Windows-Ereignissubskriptionen für WinCollect -Agenten

Um Ereignisse für einen einzelnen WinCollect -Agenten bereitzustellen, können Sie Windows-Ereignissubskriptionen verwenden, um Ereignisse weiterzuleiten. Wenn Ereignissubskriptionen konfiguriert sind, können zahlreiche Windows-Hosts ihre Ereignisse ohne Administratorberechtigungsnachweise an IBM® Security QRadar® weiterleiten.

Weitergeleitete Ereignisse

Die Konfiguration der Ereignissubskription auf dem fernen Host, der die Ereignisse sendet, definiert die Ereignisse, die erfasst werden. Unabhängig davon, welche Kontrollkästchen für das Ereignisprotokoll für die Protokollquelle ausgewählt sind, leitet WinCollect alle Ereignisse weiter, die von der Subskriptionskonfiguration gesendet werden.

Windows-Ereignissubskriptionen oder weitergeleitete Ereignisse werden nicht als lokal oder fern betrachtet, sondern sind Ereignislistener. Über das Kontrollkästchen WinCollect Weitergeleitete Ereignisse können Sie die WinCollect -Protokollquelle aktivieren, um Windows-Ereignissubskriptionen zu identifizieren. Obwohl WinCollect Agent nur eine einzige Protokollquelle in der Benutzerschnittstelle anzeigt, ist die Protokollquelle empfangsbereit und verarbeitet Ereignisse für potenziell Hunderte von Ereignissubskriptionen. Eine Protokollquelle in der Agentenliste gilt für alle Ereignissubskriptionen. Der Agent erkennt das Ereignis aus der Subskription, verarbeitet den Inhalt und sendet dann das Syslog-Ereignis an QRadar.
Hinweis Weitergeleitete Ereignisse können nur mit dem Markierungsfeld 'Weitergeleitete Ereignisse' erfasst werden. Ein XPATH kann nicht verwendet werden.

Weitergeleitete Ereignisse werden auf der Registerkarte Protokollaktivität als Windows Auth @ <hostname> oder <FQDN> angezeigt. Umgekehrt werden lokal oder fern erfasste Ereignisse als Windows Auth @ <IP address> oder <hostname>angezeigt. Wenn WinCollect ein Ereignis verarbeitet, enthält es einen zusätzlichen syslog-Header, der das Ereignis als WinCollect -Ereignis identifiziert. Da es sich bei dem weitergeleiteten Ereignis um einen Durchgriff oder Listener handelt, enthalten weitergeleitete Ereignisse nicht die Kennung WinCollect und werden als Standardereignisse angezeigt.

Wichtig: WinCollect erfasst nur die weitergeleiteten Ereignisse, die in der Windows-Ereignisanzeige angezeigt werden.

Unterstützte Softwareumgebungen

Ereignissubskriptionen gelten nur für WinCollect -Agenten und -Hosts, die unter den folgenden Windows-Betriebssystemen konfiguriert sind:
  • Windows 10 (neueste)
  • Windows Server 2016 (einschließlich Core)
  • Windows Server 2019 (einschließlich Core)
  • Windows Server 2022 (einschließlich Core)
Wichtig: WinCollect wird nicht auf Windows-Versionen unterstützt, die von Microsoft als "Ende des Lebenszyklus" bezeichnet werden. Wenn die Software nach dem Enddatum der erweiterten Unterstützung liegt, funktioniert das Produkt möglicherweise weiterhin wie erwartet. IBM erstellt jedoch keine Code-oder Schwachstellenkorrekturen zur Behebung von WinCollect -Problemen für ältere Betriebssysteme. Beispielsweise sind Microsoft Windows Server 2003 R2 und Microsoft Windows XP Betriebssysteme, die nach dem "Enddatum der erweiterten Unterstützung" liegen. Alle Fragen zu dieser Ankündigung finden Sie im IBM QRadar Collecting Windows Events (WMI/ALE/WinCollect) forum. Weitere Informationen finden Sie unter https://support.microsoft.com/en-us/lifecycle/search (https://support.microsoft.com/en-us/lifecycle/search).

Weitere Informationen zu Ereignissubskriptionen finden Sie in Ihrer Microsoft-Dokumentation oder auf der technischen Website von Microsoft (http://technet.microsoft.com/en-us/library/cc749183.aspx).

Fehlerbehebung bei der Ereigniserfassung

Microsoft-Ereignissubskriptionen verfügen nicht über einen Alertmechanismus, der angibt, wann eine Ereignisquelle keine Ereignisse mehr sendet. Wenn eine Subskription zwischen den zwei Windows-Systemen fehlschlägt, wird die Subskription als aktiv angezeigt, aber der Service, der für die Subskription verantwortlich ist, kann einen Fehlerstatus aufweisen. Mit WinCollect können die per Fernabfrage oder lokal erfassten Protokollquellen nach einer Zeitüberschreitung deaktiviert werden, wenn innerhalb von 720 Minuten (12 Stunden) keine Ereignisse eingehen.