Menginstal file yang dapat dieksekusi forwarder Windows

Didukung di:

Google SecOps SIEM

Perhatian: Forwarder tidak digunakan lagi. Komponen forwarder akan dihentikan secara bertahap dari platform Google SecOps dan akan mencapai akhir siklus proses (EOL) pada Januari 2027. 1 April 2026: Pelanggan baru Google SecOps tidak dapat menggunakan komponen forwarder. 1 Jan 2027: Forwarder resmi mencapai akhir siklus proses (EOL). Tidak akan ada patch lebih lanjut, termasuk patch keamanan, yang akan dirilis. 1 April 2027: Data tidak lagi diizinkan untuk diserap dari komponen forwarder. Google merekomendasikan penggunaan Bindplane untuk Google SecOps sebagai solusi utama untuk pengumpulan log. Untuk mengetahui informasi selengkapnya, lihat Menggunakan Bindplane dengan Google SecOps.

Perhatian: Forwarder Google Security Operations yang dapat dieksekusi untuk Windows tidak digunakan lagi. Meskipun kami masih mendukung file eksekusi forwarder Google SecOps untuk Windows, sebaiknya gunakan forwarder Google SecOps untuk Linux di Docker atau bermigrasi ke Bindplane.

Dokumen ini menjelaskan cara menginstal dan mengonfigurasi forwarder Google SecOps di Microsoft Windows.

Menyesuaikan file konfigurasi

Berdasarkan informasi yang Anda kirimkan sebelum deployment, Google Cloud memberi Anda file yang dapat dieksekusi dan file konfigurasi opsional untuk forwarder Google SecOps. File yang dapat dieksekusi hanya boleh dijalankan di host yang telah dikonfigurasi untuk file tersebut. Setiap file yang dapat dieksekusi menyertakan konfigurasi khusus untuk instance forwarder Google SecOps di jaringan Anda. Jika Anda perlu mengubah konfigurasi, hubungi Dukungan Google SecOps.

Catatan: Jangan bagikan file konfigurasi Anda di luar organisasi.

Persyaratan sistem

Berikut adalah rekomendasi umum. Untuk rekomendasi khusus sistem Anda, hubungi Dukungan Google SecOps.

• Versi Windows Server: Forwarder Google SecOps didukung di versi Microsoft Windows Server berikut:

  • 2008 R2

  • 2012 R2

  • 2016

• RAM: 1,5 GB untuk setiap jenis data yang dikumpulkan. Misalnya, deteksi dan respons endpoint (EDR), DNS, dan DHCP adalah jenis data yang terpisah. Anda memerlukan RAM 4,5 GB untuk mengumpulkan data untuk ketiganya.

• CPU: 2 CPU sudah cukup untuk menangani kurang dari 10.000 peristiwa per detik (EPS) (total untuk semua jenis data). Jika Anda ingin meneruskan lebih dari 10.000 EPS, diperlukan 4 hingga 6 CPU.

• Disk: Diperlukan kapasitas disk sebesar 20 GB, terlepas dari jumlah data yang ditangani forwarder Google SecOps. Forwarder Google SecOps tidak melakukan buffering ke disk secara default, tetapi sebaiknya aktifkan buffering disk. Anda dapat melakukan buffering disk dengan menambahkan parameter write_to_disk_buffer_enabled dan write_to_disk_dir_path di file konfigurasi.

  Contoh:

  - <collector>:
       common:
           ...
           write_to_disk_buffer_enabled: true
           write_to_disk_dir_path: <var>your_path</var>
           ...
  

Rentang alamat IP Google

Anda mungkin memerlukan rentang alamat IP yang akan dibuka saat menyiapkan konfigurasi forwarder Google SecOps, seperti saat menyiapkan konfigurasi untuk firewall Anda. Google tidak dapat memberikan daftar alamat IP tertentu. Namun, Anda dapat mendapatkan rentang alamat IP Google.

Memverifikasi konfigurasi firewall

Jika Anda memiliki firewall atau proxy yang diautentikasi di antara container forwarder Google SecOps dan internet, firewall atau proxy tersebut memerlukan aturan untuk mengizinkan akses ke host Google Cloud berikut:

