Konfigurationsoptionen für das Microsoft Exchange-Protokoll
Um Ereignisse von SMTP-, OWA-und Nachrichtenüberwachungsereignissen von Microsoft Windows Exchange 2007-, 2010-, 2013-und 2017-Servern zu empfangen, konfigurieren Sie eine Protokollquelle für die Verwendung des Microsoft Exchange-Protokolls.
Das Microsoft Exchange-Protokoll ist ein abgehendes/aktives Protokoll.
Zum Lesen der Protokolldateien benötigen Ordnerpfade, die eine administrative Freigabe (C$) enthalten, NetBIOS -Berechtigungen für die administrative Freigabe (C$). Lokale Administratoren oder Domänenadministratoren verfügen über ausreichende Berechtigungen, um auf Protokolldateien in administrativen Freigaben zuzugreifen.
Felder für das Microsoft Exchange-Protokoll, die Dateipfade unterstützen, ermöglichen Administratoren die Definition eines Laufwerkbuchstabens mit den Pfadinformationen. Das Feld kann beispielsweise das Verzeichnis c$/LogFiles/ für eine administrative Freigabe oder das Verzeichnis LogFiles/für einen öffentlichen Freigabeordnerpfad enthalten, aber nicht das Verzeichnis c:/LogFiles .
| Parameter | Beschreibung |
|---|---|
| Protokollkonfiguration | Microsoft Exchange |
| Log Source Identifier (Protokollquellenkennung) | Geben Sie die IP-Adresse, den Hostnamen oder den Namen für Ihre Protokollquelle ein. |
| Serveradresse | Die IP-Adresse oder der Hostname Ihres Microsoft Exchange-Servers. |
| Domäne | Geben Sie die Domäne für Ihren Microsoft Exchange-Server ein. Dieser Parameter ist optional, wenn sich Ihr Server nicht in einer Domäne befindet. |
| Username | Geben Sie den Benutzernamen ein, der für den Zugriff auf Ihren Microsoft Exchange-Server erforderlich ist. |
| Password | Geben Sie das Kennwort ein, das für den Zugriff auf Ihren Microsoft Exchange-Server erforderlich ist. |
| Bestätigungskennwort | Geben Sie das Kennwort ein, das für den Zugriff auf Ihren Microsoft Exchange-Server erforderlich ist. |
| Pfad des SMTP-Protokollordners | Der Verzeichnispfad für den Zugriff auf die SMTP-Protokolldateien. Der Standarddateipfad ist Program Files/Microsoft/Exchange Server/ TransportRoles/Logs/ProtocolLog . Wenn der Ordnerpfad gelöscht ist, wird die SMTP-Ereigniserfassung inaktiviert. |
| Pfad des OWA-Protokollordners | Der Verzeichnispfad für den Zugriff auf OWA-Protokolldateien. Der Standarddateipfad ist Windows/system32/LogFiles/W3SVC1 . Wenn der Ordnerpfad gelöscht ist, ist die OWA-Ereigniserfassung inaktiviert. |
| MSGTRK-Protokollordnerpfad | Der Verzeichnispfad für den Zugriff auf Nachrichtenüberwachungsprotokolle. Der Standarddateipfad ist Program Files/Microsoft/Exchange Server/ TransportRoles/Logs/MessageTracking . Die Nachrichtenüberwachung ist auf Microsoft Exchange 2017-oder 2010-Servern verfügbar, denen die Serverrolle Hub Transport, Mailbox oder Edge Transport zugeordnet ist. |
| Muster für angepasste Datei verwenden | Wählen Sie dieses Kontrollkästchen aus, um angepasste Dateimuster zu konfigurieren. Lassen Sie das Kontrollkästchen abgewählt, um die Standarddateimuster zu verwenden. |
| MSGTRK-Dateimuster | Der reguläre Ausdruck (regex), der zum Identifizieren und Herunterladen der MSTRK-Protokolle verwendet wird. Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. Das Standarddateimuster ist Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. |
