WinCollect -Agenten über die Eingabeaufforderung installieren

Bei unbeaufsichtigten Installationen können Sie den WinCollect -Agenten über die Eingabeaufforderung installieren. Verwenden Sie die Option für unbeaufsichtigte Installation, um WinCollect -Agenten gleichzeitig auf mehreren fernen Systemen zu implementieren.

Informationen zu dieser Task

Das Installationsprogramm WinCollect verwendet die folgenden Befehlsoptionen:

Tabelle 1 Optionen für unbeaufsichtigte Installation für WinCollect -Agenten
Option	Gültige Einträge und Beschreibungen
/qn	Führt die Installation des WinCollect -Agenten im unbeaufsichtigten Modus durch.
INSTALLDIR	Die Installationsposition für WinCollect. Wenn das Installationsverzeichnis Leerzeichen enthält, fügen Sie vor den Anführungszeichen einen Backslash ein. Beispiel: `INSTALLDIR=\"C:\Program Files\IBM\WinCollect\"`
AUTHTOKEN=Token	Nur für verwaltete WinCollect -Agenten. Verwendet das zuvor konfigurierte Berechtigungstoken aus QRadar® , um den verwalteten Agenten zu berechtigen. Beispiel: `AUTH_TOKEN=af111ff6-4f30-11eb-11fb-1fc1 17711111`
FULLCONSOLEADDRESS=Hostadresse	Die IP-Adresse, der Hostname oder der FQDN der QRadar -Konsole, des Ereignisprozessors oder des Ereigniskollektors, der den Agenten verwaltet. Beispiele: `FULLCONSOLEADDRESS=192.0.2.0` `FULLCONSOLEADDRESS=EPqradar` `FULLCONSOLEADDRESS=EPqradar.myhost.com`
HOSTNAME=hostname	Im Feld Hostname wird dem WinCollect -Agenten ein Name zugewiesen. Bei den in diesem Feld verwendeten Werten kann es sich um einen identifizierbaren Namen, einen Hostnamen oder eine IP-Adresse handeln. In den meisten Fällen können Administratoren HOSTNAME= %COMPUTERNAME% verwenden, um dieses Feld automatisch auszufüllen. Beispiel: HOSTNAME= "windows-%computername%" " HOSTNAME=WindowsSrv1 HOSTNAME=XX_ENCODE_CASE_ONE %computername% Die IP-Adresse oder der Hostname des WinCollect -Agentenhosts darf nicht das Zeichen @ enthalten.
STATUSSERVER	Ein alternatives Ziel, an das WinCollect -Statusnachrichten gesendet werden, z. B. das Überwachungssignal, falls erforderlich. Setzen Sie den Wert auf eine IP-Adresse, um Statusnachrichten an eine beliebige QRadar -Konsole oder einen beliebigen Ereignisprozessor oder Ereigniskollektor in Ihrer Implementierung zu senden. Setzen Sie den Wert auf `Disabled` , um nur ein Überwachungssignal ohne Statusnachrichten zu senden. Setzen Sie den Wert auf `None` , wenn Sie keine Überwachungssignale oder Statusnachrichten senden möchten.
LOG_SOURCE_AUTO_CREATION_ENABLED	Erforderlich, `True` oder `False` Wenn Sie diese Option aktivieren, müssen Sie die Protokollquellenparameter konfigurieren. QRadar -Systeme müssen auf V7.2.1 Patch 1 oder höher aktualisiert werden.
Parameter für LOG_SOURCE_AUTO_CREATION_	Stellen Sie sicher, dass jeder Parameter das Format `Parameter_Name=value`verwendet. Die Parameter werden durch Et-Zeichen (&) getrennt. Ihr QRadar -System muss auf V7.2.1 Patch 1 oder höher aktualisiert werden.
LOG_MONITOR_SOCKET_TYPE=TCP	Dieser Parameter legt das Protokoll fest, das von Überwachungssignalen und Statusnachrichten verwendet wird, die über TCP gesendet werden sollen. Das Standardprotokoll ist UDP. Hinweis: Die Option ist nur in eigenständigen WinCollect -Implementierungen verfügbar. Die Verfügbarkeit für verwaltete Agenten ist in einem späteren Release von QRadargeplant.
Component1.Action	`create` Erstellt während der Installation eine neue Windows-Ereignisprotokollquelle.
Component1.LogSourceIdentifier	Die IP-Adresse oder der Hostname des Systems, auf dem der Agent installiert ist
Component1.Destination.Name	Der Zielname ist ein alphanumerischer Wert, mit dem angegeben wird, wohin eine WinCollect -Protokollquelle Ereignisdaten sendet. Dieser Wert muss eine QRadar -Appliance sein, die Ereignisdaten wie z. B. einen Ereignisprozessor, einen Ereigniskollektor oder eine QRadar -Konsole empfangen kann. Wichtig: In verwalteten Implementierungen muss das Ziel ein "internes Ziel" sein und der Name muss vor der Installation in der Benutzerschnittstelle von QRadar vorhanden sein. Andernfalls werden die Protokollquellenkonfigurationsparameter gelöscht und es werden keine Protokollquellen automatisch erstellt. Internes Ziel Verwaltete Hosts mit einer Ereignisprozessorkomponente Externes Ziel Ziel, das Sie als WinCollect -Ziel konfiguriert haben und das der Konsole nicht als verwalteter Host bekannt ist
