WinCollect -Implementierungsplanung

Arbeiten Sie mit Ihrer Windows-IT-Gruppe und der Gruppe QRadar® zusammen, um die folgenden Fragen zur Planung Ihrer WinCollect -Implementierung zu beantworten.

Von welchen Windows-Endpunkten muss ich Daten erfassen?

  • Was ist das Windows-Betriebssystem?
  • Sind diese "hochwertigen" Server. Server mit hohem Wert generieren in der Regel hohe Ereignisse pro Sekunde (EPS) und haben einen höheren Stellenwert (z. B. Domänencontroller oder Web-Server).
  • Dürfen Sie einen WinCollect -Agenten auf diesem Endpunkt installieren?
  • Erfordert dieser Endpunkt weitere Konfigurationsänderungen?
    • POS-Einheiten (Point-of-Sale) sind in der Regel wenig EPS und erfordern nur selten Updates.
    • Ein Domänencontroller erfordert möglicherweise häufige Konfigurationsänderungen (ändern Sie beispielsweise den Ereignisfilter, um zu konfigurieren, welche Ereignis-IDs erfasst werden).
Wichtig: WinCollect wird auf Windows-Versionen nicht unterstützt, die von Microsoft zum Ende des Lebenszyklus verschoben wurden. Wenn die Software nach dem Enddatum der erweiterten Unterstützung liegt, funktioniert das Produkt möglicherweise weiterhin wie erwartet. IBM®® führt jedoch keine Code-oder Schwachstellenkorrekturen zur Behebung von WinCollect -Problemen für ältere Betriebssysteme durch.

Wo befinden sich diese Endpunkte?

  • Befinden sich alle Endpunkte in derselben Region oder sind sie auf mehrere Regionen verteilt?
  • Befinden sie sich in derselben Domäne, untergeordneten Domänen oder außerhalb des Netzes?
  • Was ist ihre Sichtlinie?
    • Für welche Konsole, welchen Ereigniskollektor oder welchen Ereignisprozessor sind die Endpunkte sichtbar?

Welche Daten muss ich erfassen?

  • Welche Ereignisprotokolle müssen erfasst werden? Benötigen Sie neben den Windows-Standardprotokollen (Anwendung, System, Sicherheit) Daten aus Anwendungen und Serviceprotokollen wie Powershell oder Sysmon? Anwendungs-und Serviceprotokolle werden durch Bereitstellung eines XPath für den WinCollect -Agenten erfasst.
    • XPath-Abfragen sind strukturierte XML-Ausdrücke, mit denen Sie angepasste Ereignisse aus dem Windows-Ereignisprotokoll abrufen können.
  • Identifizieren Sie zusätzlich zu den Ereignisprotokollen die folgenden Protokolle, die Sie möglicherweise erfassen möchten:
    • IIS
    • IAS
    • ISA
    • DHCP
    • DNS-Debug
    • Exchange
    • NetApp
    • Juniper-SBR
    • File Forwarder (Weiterleitung generischer Protokolldateien)
    Tipp: Diese Protokolle können von einem lokalen oder fernen Agenten erfasst werden.

Wie viel wird mein EPS erhöhen?

