j91321.winlogbeat

概要バージョン洞察

ansible-role-winlogbeat

Windowsログ監視用にwinlogbeatをインストールするAnsibleロールです。

サポートされているプラットフォーム：

Windows 10
Windows Server 2019
Windows Server 2016

要件

なし

ロール変数

defaults/main.ymlからのAnsible変数

winlogbeat_event_logs:
  channels:
    - name: Application
      ignore_older: "72h"
    - name: System
      ignore_older: "72h"
  security: true
  sysmon: false
  powershell: true
  wef: false

winlogbeat_output:
  type: "elasticsearch"
  elasticsearch:
    hosts:
      - "localhost:9200"
    security:
      enabled: false

winlogbeat_processors: |
  - add_host_metadata:
      when.not.contains.tags: forwarded
  - add_cloud_metadata: ~

winlogbeat_service:
  install_path_64: "C:\\Program Files\\Elastic\\winlogbeat"
  install_path_32: "C:\\Program Files (x86)\\Elastic\\winlogbeat"
  version: "7.9.1"
  download: true

winlogbeat_service.downloadは、インストールZIPをhttps://artifacts.elastic.co/からダウンロードするか、Ansibleサーバーからコピーするかを指定します。サーバーがインターネットにアクセスできない場合は、インストールZIPファイルをダウンロードして、**.files/**フォルダに配置してください。ZIPファイル名は変更しないでください。

注意インストールパスが\winlogbeatで終わることを確認してください。クリーンアップを行う最後のタスクが、現在のwinlogbeatバージョン番号を含まないインストールパス内の他のすべてを削除します！

依存関係

なし。

例プレイブック

インストール先を変更し、Windows Defenderのログを収集を追加し、プロセッサを使用してセキュリティログから不要なイベントを削除し、Redis出力を設定する例のプレイブックです。

- name: ワークステーションにwinlogbeatをインストール
  hosts:
    - workstations
  vars:
    winlogbeat_service:
       install_path_64: "C:\\Program Files\\monitoring\\winlogbeat"
       install_path_32: "C:\\Program Files (x86)\\monitoring\\winlogbeat"
       version: "7.9.1"
       download: false
    winlogbeat_event_logs:
      channels:
        - name: Application
          ignore_older: "72h"
        - name: System
          ignore_older: "72h"
        - name: Microsoft-Windows-Windows Defender/Operational
          ignore_older: "72h"
      security: true
      security_processors: |
          - drop_event.when.or:
        - equals.winlog.event_id: 4656 # オブジェクトへのハンドルがリクエストされました。
        - equals.winlog.event_id: 4658 # オブジェクトへのハンドルが閉じられました。
        - equals.winlog.event_id: 4659 # 削除の意図でオブジェクトへのハンドルがリクエストされました。
        - equals.winlog.event_id: 4660 # オブジェクトが削除されました。
        - equals.winlog.event_id: 4663 # オブジェクトへのアクセスの試みがありました。
        - equals.winlog.event_id: 4664 # ハードリンクの作成の試みがありました。
        - equals.winlog.event_id: 4691 # オブジェクトへの間接アクセスがリクエストされました。
      powershell: true
      sysmon: true
      wef: false
    winlogbeat_template:
      enabled: false
    winlogbeat_general:
      tags:
        - "workstation"
        - "winlogbeat"
    winlogbeat_output:
      type: "redis"
      redis:
        hosts:
          - "192.168.24.33:6379"
        password: "私のとても長いredisパスワード"
        key: "winlogbeat-workstation"