendações gerais. Para receber recomendações específicas para seu sistema, entre em contato com o suporte do Chronicle.

  • Versão do Windows Server: o encaminhador do Chronicle é compatível com as seguintes versões do Microsoft Windows Server:

    • 2008 R2

    • 2012 R2

    • 2016

  • RAM: 1,5 GB para cada tipo de dados coletado. Por exemplo, detecção e resposta de endpoints (EDR), DNS e DHCP são tipos de dados separados. Você precisa de 4,5 GB de RAM para coletar dados para os três dispositivos.

  • CPU: duas CPUs são suficientes para processar menos de 10.000 eventos por segundo (EPS,na sigla em inglês) (total para todos os tipos de dados). Para encaminhar mais de 10.000 EPS, são necessárias de 4 a 6 CPUs.

  • Disco: 100 MB de espaço em disco é suficiente, independente da quantidade de dados que o encaminhador do Chronicle gerencia. Por padrão, o encaminhador do Chronicle não armazena em buffer no disco. É possível armazenar o disco em buffer adicionando os parâmetros write_to_disk_buffer_enabled e write_to_disk_dir_path ao arquivo de configuração.

    Exemplo:

    - <collector>:
     common:
         ...
         write_to_disk_buffer_enabled: true
         write_to_disk_dir_path: <var>your_path</var>
         ...

Intervalos de endereços IP do Google

Talvez você precise que o intervalo de endereços IP seja aberto ao definir uma configuração de encaminhador do Chronicle, como ao definir a configuração do firewall. O Google não consegue fornecer uma lista específica de endereços IP. No entanto, você pode ter intervalos de endereços IP do Google.

Verifique a configuração do firewall

Se você tiver firewalls ou proxies autenticados entre o contêiner do encaminhador do Chronicle e a Internet, eles exigirão regras para permitir o acesso aos seguintes hosts do Google Cloud:

Tipo de conexão Destino Port
TCP malachiteingestion-pa.googleapis.com 443
TCP asia-northeast1-malachiteingestion-pa.googleapis.com 443
TCP asia-south1-malachiteingestion-pa.googleapis.com 443
TCP asia-southeast1-malachiteingestion-pa.googleapis.com 443
TCP australia-southeast1-malachiteingestion-pa.googleapis.com 443
TCP europe-malachiteingestion-pa.googleapis.com 443
TCP europe-west2-malachiteingestion-pa.googleapis.com 443
TCP europe-west3-malachiteingestion-pa.googleapis.com 443
TCP europe-west6-malachiteingestion-pa.googleapis.com 443
TCP me-central2-malachiteingestion-pa.googleapis.com 443
TCP me-west1-malachiteingestion-pa.googleapis.com 443
TCP northamerica-northeast2-malachiteingestion-pa.googleapis.com 443
TCP accounts.google.com 443
TCP gcr.io 443
TCP oauth2.googleapis.com 443
TCP storage.googleapis.com 443

Para verificar a conectividade de rede com o Google Cloud, siga estas etapas:

  1. Inicie o Windows PowerShell com privilégios de administrador: clique em Iniciar, digite PowerShell, clique com o botão direito do mouse em Windows PowerShell e clique em Executar como administrador.

  2. Execute o comando a seguir. TcpTestSucceeded retornará verdadeiro.

    C:\> test-netconnection <host> -port <port>

    Exemplo:

    C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
ComputerName     : malchiteingestion-pa.googleapis.com
RemoteAddress    : 198.51.100.202
RemotePort       : 443
InterfaceAlias   : Ethernet
SourceAddress    : 10.168.0.2
TcpTestSucceeded : True

Também é possível usar o encaminhador Chronicle para verificar a conectividade de rede:

  1. Inicie o prompt de comando com privilégios de administrador (clique em Iniciar, digite Command Prompt, clique com o botão direito do mouse em Prompt de comando e clique em Executar como administrador).

  2. Para verificar a conectividade de rede, execute o encaminhador do Chronicle com a opção -test.

    C:\> .\chronicle_forwarder.exe -test
Verify network connection succeeded!

Instalar o encaminhador do Chronicle no Windows

No Windows, o executável do encaminhador do Chronicle precisa ser instalado como um serviço.

  1. Copie o arquivo chronicle_forwarder.exe e o arquivo de configuração para um diretório de trabalho.

  2. Inicie o prompt de comando com privilégios de administrador (clique em Iniciar, digite Command Prompt, clique com o botão direito do mouse em Prompt de comando e clique em Executar como administrador).

  3. Para instalar o serviço, navegue até o diretório de trabalho criado na etapa 1 e execute o seguinte comando:

    C:\> .\chronicle_forwarder.exe -install -config FILE_NAME

    Substitua FILE_NAME pelo nome do arquivo de configuração fornecido a você.

    O serviço está instalado em C:\Windows\system32\ChronicleForwarder.