  • Wie viele EPS generieren meine Endpunkte?
  • Wie viele Ereignisprozessoren oder Kollektoren sind für die Verarbeitung dieses EPS erforderlich?
    • Für wie viele Ereignisse pro Sekunde (EPS) sind Sie lizenziert?
    • Für wie viele EPS werden die Ereignisprozessoren und Kollektoren bewertet?
  • Wie hoch sind die von meinen Endpunkten generierten durchschnittlichen und höchsten EPS-Werte?
    • Es ist wichtig, den EPS-Spitzenwert für die Endpunkte zu schätzen. Ihr Ereigniskollektor verarbeitet möglicherweise 40.000 EPS, aber wenn sich Mitarbeiter um 8:00 Uhr morgens anmelden, wird dieser EPS-Wert auf 80.000 erhöht? Und wenn ja, wie lange? Können Ihre QRadar -Appliances diese Lastspitzen verarbeiten oder müssen Sie die Last auf einen oder mehrere Ereigniskollektoren verteilen?
Tipp: Eine Option zur Steuerung von EPS besteht darin, die Agenten auf eine bestimmte EPS zu regulieren, sodass der Agent nur eine bestimmte Anzahl von Ereignissen sendet, unabhängig davon, was er erfasst. In diesem Fall puffert der Agent die zusätzlichen Ereignisse auf Platte, bis die EPS-Rate abnimmt. Dadurch wird die Gesamtzahl der EPS begrenzt, die zu einem bestimmten Zeitpunkt an Ihren Ereigniskollektor gesendet werden könnten. Wenn Sie diese Option auswählen, müssen Sie die EPS-Raten verstehen, die von verschiedenen Endpunkten generiert werden. Beispiel: Sie möchten einen Domänencontroller nicht auf 2 EPS drosseln, da dieser Server möglicherweise 5-10 EPS sendet. Dann wäre der Agent immer im Rückstand.
Die folgende Tabelle enthält Schätzungen zum EPS-Volumen, das ein Endpunkt generieren kann. Diese Raten variieren je nach verschiedenen Faktoren:
  • Anzahl der Endpunkte, die mit dem Server kommunizieren (Domänencontroller)
  • Stufe der konfigurierten Prüfprotokollierung
  • Anwendungen, die installiert sind und Ereignisse generieren
Tabelle 1 Typische EPS-Raten für Endpunkte
Endpunkttyp EPS-Durchschnitt EPS-Spitzenwert
Mitarbeiterendpunkte-Desktops und Laptops 0.005 0.05
Windows-Domänenserver 5-10 350
Web-Server (IIS, Apache) 5-10 350
Windows DNS-Server 0.5 5
Datenbankserver 0.5 10
Tipp: Es empfiehlt sich, eine Stichprobe der EPS zu erhalten, die von Ihren Endpunkten generiert werden.

Wird eine verwaltete oder eigenständige Konfiguration installiert?

Sie können WinCollect -Agenten in einer Umgebung, die von QRadarverwaltet wird, als eigenständigen Agenten oder als Kombination aus beidem installieren.

Verwaltete -Instanz

Der WinCollect -Agent wird von QRadarverwaltet. Codeaktualisierungen und Konfigurationsänderungen werden von der QRadar -Konsole für den auf dem Windows-Endpunkt installierten Agenten bereitgestellt. Diese Option erfordert TCP-Kommunikation über Port 8413 zwischen dem Windows-Endpunkt und QRadar. Kunden verwalten, welche Daten der Agent erfasst, indem sie Protokollquellen in der QRadar -Konsole hinzufügen.

Der Agent benötigt außerdem Zugriff auf Port 514 UDP oder TCP, um die syslog-Daten an QRadarzu senden. In kleineren Implementierungen, die die verwalteten Einschränkungen nicht überschreiten, wählen Kunden in der Regel eine verwaltete Installation aus, um die Steuerung des WinCollect -Codes und der Konfigurationsänderungen beizubehalten.

Aktuelle Einschränkungen bei der Verwaltung von QRadar
Wenn Sie Ihre WinCollect -Agenten und die zugehörigen Protokollquellen mit QRadarverwalten möchten, wird ein Grenzwert von 500 Agenten pro Konsole/verwaltetem Host empfohlen. Wenn Sie beispielsweise WinCollect auf 1.200 Endpunkten im verwalteten Modus installieren möchten, teilen Sie die Endpunkte zwischen der Konsole und Ereigniskollektoren/Prozessoren auf.
  • 200 Endpunkte-Konsole
  • 500 Endpunkte-Ereignisprozessor/Collector 1
  • 500 Endpunkte-Ereignisprozessor/Collector 2

