Massenprotokollquellen sind für Systeme konzipiert, die mehrere Protokollquellen mit derselben Protokollkonfiguration haben.
Vorgehensweise
- Erstellen Sie auf jeder IBM® QRadar® -Appliance, die Sie für die Windows-Ereigniserfassung verwenden möchten, ein Ziel für Windows-Ereignisse. Siehe Ziel hinzufügen.
Wichtig: Es ist hilfreich, einen Zielnamen anzugeben, der die IP-Adresse enthält, z. B. "Agent1_1.2.3.4". Wenn Sie die Protokollquelle bearbeiten und in Zukunft ein Ziel ändern müssen, können Sie die IP-Adresse für das Ziel bestimmen. Legen Sie außerdem den Regulierungswert auf 5000 EPS fest. Dies ist die maximale EPS-Rate für einen WinCollect -Agenten.
- Massenprotokollquellen erstellen. Weitere Informationen finden Sie unter Hinzufügen von Massenprotokollquellen für ferne Erfassung.
- Warten Sie, bis die Konfigurationen an die fernen Agenten übertragen wurden.
- Überprüfen Sie auf der Registerkarte Protokollaktivität , ob Ereignisse empfangen wurden.