Options de configuration pour les systèmes avec des règles restreintes pour les données d'identification de contrôleur de domaine
Les utilisateurs disposant des droits d'accès à distance appropriés peuvent collecter des événements à partir de systèmes distants sans utiliser les données d'identification de l'administrateur de domaine. Selon les informations que vous collectez, l'utilisateur peut avoir besoin de droits supplémentaires. Par exemple, un utilisateur peut avoir besoin de collecter des journaux d'événements de sécurité à distance. Par conséquent, l'utilisateur configuré dans la source de journal QRadar® doit disposer d'un accès distant au journal des événements de sécurité à partir du serveur sur lequel l'agent est installé.
- Journaux des événements de sécurité, de système et d'application
- Registre distant
- Tous les répertoires contenant des fichiers .dll ou .exe contenant des informations de chaîne de message
Avec certaines combinaisons de règles de groupe et de système d'exploitation Windows en place, il se peut que des configurations alternatives ne soient pas possibles.
La collecte à distance dans ou sur un domaine Windows peut nécessiter des données d'identification d'administrateur de domaine pour s'assurer que les événements peuvent être collectés. Si vos règles d'entreprise restreignent l'utilisation des données d'identification d'administrateur de domaine, vous devrez peut-être effectuer des étapes de configuration supplémentaires pour votre déploiement WinCollect .
| Droits d'accès | Sources de journal |
|---|---|
| Le compte de service doit pouvoir accéder au dossier dans lequel se trouve le fichier journal et ouvrir le fichier. |
|
| L'utilisateur de la source de journal doit être membre du groupe Event Log Readers. Si ce groupe n'est pas configuré, des privilèges d'administration de domaine sont généralement requis pour interroger un journal des événements Windows dans un domaine. | Journal des événements de sécurité Microsoft Windows |
Lorsque les agents WinCollect collectent des événements à partir de l'hôte local, le service de collecte d'événements utilise les données d'identification du compte Système local pour collecter et transmettre des événements. La collecte locale requiert l'installation d'un agent WinCollect sur un hôte sur lequel la collecte locale a lieu.