Jenis koneksi	Tujuan	Port
TCP	malachiteingestion-pa.googleapis.com	443
TCP	asia-northeast1-malachiteingestion-pa.googleapis.com	443
TCP	asia-south1-malachiteingestion-pa.googleapis.com	443
TCP	asia-southeast1-malachiteingestion-pa.googleapis.com	443
TCP	australia-southeast1-malachiteingestion-pa.googleapis.com	443
TCP	eu-chronicle.googleapis.com	443
TCP	europe-malachiteingestion-pa.googleapis.com	443
TCP	europe-west2-malachiteingestion-pa.googleapis.com	443
TCP	europe-west3-malachiteingestion-pa.googleapis.com	443
TCP	europe-west6-malachiteingestion-pa.googleapis.com	443
TCP	europe-west9-malachiteingestion-pa.googleapis.com	443
TCP	europe-west12-malachiteingestion-pa.googleapis.com	443
TCP	me-central1-malachiteingestion-pa.googleapis.com	443
TCP	me-central2-malachiteingestion-pa.googleapis.com	443
TCP	me-west1-malachiteingestion-pa.googleapis.com	443
TCP	northamerica-northeast2-malachiteingestion-pa.googleapis.com	443
TCP	southamerica-east1-malachiteingestion-pa.googleapis.com	443
TCP	accounts.google.com	443
TCP	gcr.io	443
TCP	cloud.google.com/artifact-registry	443
TCP	oauth2.googleapis.com	443
TCP	www.googleapis.com	443
TCP	storage.googleapis.com	443

Anda dapat memeriksa konektivitas jaringan ke Google Cloud menggunakan langkah-langkah berikut:

1. Mulai Windows PowerShell dengan hak istimewa Administrator (Klik Start, ketik PowerShell, klik kanan Windows PowerShell, lalu klik Run as administrator).

2. Jalankan perintah berikut. TcpTestSucceeded harus menampilkan true.

   C:\> test-netconnection <host> -port <port>

   Contoh:

   C:\> test-netconnection malachiteingestion-pa.googleapis.com -port 443
   ComputerName     : malchiteingestion-pa.googleapis.com
   RemoteAddress    : 198.51.100.202
   RemotePort       : 443
   InterfaceAlias   : Ethernet
   SourceAddress    : 10.168.0.2
   TcpTestSucceeded : True
   

Anda juga dapat menggunakan forwarder Google SecOps untuk memeriksa konektivitas jaringan:

1. Mulai Command Prompt dengan hak istimewa administrator (Klik Start, ketik Command Prompt, klik kanan Command Prompt, lalu klik Run as Administrator).

2. Untuk memverifikasi konektivitas jaringan, jalankan forwarder Google SecOps dengan opsi -test.

   C:\> .\chronicle_forwarder.exe -test
   Verify network connection succeeded!
   

Menginstal forwarder Google SecOps di Windows

Di Windows, file eksekusi forwarder Google SecOps harus diinstal sebagai layanan.

1. Salin file chronicle_forwarder.exe dan file konfigurasi ke direktori kerja.

2. Mulai Command Prompt dengan hak istimewa administrator (Klik Start, ketik Command Prompt, klik kanan Command Prompt, lalu klik Run as Administrator).

3. Untuk menginstal layanan, buka direktori kerja yang Anda buat di langkah 1 dan jalankan perintah berikut:

   C:\> .\chronicle_forwarder.exe -install -config FILE_NAME
   

   Ganti FILE_NAME dengan nama file konfigurasi yang diberikan kepada Anda.

   Layanan diinstal ke C:\Windows\system32\ChronicleForwarder.

4. Untuk memulai layanan, jalankan perintah berikut:

   C:\> sc.exe start chronicle_forwarder
   

Memastikan forwarder Google SecOps berjalan

Forwarder Google SecOps harus memiliki koneksi jaringan yang terbuka di port 443 dan data Anda akan ditampilkan di antarmuka web Google SecOps dalam beberapa menit.

Anda dapat memverifikasi bahwa forwarder Google SecOps berjalan menggunakan salah satu metode berikut:

• Task Manager: Buka tab Processes > Background processes > chronicle_forwarder.

• Resources Monitor: Di tab Network, aplikasi chronicle_forwarder.exe akan tercantum di bagian Aktivitas Jaringan (setiap kali aplikasi chronicle_forwarder.exe terhubung ke Google Cloud), di bagian TCP Connections, dan di bagian Listening Ports.

Melihat log forwarder

File log forwarder Google SecOps disimpan di folder C:\Windows\Temp. File log dimulai dengan chronicle_forwarder.exe.win-forwarder. File log memberikan berbagai informasi, termasuk kapan forwarder dimulai dan kapan forwarder mulai mengirim data ke Google Cloud.