Eigenständig

In einer eigenständigen Installation wird der WinCollect -Agent nicht von QRadarverwaltet. Die einzige Kommunikation des Agenten mit QRadar erfolgt über TCP/UDP über Port 514. Um ein Upgrade für diese Agenten durchzuführen, müssen Sie den Agenten erneut installieren oder das Patchinstallationsprogramm verwenden, um den Code zu aktualisieren. Derzeit ist das Patchinstallationsprogramm eine separate Installation von IBM , die Codeaktualisierungen und die WinCollect -Konfigurationskonsole enthält.

Um Konfigurationsänderungen vornehmen zu können, müssen Sie entweder das GUI-Tool WinCollect Configuration Console installieren oder Änderungen direkt an der Konfiguration der Agenten vornehmen. Bei großen Implementierungen haben Kunden in der Regel eigenständige Installationen ausgewählt, sodass sie die Installation und Konfiguration mithilfe von BigFix oder Microsoft System Center Configuration Manager steuern können.

Änderungen an der Konfiguration können mithilfe von Vorlagen vorgenommen werden, mit denen Sie Änderungen an der Datei Agent-Config.xml vornehmen können, ohne das Dateiverzeichnis zu bearbeiten. Weitere Informationen finden Sie unter https://www.ibm.com/community/qradar/2019/03/14/wincollect-7-2-8-stand-alone-change-configuration-with-templates/.

Hinweis: Die GUI der WinCollect -Konfigurationskonsole erfordert .NET 3.5.

Wie soll ich die Ereignisse erfassen?

Lokale Erfassung

Maximal unterstützte EPS: 5.000 EPS

Der WinCollect -Agent wird auf dem Endpunkt in einer verwalteten oder eigenständigen Konfiguration installiert und erfasst Windows-Ereignisprotokolle vom lokalen Endpunkt. Sie können diese Erfassungsmethode auf Windows-Hosts verwenden, die ausgelastet sind oder über begrenzte Ressourcen verfügen, z. B. Domänencontroller. Domänencontroller haben normalerweise eine höhere Ereignisrate pro Sekunde (EPS) als Member-Server.

Sie können die lokale Sammlung auch verwenden, wenn Sie sich keine Gedanken über die Verwaltung von Berechtigungsnachweisen machen und Endpunkte hinzufügen oder subtrahieren möchten, sobald sie online sind. Sie müssen Agenten auf den Endpunkten installieren, wenn diese dem Netzwerk hinzugefügt werden, entweder manuell oder mit Hilfe einer BigFix oder Microsoft System Center Configuration Manager (SCCM) Lösung. Der Agent kann auch in ein Basisimage eingeschlossen werden, sodass ein Agent betriebsbereit ist, wenn ein neuer Endpunkt implementiert wird.
Hinweis: Wenn WinCollect -Agenten Ereignisse vom lokalen Host erfassen, verwendet der Ereigniserfassungsservice die Berechtigungsnachweise des lokalen Systemkontos, um Ereignisse zu erfassen und weiterzuleiten.