  4. Para iniciar o serviço, execute o seguinte comando:

    C:\> sc.exe start chronicle_forwarder

Verificar se o encaminhador do Chronicle está em execução

O encaminhador do Chronicle vai ter uma conexão de rede aberta na porta 443, e seus dados vão aparecer na interface da Web do Chronicle em minutos.

Você pode verificar se o encaminhador do Chronicle está em execução usando um destes métodos:

  • Gerenciador de tarefas: acesse a guia Processos > Processos em segundo plano > chronicle_forwarder.

  • Monitor de recursos: na guia Rede, o aplicativo chronicle_forwarder.exe estará listado em Atividade da rede (sempre que o aplicativo chronicle_forwarder.exe se conectar ao Google Cloud), em "Conexões TCP" e em "Portas de escuta".

Conferir registros do encaminhador

Os arquivos de registros do encaminhador do Chronicle são armazenados na pasta C:\Windows\Temp. Os arquivos de registro começam com chronicle_forwarder.exe.win-forwarder. Os arquivos de registro fornecem várias informações, incluindo quando o encaminhador foi iniciado e quando começou a enviar dados ao Google Cloud.

Desinstalar o encaminhador do Chronicle

Para desinstalar o serviço de encaminhamento do Chronicle, siga estas etapas:

  1. Abra o prompt de comando no modo de administrador.

  2. Interrompa o serviço de encaminhador do Chronicle:

    SERVICE_NAME: chronicle_forwarder
TYPE               : 10  WIN32_OWN_PROCESS
STATE              : 4  RUNNING (STOPPABLE, PAUSABLE, ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE    : 0  (0x0)
SERVICE_EXIT_CODE  : 0  (0x0)
CHECKPOINT         : 0x0
WAIT_HINT          : 0x0

  3. Navegue até o diretório C:\Windows\system32\ChronicleForwarder e desinstale o serviço de encaminhamento do Chronicle: C:\> .\chronicle_forwarder.exe -uninstall

Fazer upgrade do encaminhador do Chronicle

Para fazer upgrade do encaminhador do Chronicle enquanto você continua usando o arquivo de configuração atual, siga estas etapas:

  1. Abra o prompt de comando no modo de administrador.

  2. Copie o arquivo de configuração do diretório C:\Windows\system32\ChronicleForwarder para outro diretório.

  3. Pare o encaminhador do Chronicle:

    C:\> sc.exe stop chronicle_forwarder

  4. Desinstale o serviço e o aplicativo de encaminhamento do Chronicle:

    C:\> .\chronicle_forwarder.exe --uninstall

  5. Exclua todos os arquivos no diretório C:\windows\system32\ChronicleForwarder.

  6. Copie o novo aplicativo chronicle_forwarder.exe e o arquivo de configuração original para um diretório de trabalho.

  7. No diretório de trabalho, execute o seguinte comando:

    C:\> .\chronicle_forwarder.exe -install -config configFileProvidedToYou

  8. Inicie o serviço:

    C:\ sc.exe start chronicle_forwarder

Coletar dados do Splunk

Entre em contato com o suporte do Chronicle para atualizar o arquivo de configuração do encaminhador do Chronicle e encaminhar seus dados do Splunk para o Google Cloud.

Coletar dados syslog

Ele pode operar como um servidor syslog. Isso significa que é possível configurar qualquer dispositivo ou servidor compatível com o envio de dados syslog por uma conexão TCP ou UDP para encaminhar os dados ao encaminhador do Chronicle. É possível controlar exatamente quais dados o dispositivo ou servidor envia para o encaminhador do Chronicle, que pode encaminhar os dados para o Google Cloud.

O arquivo de configuração do encaminhador do Chronicle especifica quais portas serão monitoradas para cada tipo de dados encaminhados (por exemplo, porta 10514). Por padrão, o encaminhador do Chronicle aceita conexões TCP e UDP. Entre em contato com o suporte do Chronicle para atualizar o arquivo de configuração de encaminhador para oferecer suporte ao syslog.

Alternar compactação de dados

A compactação de registros reduz o consumo da largura de banda da rede ao transferir registros para o Chronicle. No entanto, a compactação pode aumentar o uso da CPU. A compensação entre o uso da CPU e a largura de banda depende de muitos fatores, incluindo o tipo de dados de registro, a compressibilidade desses dados, a disponibilidade de ciclos de CPU no host que executa o encaminhador e a necessidade de reduzir o consumo de largura de banda da rede.

Por exemplo, registros com base em texto são bem compactados e podem oferecer uma economia de largura de banda substancial com baixo uso da CPU. No entanto, os payloads criptografados de pacotes brutos não são bem comprimidos e geram maior uso da CPU.