Meng-uninstal forwarder Google SecOps

Untuk meng-uninstal layanan forwarder Google SecOps, selesaikan langkah-langkah berikut:

1. Buka Command Prompt dalam mode administrator.

2. Hentikan layanan forwarder Google SecOps:

   SERVICE_NAME: chronicle_forwarder
   TYPE               : 10  WIN32_OWN_PROCESS
   STATE              : 4  RUNNING (STOPPABLE, PAUSABLE, ACCEPTS_SHUTDOWN)
   WIN32_EXIT_CODE    : 0  (0x0)
   SERVICE_EXIT_CODE  : 0  (0x0)
   CHECKPOINT         : 0x0
   WAIT_HINT          : 0x0
   

3. Buka direktori C:\Windows\system32\ChronicleForwarder dan uninstal layanan forwarder Google SecOps: C:\> .\chronicle_forwarder.exe -uninstall

Mengupgrade forwarder Google SecOps

Untuk mengupgrade forwarder Google SecOps sambil terus menggunakan file konfigurasi saat ini, selesaikan langkah-langkah berikut:

1. Buka Command Prompt dalam mode administrator.

2. Salin file konfigurasi Anda dari direktori C:\Windows\system32\ChronicleForwarder ke direktori lain.

3. Hentikan forwarder Google SecOps:

   C:\> sc.exe stop chronicle_forwarder
   

4. Uninstal layanan dan aplikasi forwarder Google SecOps:

   C:\> .\chronicle_forwarder.exe --uninstall
   

5. Hapus semua file di direktori C:\windows\system32\ChronicleForwarder.

6. Salin aplikasi chronicle_forwarder.exe baru dan file konfigurasi asli ke direktori kerja.

7. Dari direktori kerja, jalankan perintah berikut:

   C:\> .\chronicle_forwarder.exe -install -config configFileProvidedToYou
   

8. Mulai layanan:

   C:\ sc.exe start chronicle_forwarder
   

Mengumpulkan data Splunk

Hubungi Dukungan Google SecOps untuk memperbarui file konfigurasi forwarder Google SecOps Anda agar dapat meneruskan data Splunk ke Google Cloud.

Mengumpulkan data syslog

Forwarder Google SecOps dapat beroperasi sebagai server syslog, yang berarti Anda dapat mengonfigurasi peralatan atau server apa pun yang mendukung pengiriman data syslog melalui koneksi TCP atau UDP untuk meneruskan datanya ke forwarder Google SecOps. Anda dapat mengontrol dengan tepat data yang dikirim oleh peralatan atau server ke forwarder Google SecOps, yang kemudian dapat meneruskan data tersebut ke Google Cloud.

File konfigurasi forwarder Google SecOps menentukan port mana yang akan dipantau untuk setiap jenis data yang diteruskan (misalnya, port 10514). Secara default, forwarder Google SecOps menerima koneksi TCP dan UDP. Hubungi Dukungan Google SecOps untuk memperbarui file konfigurasi forwarder Google SecOps Anda agar mendukung syslog.

Aktifkan/nonaktifkan kompresi data

Kompresi log mengurangi konsumsi bandwidth jaringan saat mentransfer log ke Google SecOps. Namun, kompresi dapat menyebabkan peningkatan penggunaan CPU. Kompromi antara penggunaan CPU dan bandwidth bergantung pada banyak faktor, termasuk jenis data log, kemampuan kompresi data tersebut, ketersediaan siklus CPU pada host yang menjalankan forwarder, dan kebutuhan untuk mengurangi konsumsi bandwidth jaringan.

Misalnya, log berbasis teks dapat dikompresi dengan baik dan dapat memberikan penghematan bandwidth yang signifikan dengan penggunaan CPU yang rendah. Namun, payload terenkripsi dari paket mentah tidak dapat dikompresi dengan baik dan menimbulkan penggunaan CPU yang lebih tinggi.

Karena sebagian besar jenis log yang diserap oleh forwarder dapat dikompresi secara efisien, kompresi log diaktifkan secara default untuk mengurangi konsumsi bandwidth. Namun, jika peningkatan penggunaan CPU lebih besar daripada manfaat penghematan bandwidth, Anda dapat menonaktifkan kompresi dengan menetapkan kolom compression ke false di file konfigurasi forwarder Google SecOps seperti yang ditunjukkan dalam contoh berikut:

  compression: false
  url: malachiteingestion-pa.googleapis.com:443
  identity:
  identity:
  collector_id: 10479925-878c-11e7-9421-10604b7abba1
  customer_id: abcd4bb9-878b-11e7-8455-12345b7cb5c1
  secret_key: |
  {
    "type": "service_account",
  ...

Mengaktifkan TLS untuk konfigurasi syslog

Anda dapat mengaktifkan Transport Layer Security (TLS) untuk koneksi syslog ke forwarder Google SecOps. Dalam file konfigurasi forwarder Google SecOps, tentukan lokasi sertifikat dan kunci sertifikat Anda seperti yang ditunjukkan dalam contoh berikut:

sertifikat	C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem
certificate_key	C:/opt/chronicle/external/certs/forwarder.key

Berdasarkan contoh yang ditampilkan, konfigurasi forwarder Google SecOps akan diubah sebagai berikut:

  collectors:
- syslog:
    common:
      enabled: true
      data_type: WINDOWS_DNS
      data_hint:
      batch_n_seconds: 10
      batch_n_bytes: 1048576
  tcp_address: 0.0.0.0:10515
  connection_timeout_sec: 60
  certificate: "C:/opt/chronicle/external/certs/edb3ae966a7bbe1f.pem"
  certificate_key: "C:/opt/chronicle/external/certs/forwarder.key"

Anda dapat membuat direktori certs di bawah direktori konfigurasi dan menyimpan file sertifikat di sana.