Ferne Sammlung

Maximale EPS-Unterstützung: 2.500 Ereignisse insgesamt, über 500 ferne Endpunkte

Der Agent WinCollect wird auf dem Endpunkt in einer verwalteten oder eigenständigen Konfiguration installiert und erfasst Windows-Ereignisprotokolle vom lokalen Endpunkt und mindestens einem fernen Endpunkt. Für die ferne Erfassung müssen Sie Anmeldeberechtigungsnachweise für einen Benutzer mit Zugriff auf das ferne Ereignisprotokoll bereitstellen. WinCollect -Agenten, die andere Windows-Endpunktsysteme über Fernzugriff abfragen, benötigen Zugriff auf die folgenden fernen Ports:
Tabelle 2. Für ferne Erfassung verwendete Ports
Port Protokoll Verwendung
135 USD TCP Microsoft-Endpunktzuordnungsfunktion
137 UDP NetBIOS -Namensservice
138 UDP NetBIOS -Datagrammservice
139 TCP NetBIOS -Sitzungsservice
445 TCP Microsoft Directory Services für Dateiübertragungen, die Windows-Freigaben verwenden
49152-65535 TCP Dynamischer Standardportbereich für TCP/IP
Tipp: Für einige Windows-Server ist möglicherweise ein anderer dynamischer Standardbereich für TCP festgelegt. Verwenden Sie den folgenden Befehl, um den Standardbereich auf Ihrem Server zu überprüfen:
netsh int ipv4 show dynamicport tcp
Hinweis: Das Protokoll MSEVEN verwendet Port 445. Sie können die NETBIOS-Ports (137-139) für die Auflösung von Hostnamen verwenden. Wenn der Agent WinCollect ein fernes Ereignisprotokoll mit MSEVEN6abfragt, erfolgt die einleitende Kommunikation mit dem fernen Computer an Port 135 (dynamische Port-Mapper), wodurch die Verbindung einem dynamischen Port zugeordnet wird. Der Standardportbereich für dynamische Ports liegt zwischen Port 49152 und Port 65535. Um den Datenverkehr an diesen dynamischen Ports zuzulassen, aktivieren und ermöglichen Sie die beiden folgenden Regeln für eingehende Daten auf dem Windows-Server, der abgefragt wird:
  • Ferne Ereignisprotokollverwaltung (RPC)
  • Management des fernen Ereignisprotokolls (RPC-EPMAP)
Das Protokoll MSEVEN6 stellt RPC-Methoden zum Lesen von Ereignissen in Live-und Backup-Ereignisprotokollen auf fernen Computern bereit. Dieses Protokoll wurde ursprünglich für Windows Vista verfügbar gemacht und ersetzt das Protokoll MSEVEN.
Hinweise zur Optimierung beim fernen Polling
Informationen zur Optimierung von Profilen für das ferne Polling finden Sie unter Ereignisraten und Optimierungsprofile für Protokollquellen.

Windows-Ereignisweiterleitung (WEF)

Der WinCollect -Agent kann die integrierte Microsoft-Funktion Windows Event Forwarding (WEF) verwenden. WEF liest alle operativen (d. h. Sicherheits-) oder administrativen (d. h. Sysmon-) Ereignisprotokolle auf einem Gerät in Ihrer Organisation und leitet die von Ihnen ausgewählten Ereignisse an einen WEC-Server (Windows Event Collector) weiter. Sie können den WinCollect -Agenten auf dem WEC-Server installieren und aus dem weitergeleiteten Ereignisprotokoll erfassen. Bevor diese weitergeleiteten Ereignisse an QRadargesendet werden, packt der Agent sie so, dass sie so angezeigt werden, wie sie direkt von jedem der Endpunkte stammen. QRadar Erstellt automatisch Protokollquellen für jeden Endpunkt, der Protokolle an den WEC-Server (Windows Event Collector) sendet.
Tipp: In WinCollect V7.2.9 und höher können Sie alle Ereignisse angeben, die an eine einzelne Protokollquelle gesendet werden.
Highlights des WEF:
  • Ereignisse können mit Push-Operation übertragen oder aus dem WEC-Server extrahiert werden.
  • Kann über GPO konfiguriert werden
  • Verwendet Windows-Fernverwaltung (Kerberos), um Mann in der Mitte zu verhindern
  • Es wird empfohlen, bestimmte Ereignisprotokolle und Ereignis-IDs als Ziel auszuwählen (verwenden Sie Xpath)
  • Ereignisse werden in einer zentralen Ereignisprotokolldatei (EVTX-Datei) erfasst, die WinCollect abfragen kann.
Weitere Informationen zur Windows-Ereignisweiterleitung finden Sie unter: