BindPlane: Ingestão de Logs Windows no SecOps
Do acesso ao app.bindplane.com até o primeiro evento Windows normalizado no SecOps
Acesso ao BindPlane OP
O BindPlane é incluído com o Google SecOps sem custo adicional. O acesso é feito via interface web no app.bindplane.com nenhuma instalação de servidor necessária para começar.
BindPlane Google Edition
Self-service via app.bindplane.com. Incluído para todos os clientes SecOps. Gerenciamento ilimitado de agentes. Destinos Google (SecOps, Cloud Logging, BigQuery, Cloud Storage).
BindPlane Enterprise Edition
Para deployments de grande escala. Inclui destinos não-Google por 12 meses. Requer chave de licença do Google Account Team.
Settings → SIEM Settings → Collection Agent
No console Google SecOps, acesse Settings → SIEM Settings → Collection Agent. Aqui você baixa o arquivo de autenticação de ingestão (JSON) necessário para a configuração do agente.
Anote o Customer ID
Em Settings → SIEM Settings → Profile, copie o Customer ID na seção Organization Details. Esse valor é obrigatório na configuração do exportador.
Acesse app.bindplane.com
Entre no portal BindPlane OP cloud. Aqui você gerencia Agents, cria Configurations e define pipelines via interface visual sem editar YAML manualmente.
Instalar o Agente no Windows
O agente BDOT é instalado no servidor Windows como serviço via MSI. O comando já vem gerado no portal BindPlane OP com o endpoint e a chave do seu tenant.
Comando de instalação - PowerShell como Administrador
Execute o MSI como Administrador
O agente instala e inicia automaticamente como serviço Windows "observerIQ Distro for OpenTelemetry Collector". Verifique em services.msc.
Agente aparece em Agents no portal
Em segundos o agente aparece na lista Agents do app.bindplane.com com status "Connected".
Comunicação sempre iniciada pelo agente
O agente conecta ao BindPlane OP via OpAMP (WebSocket). O servidor nunca inicia conexão com o agente — apenas saída na porta configurada é necessária.
Criar uma Configuration
No BindPlane OP toda pipeline de coleta é definida em uma Configuration editor visual que conecta Source → Processor → Destination. Sem edição manual de YAML.
New Configuration → nome e plataforma
Dê um nome (ex: windows-secops) e selecione a plataforma Windows.
Canvas visual: Source → Processor → Destination
Adicione os três componentes em sequência. Cada um tem formulário próprio, sem YAML.
Rollout para os agentes
Após configurar, clique em "Add Agent" e "Start Rollout". Todos os agentes vinculados recebem a configuração automaticamente via OpAMP.
Source: Windows Events
No canvas clique em "+ Add Source" e selecione "Windows Events". O ponto mais crítico é habilitar Raw Events em Advanced, obrigatório para o parser WINEVTLOG funcionar.
raw: true no YAML.
Security
Logon, logoff, privilege use, object access. Event IDs: 4624, 4625, 4648, 4720, 4728, 4732.
System
Serviços, drivers, startups. Event ID 7045 (novo serviço), crítico para detecção de persistence.
Application
Alto volume, filtre por nível Error/Warning para reduzir ruído.
Processor: SecOps Standardization
Clique em "+ Add Processor" e selecione "Google SecOps Standardization". Define explicitamente o log_type, garantindo que o parser correto seja aplicado no SecOps.
Adicione também um Batch Processor
Coloque um Batch Processor antes do Standardization. Agrupa logs para maximizar cada requisição à API do SecOps (limite 4MB). Melhora muito a performance em alto volume.
Add a Bindplane Gateway
Para múltiplos agentes Windows, o Gateway centraliza a coleta. Os agentes enviam ao Gateway, que agrega e encaminha ao SecOps. As credenciais ficam apenas no Gateway, não em cada endpoint.
Agente direto → SecOps
Cada agente envia direto à API do SecOps. Credenciais em cada máquina. Ideal para poucos servidores.
Agentes → Gateway → SecOps
Agentes enviam ao Gateway. Credenciais gerenciadas em um ponto. Recomendado para múltiplos endpoints ou redes segmentadas.
Instale o agente BDOT na máquina Gateway
O Gateway usa o mesmo binário BDOT. Após a instalação ele aparece na lista Agents. Configure-o como Gateway no BindPlane OP.
Crie uma Configuration para o Gateway
A Source do Gateway recebe logs via OTLP dos agentes. O Destination é o Google SecOps com as credenciais configuradas aqui, não nos agentes.
Agentes apontam para o Gateway (OTLP)
Na Configuration dos agentes Windows, o Destination é OTLP apontando para o IP/porta do Gateway. O Gateway faz o encaminhamento final ao SecOps.
Destination: Google SecOps via HTTPS
No canvas do Gateway clique em "+ Add Destination" e selecione "Google SecOps". Use o protocolo HTTPS (DataPlane API), recomendado pela documentação oficial do Google SecOps em vez do gRPC legado.
Pré-requisito: Service Account com role Chronicle Editor
Baixe o arquivo de autenticação JSON
No console SecOps vá em Settings → SIEM Settings → Collection Agent e baixe o arquivo de autenticação de ingestão. Para HTTPS, a documentação oficial do Google recomenda criar uma Service Account no projeto GCP vinculado ao SecOps e atribuir a ela o role Chronicle Editor.
Habilite a Chronicle API no Google Cloud
Em APIs & Services no Google Cloud Console, verifique se a Chronicle API está habilitada no projeto vinculado ao seu tenant SecOps.
Configure o Destination no BindPlane OP
Selecione protocolo HTTPS, preencha a região, cole o JSON completo no campo de credenciais e informe o Customer ID.
Campos obrigatórios do Destination (HTTPS)
malachiteingestion-pa.googleapis.com em vez de um regional específico. Verifique também se a Chronicle API está habilitada no projeto GCP.Validação da Ingestão
Após o Rollout da Configuration, valide que os eventos Windows estão chegando e sendo normalizados no SecOps.
Throughput no BindPlane OP
Em Agents, o agente/gateway mostra métricas de throughput (logs/s). Gráfico com atividade confirma envio.
Dashboards & Reports
Dashboards & Reports → Dashboards → Data Ingestion and Health. A source WINEVTLOG aparece com status ativo em até 5 minutos após o Rollout.
UDM Search
Execute: metadata.log_type = "WINEVTLOG" eventos normalizados com metadata.event_type preenchido confirmam que o parser está funcionando.
Confirme Event IDs críticos
Busque Event ID 4624 (logon) ou 4625 (falha de logon) para confirmar que o canal Security está sendo coletado e parseado.
Event IDs Windows essenciais para SOC