| MSGTRKMD-Dateimuster | Der reguläre Ausdruck (regex), mit dem die MSGTRKMD-Protokolle identifiziert und heruntergeladen werden. Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. Das Standarddateimuster ist Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. |
| MSGTRKMS-Dateimuster | Der reguläre Ausdruck (regex), mit dem die MSGTRKMS-Protokolle identifiziert und heruntergeladen werden. Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. Das Standarddateimuster ist Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. |
| MSGTRKMA-Dateimuster | Der reguläre Ausdruck (regex), der zum Identifizieren und Herunterladen der MSGTRKMA-Protokolle verwendet wird. Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. Das Standarddateimuster ist |
| SMTP-Dateimuster | Der reguläre Ausdruck (regex), der zum Identifizieren und Herunterladen der SMTP-Protokolle verwendet wird. Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. Das Standarddateimuster ist Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. |
| OWA-Dateimuster | Der reguläre Ausdruck (regex), der zum Identifizieren und Herunterladen der OWA-Protokolle verwendet wird. Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. Das Standarddateimuster ist Alle Dateien, die dem Dateimuster entsprechen, werden verarbeitet. |
| Lesen der Datei erzwingen | Wenn das Kontrollkästchen abgewählt ist, wird die Protokolldatei nur gelesen, wenn QRadar eine Änderung der geänderten Zeit oder Dateigröße feststellt. |
| Rekursiv | Verwenden Sie diese Option, wenn das Dateimuster Unterordner durchsuchen soll. Standardmäßig ist das Kontrollkästchen aktiviert. |
| SMB-Version | Wählen Sie die Version von SMB aus, die Sie verwenden wollen.
Hinweis: Bevor Sie eine Protokollquelle mit einer bestimmten SMB-Version erstellen (z. B. SMBv1, SMBv2und SMBv3), stellen Sie sicher, dass die angegebene SMB-Version von dem Windows-Betriebssystem unterstützt wird, das auf Ihrem Server ausgeführt wird. Außerdem müssen Sie überprüfen, ob SMB-Versionen auf dem angegebenen Windows-Server aktiviert sind.
Weitere Informationen dazu, welche Windows-Version welche SMB-Versionen unterstützt, finden Sie auf der Website Microsoft TechNet (https://blogs.technet.microsoft.com/josebda/2012/06/06/windows-server-2012-which-version-of-the-smb-protocol-smb-1-0-smb-2-0-smb-2-1-or-smb-3-0-are-you-using-on-your-file-server/ ). Weitere Informationen zum Erkennen, Aktivieren und Inaktivieren von SMBv1, SMBv2und SMBv3 unter Windows und Windows Server Rufen Sie die Microsoft Support-Website auf (https://support.microsoft.com/en-us/help/2696547/detect-enable-disable-smbv1-smbv2-smbv3-in-windows-and-windows-server). |
| Abfrageintervall (in Sekunden) | Geben Sie das Abfrageintervall ein, d. h. die Anzahl Sekunden zwischen Abfragen der Protokolldateien, die auf neue Daten geprüft werden sollen. Der Standardwert beträgt 10 Sekunden. |
| Regulierungsereignisse/Sek. | Die maximale Anzahl von Ereignissen, die das Microsoft Exchange-Protokoll pro Sekunde weiterleiten kann. |
| Dateiverschlüsselung | Die Zeichencodierung, die von den Ereignissen in Ihrer Protokolldatei verwendet wird |
| Liste der verfolgten Dateien zurücksetzen OnEdit | Durch Aktivieren dieser Option wird sichergestellt, dass beim Bearbeiten eines Felds in den Protokollquellenparametern und beim Speichern der Protokollquelle die aktuelle Liste der verfolgten Dateien gelöscht wird und das Lesen von vorne beginnt. |