Component1.Dest.Hostname (Nur eigenständige Implementierungen)	Die IP-Adresse oder der Hostname, an die bzw. den Sie WinCollect -Ereignisse senden.
Component1.Dest.Port (Nur eigenständige Implementierungen)	Der Port, den WinCollect für die Kommunikation mit dem Ziel verwendet.
Component1.Dest.Protocol (Nur eigenständige Implementierungen)	`TCP` oder `UDP`
Component1.Dest.MaxPayloadSize (Nur eigenständige Implementierungen)	Maximale Nutzdatengröße, die an das Ziel gesendet wird (Standardwerte sind 1020 UDP und 32000 TCP).
Component1.Log.Security	Erforderlich, `True` oder `False` Das Windows-Sicherheitsprotokoll enthält Ereignisse, die in den Prüfrichtlinien für das Objekt definiert sind.
Component1.Log.System	Erforderlich, `True` oder `False` Die Windows-Systemprotokolle können Informationen zu Einheitenänderungen, Einheitentreibern, Systemänderungen, Ereignissen und Operationen des Betriebssystems enthalten.
Component1.Log.Application	Erforderlich, `True` oder `False` Die Windows-Anwendungsprotokolle enthalten Ereignisse, die von Softwareanwendungen anstelle des Betriebssystems ausgelöst werden. Die Protokolle können Fehler, Informationen und Warnungsereignisse enthalten.
Component1.Log.DNS+Server	Erforderlich, `True` oder `False` Das Windows-DNS-Serverprotokoll enthält DNS-Ereignisse.
Component1.Log.File+Replication+Service	Erforderlich, `True` oder `False` Das Protokoll des Windows-Dateireplikationsservice enthält Ereignisse zu geänderten Dateien, die im System repliziert werden.
Component1.Log.Directory+Service	Erforderlich, `True` oder `False` Das Windows Directory Service-Protokoll enthält Ereignisse, die von Active Directory geschrieben werden.
Component1.RemoteMachinePollInterval	Das Abfrageintervall, das die Anzahl der Millisekunden zwischen Abfragen an den Windows-Host bestimmt. Das minimale Abfrageintervall beträgt 300 Millisekunden. Der Standardwert ist 3000 Millisekunden oder 3 Sekunden.
Component1.EventRateTuningProfile (Nur verwaltete Implementierungen)	Wählen Sie eines der folgenden Optimierungsprofile aus: Standard + (Endpunkt) Standard + Server Hoch + Ereignis + Rate + Server Weitere Informationen finden Sie unter IBM® Support (http://www-01.ibm.com/support/docview.wss?uid=swg21672193).
Component1.MaxLogsToProcessPerPass (Nur eigenständige Implementierungen)	Nicht erforderlich. Die maximale Anzahl von Protokollen (im Binärformat), die der Algorithmus in einem Durchgang anzufordern versucht, wenn verbleibende abrufbare Ereignisse vorhanden sind. Beispiel: `Component1.MaxLogsToProcessPerPass=400` Wichtig: Verwenden Sie diesen Parameter, um die Leistung für die Ereigniserfassung zu verbessern. Dieser Parameter kann jedoch auch die Prozessorauslastung erhöhen. Weitere Informationen finden Sie unter IBM Support (http://www-01.ibm.com/support/docview.wss?uid=swg21672193).
Component1.MinLogsToProcessPerPass (Nur eigenständige Implementierungen)	Nicht erforderlich. Die minimale Anzahl von Protokollen (im Binärformat), die der Algorithmus in einem Arbeitsgang zu lesen versucht, wenn noch abrufbare Ereignisse vorhanden sind. Beispiel: `Component1.MinLogsToProcessPerPass=200` Wichtig: Sie können diesen Parameter verwenden, um die Leistung für die Ereigniserfassung zu verbessern, aber dieser Parameter kann auch die Prozessorauslastung erhöhen. Weitere Informationen finden Sie unter IBM Support (http://www-01.ibm.com/support/docview.wss?uid=swg21672193).
Component1.CoalesceEvents	Nicht erforderlich. Erhöht die QRadar -Ereignisanzahl, wenn dasselbe Ereignis mehrmals innerhalb eines kurzen Zeitintervalls auftritt. Verbundene Ereignisse bieten eine Möglichkeit, die Häufigkeit anzuzeigen und zu bestimmen, mit der ein einzelner Ereignistyp auf der Registerkarte "Protokollaktivität" auftritt. Wenn diese Option inaktiviert ist, werden Ereignisse einzeln angezeigt und Ereignisse werden nicht gebündelt. Neue und automatisch erkannte Protokollquellen übernehmen den Wert aus der Konfiguration der Systemeinstellungen in der Konsole.
Component1.StoreEventPayload	Nicht erforderlich. Gibt an, dass QRadar -Ereignisnutzdaten gespeichert werden sollen
Component1.Secondary	Nicht erforderlich. Gibt die IP-Adresse oder den Hostnamen des sekundären Ziels an, an das der Agent Ereignisse sendet, wenn das primäre Ziel nicht erreichbar ist und die Failover-Zeit abgelaufen ist.
Component1.Failover	Nicht erforderlich. Gibt die Failover-Zeit in Sekunden an Wenn das primäre Ziel nicht erreicht werden kann, sendet der Agent Ereignisse an das sekundäre Ziel.

