Configuration de l'accès au registre pour l'interrogation à distance

Pour qu'une source de journal WinCollect puisse interroger à distance des événements, vous devez configurer une règle locale pour vos systèmes Windows.

Lorsqu'une règle locale est configurée sur chaque système distant, un seul agent WinCollect utilise l'API du journal des événements Windows pour lire le registre distant et extraire les journaux des événements. L'API du journal des événements Windows ne requiert pas de données d'identification d'administrateur de domaine. Toutefois, la méthode d'API d'événement requiert un compte qui a accès au registre distant et au journal des événements de sécurité.

En utilisant cette méthode de collecte, la source de journal peut lire à distance le journal des événements complet. Toutefois, la méthode requiert WinCollect pour analyser les informations de journal des événements extraites à partir de l'hôte distant par rapport au contenu du message mis en cache. WinCollect utilise les informations de version du système d'exploitation distant pour s'assurer que le contenu du message est correctement analysé avant de transmettre l'événement à IBM® Security QRadar®.

Procédure

  1. Connectez-vous à l'ordinateur Windows sur lequel vous souhaitez interroger à distance les événements.
  2. Sélectionnez Démarrer > StartPrograms > Outils d'administration , puis cliquez sur Stratégie de sécurité locale.
  3. Dans le menu de navigation, sélectionnez Stratégies locales > Affectation des droits utilisateur.
  4. Cliquez avec le bouton droit de la souris sur Gérer le journal d'audit et de sécurité > Propriétés.
  5. Dans l'onglet Paramètres de sécurité locaux , cliquez sur Ajouter un utilisateur ou un groupe pour ajouter votre utilisateur WinCollect à la stratégie de sécurité locale.
  6. Déconnectez-vous de l'hôte Windows et essayez d'interroger l'hôte distant pour les événements Windows qui appartiennent à votre source de journal WinCollect .

    Si vous ne pouvez pas collecter d'événements pour la source de journal WinCollect , vérifiez que votre stratégie de groupe ne remplace pas votre stratégie locale. Vous pouvez également vérifier que les paramètres de pare-feu local sur l'hôte Windows permettent la gestion du journal des événements à distance.