Catatan: Hapus kolom udp_address dari file konfigurasi forwarder Google SecOps. TLS harus menggunakan TCP untuk transport, sehingga UDP tidak dapat dikonfigurasi.

Mengumpulkan data paket

Forwarder Google SecOps dapat menangkap paket langsung dari antarmuka jaringan menggunakan Npcap di sistem Windows.

Catatan: Penggunaan WinPcap tidak digunakan lagi. Sebaiknya gunakan Npcap.

Paket direkam dan dikirim ke Google Cloud , bukan entri log. Pengambilan hanya dilakukan dari antarmuka lokal.

Hubungi Dukungan Google SecOps untuk memperbarui file konfigurasi forwarder Google SecOps Anda agar mendukung pengambilan paket.

Untuk menjalankan penerusan Packet Capture (PCAP), Anda memerlukan hal berikut:

• Instal Npcap di host Microsoft Windows.

• Berikan hak istimewa root atau administrator kepada forwarder Google SecOps untuk memantau antarmuka jaringan.

• Tidak diperlukan opsi command line.

• Pada penginstalan Npcap, aktifkan mode kompatibilitas WinPcap.

Untuk mengonfigurasi penerusan PCAP, Google Cloud memerlukan GUID untuk antarmuka yang digunakan untuk menangkap paket. Jalankan getmac.exe di komputer tempat Anda berencana menginstal penerus Google SecOps (baik server maupun komputer yang memproses port span) dan kirim outputnya ke Google SecOps.

Atau, Anda dapat mengubah file konfigurasi. Temukan bagian PCAP dan ganti nilai GUID yang ditampilkan di samping antarmuka dengan GUID yang ditampilkan dari menjalankan getmac.exe.

Misalnya, berikut adalah bagian PCAP asli:

 common:
       enabled: true
 data_type: PCAP_DNS
       batch_n_seconds: 10
   batch_n_bytes: 1048576
     interface: \Device\NPF_{1A7E7C8B-DD7B-4E13-9637-0437AB1A12FE}
   bpf: udp port 53

Berikut adalah output dari menjalankan getmac.exe:

C:\>getmac.exe
  Physical Address    Transport Name
  ===========================================================================
  A4-73-9F-ED-E1-82   \Device\Tcpip_{2E0E9440-ABFF-4E5B-B43C-E188FCAD1234}

Dan terakhir, berikut adalah bagian PCAP yang direvisi dengan GUID baru:

- pcap:
       common:
     enabled: true
         data_type: PCAP_DNS
     batch_n_seconds: 10
         batch_n_bytes: 1048576
       interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
     bpf: udp port 53

Catatan: Output getmac.exe untuk Nama Transportasi dimulai dengan \Device\Tcpip, sedangkan bagian pcap yang sebanding dimulai dengan \Device\NPF.

Mengumpulkan data WebProxy

Forwarder Google SecOps dapat menangkap data WebProxy langsung dari antarmuka jaringan menggunakan Npcap dan mengirimkannya ke Google Cloud.

Catatan: WinPcap tidak digunakan lagi. Sebaiknya gunakan Npcap.

Untuk mengaktifkan pengambilan data WebProxy untuk sistem Anda, hubungi Dukungan Google SecOps.

Sebelum menjalankan penerus WebProxy, lakukan hal berikut:

1. Instal Npcap di host Microsoft Windows. Aktifkan mode kompatibilitas WinPcap selama penginstalan.

2. Berikan hak istimewa root atau administrator ke forwarder Google SecOps untuk memantau antarmuka jaringan.

3. Untuk mengonfigurasi penerusan WebProxy, Google Cloud memerlukan GUID untuk antarmuka yang digunakan untuk menangkap paket WebProxy.

   Jalankan getmac.exe di komputer tempat Anda ingin menginstal forwarder Google SecOps dan kirim outputnya ke Google SecOps. Atau, Anda dapat mengubah file konfigurasi. Temukan bagian WebProxy dan ganti GUID yang ditampilkan di samping antarmuka dengan GUID yang ditampilkan setelah menjalankan getmac.exe.

   Ubah file konfigurasi forwarder Google SecOps (FORWARDER_NAME.conf) sebagai berikut:

     - webproxy:
       common:
           enabled : true
           data_type: <Your LogType>
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         interface: \Device\NPF_{2E0E9440-ABFF-4E5B-B43C-E188FCAD9734}
         bpf: tcp and dst port 80
   

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.