Achtung: Sie müssen die Eingabeaufforderung als Benutzer mit Verwaltungsaufgaben ausführen.

Vorgehensweise

Laden Sie die Agentenkonfigurationsdatei WinCollect von der IBM Website (www.ibm.com/support) herunter.
Öffnen Sie auf dem Windows-Host über Als Administrator ausführeneine Eingabeaufforderung.

Wichtig: Bei verwalteten Implementierungen muss der Zielname, der während der automatischen Protokollquellenerstellung verwendet wird, vorhanden sein, bevor die Befehlszeileninstallation ausgeführt wird. Überprüfen Sie den Zielnamen in der Benutzerschnittstelle von QRadar , bevor Sie die Installation starten.

Geben Sie den folgenden Befehl ein:

wincollect-<Version_number>.x64.exe /s /v" /qn 
INSTALLDIR=<”C:\IBM\WinCollect"> 
AUTHTOKEN=<token> FULLCONSOLEADDRESS=<host_address> 
HOSTNAME=<hostname> LOG_SOURCE_AUTO_CREATION=<true|false> 
LOG_SOURCE_AUTO_CREATION_PARAMETERS=<”parameters”””>

Das folgende Beispiel zeigt eine unbeaufsichtigte Installation für einen eigenständigen WinCollect -Agenten.

Wichtig: Dieses Beispiel enthält Zeilenumbrüche für die Formatierung. Der eigentliche Befehl ist eine einzelne Zeile.

wincollect-<version_number>.x86.exe /s /v"/qn INSTALLDIR=\"C:\Program Files
\IBM\WinCollect\" HEARTBEAT_INTERVAL=6000 LOG_SOURCE_AUTO_CREATION_ENABLED=
True LOG_SOURCE_AUTO_CREATION_PARAMETERS=""Component1.AgentDevice=
DeviceWindowsLog&Component1.Action=create&Component1.LogSourceName=
%COMPUTERNAME%-1&Component1.LogSourceIdentifier=
<ip_address>&Component1.Dest.Name=QRadar&Component1
.Dest.Hostname=<ip_address>&Component1.Dest.Port=
514&Component1.Dest.Protocol=TCP&Component1.Log.Security=true&Component1
.Log.System=true&Component1.Log.Application=true
&Component1.Log.DNS+Server=false&Component1.Log.File+Replication+
Service=false&Component1.Log.Directory+Service=false&Component1.
RemoteMachinePollInterval=3000&Component1.EventRateTuningProfile=High+
Event+Rate+Server&Component1.MinLogs
ToProcessPerPass=1250&Component1.MaxLogsToProcessPerPass=1875"""

Das folgende Beispiel zeigt eine unbeaufsichtigte Installation für einen verwalteten WinCollect -Agenten.

Wichtig: Dieses Beispiel enthält Zeilenumbrüche für die Formatierung. Der eigentliche Befehl ist eine einzelne Zeile.

 wincollect-<version_number>.x86.exe /s /v"/qn INSTALLDIR=\"C:\Program Files
\IBM\WinCollect\" AUTHTOKEN=1111111-aaaa-1111-aaaa-11111111
FULLCONSOLEADDRESS=<ip_address:port> HOSTNAME=%COMPUTERNAME%
 LOG_SOURCE_AUTO_CREATION_ENABLED=True LOG_SOURCE_AUTO_CREATION_PARAMETERS
=""Component1.AgentDevice=DeviceWindowsLog&Component1.Action=create
&Component1.LogSourceName=%COMPUTERNAME%&Component1.LogSourceIdentifier=
%COMPUTERNAME%&Component1.Log.Security=true&Component1.Log.System=false
&Component1.Log.Application=false&Component1.Log.DNS+Server=false
&Component1.Log.File+Replication+Service=false&Component1.Log.
Directory+Service=false&Component1.Destination.Name=Local&
Component1.RemoteMachinePollInterval=3000&Component1.EventRate
TuningProfile=High+Event+Rate+Server"""

Drücken Sie die Eingabetaste.