Como a maioria dos tipos de registro ingeridos pelo encaminhador é compactável com eficiência, a compactação de registros é ativada por padrão para reduzir o consumo da largura de banda. No entanto, se o aumento no uso da CPU superar o benefício da economia de largura de banda, você poderá desativar a compactação definindo o campo compression como false no arquivo de configuração do encaminhador do Chronicle, conforme mostrado no exemplo a seguir:

  compression: false
  url: malachiteingestion-pa.googleapis.com:443
  identity:
  identity:
  collector_id: 10479925-878c-11e7-9421-10604b7abba1
  customer_id: abcd4bb9-878b-11e7-8455-12345b7cb5c1
  secret_key: |
  {
    "type": "service_account",
  ...

Ativar TLS para configurações de syslog

É possível ativar o Transport Layer Security (TLS) para a conexão syslog com o encaminhador do Chronicle. No arquivo de configuração do encaminhador do Chronicle, especifique a localização do certificado e da chave de certificado, conforme mostrado no exemplo a seguir:

certificado C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem
certificate_key C:/opt/chronicle/external/certs/forwarder.key

Com base no exemplo mostrado, a configuração do encaminhador do Chronicle seria modificada da seguinte maneira:

  collectors:
- syslog:
    common:
      enabled: true
      data_type: WINDOWS_DNS
      data_hint:
      batch_n_seconds: 10
      batch_n_bytes: 1048576
  tcp_address: 0.0.0.0:10515
  connection_timeout_sec: 60
  certificate: "C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem"
  certificate_key: "C:/opt/chronicle/external/certs/forwarder.key"

É possível criar um diretório "certs" no diretório de configuração e armazenar os arquivos de certificado nele.

Coletar dados de pacotes

O encaminhador do Chronicle pode capturar pacotes diretamente de uma interface de rede usando o Npcap em sistemas Windows.

Os pacotes são capturados e enviados para o Google Cloud em vez de entradas de registro. A captura é feita apenas em uma interface local.

Entre em contato com o suporte do Chronicle para atualizar o arquivo de configuração de encaminhador de suporte para oferecer suporte à captura de pacotes.

Para executar um encaminhador de captura de pacotes (PCAP, na sigla em inglês), você precisa do seguinte:

  • Instale o Npcap no host do Microsoft Windows.

  • Conceda privilégios de administrador ou raiz ao encaminhador do Chronicle para monitorar a interface de rede.

  • Nenhuma opção de linha de comando é necessária.

  • Na instalação do Npcap, ative o modo de compatibilidade do WinPcap.

Para configurar um encaminhador PCAP, o Google Cloud precisa do GUID da interface usada para capturar pacotes. Execute getmac.exe na máquina em que você planeja instalar o encaminhador do Chronicle (o servidor ou a máquina que detecta na porta span) e envie a saída para o Chronicle.

Também é possível modificar o arquivo de configuração. Localize a seção PCAP e substitua o valor do GUID mostrado ao lado da interface pelo GUID exibido na execução do getmac.exe.

Por exemplo, aqui está uma seção de PCAP original:

 common:
       enabled: true
 data_type: PCAP_DNS
       batch_n_seconds: 10
   batch_n_bytes: 1048576
     interface: \Device\NPF_{1A7E7C8B-DD7B-4E13-9637-0437AB1A12FE}
   bpf: udp port 53

Esta é a saída da execução de getmac.exe:

C:\>getmac.exe
  Physical Address    Transport Name
  ===========================================================================
  A4-73-9F-ED-E1-82   \Device\Tcpip_{2E0E9440-ABFF-4E5B-B43C-E188FCAD1234}

Por fim, veja a seção PCAP revisada com o novo GUID:

- pcap:
       common:
     enabled: true
         data_type: PCAP_DNS
     batch_n_seconds: 10
         batch_n_bytes: 1048576
       interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
     bpf: udp port 53

Coletar dados do WebProxy

O encaminhador do Chronicle pode capturar dados do WebProxy diretamente de uma interface de rede usando o Npcap e enviá-los ao Google Cloud.

Para ativar a captura de dados do WebProxy no seu sistema, entre em contato com o suporte do Chronicle.

Antes de executar um encaminhador do WebProxy, faça o seguinte:

  1. Instale o Npcap no host do Microsoft Windows. Ative o modo de compatibilidade do WinPcap durante a instalação.

  2. Conceda privilégios de raiz ou de administrador ao encaminhador do Chronicle para monitorar a interface de rede.

  3. Para configurar um encaminhador do WebProxy, o Google Cloud precisa do GUID da interface usada para capturar os pacotes do WebProxy.

    Execute getmac.exe na máquina em que você quer instalar o encaminhador do Chronicle e envie a saída para o Chronicle. Como alternativa, você pode modificar o arquivo de configuração. Localize a seção WebProxy e substitua o GUID mostrado ao lado da interface pelo GUID exibido após a execução de getmac.exe.

    Modifique o arquivo de configuração do encaminhador do Chronicle (FORWARDER_NAME.conf) desta forma:

      - webproxy:
    common:
        enabled : true
        data_type: <Your LogType>
        batch_n_seconds: 10
        batch_n_bytes: 1048576
      interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
      bpf: tcp and dst port 80