Centrify Infrastructure Services からイベント・ログを収集するための WinCollect エージェントの構成

WinCollectを使用して、Windows イベントを IBM QRadar に転送できます。

WinCollectを使用して Windows イベントを転送するには、Windows ホストに WinCollect エージェントをインストールします。 IBM® サポートウェブサイト (https://www.ibm.com/support) から WinCollect エージェントセットアップファイルをダウンロードします。 Centrify Infrastructure Services ログ・ソースを追加して、 WinCollect エージェントに割り当てます。

以下の表で、 WinCollect ログ・ソース・パラメーターに必要な値について説明します。
表 1. WinCollect ログ・ソース・パラメーター
パラメーター 値
ログ・ソース・タイプ Centrify Infrastructure Services
プロトコル構成 WinCollect
ログ・ソース ID Windows イベントを収集する対象の Windows マシンの IP アドレスまたはホスト名。 ログ・ソース ID は、ログ・ソース・タイプに対して固有でなければなりません。
ローカル・システム

ログ・ソースのリモート・イベント収集を無効にする場合は、「ローカル・システム」チェック・ボックスを選択します。 ログ・ソースは、ローカル・システムの資格情報を使用してログを収集し、 QRadarに転送します。

リモート収集が必要な場合は、 Domain、 Username、および Password パラメーターを構成する必要があります。
イベント・レート・チューニング・プロファイル (Event Rate Tuning Profile)
デフォルトのポーリング間隔が 3000 ミリ秒の場合、達成可能な 1 秒当たりのイベント数 (EPS) レートの概算は以下のとおりです。
  • デフォルト (エンドポイント): 33 から 50 EPS
  • 標準的なサーバー: 166 から 250 EPS
  • イベント速度が高いサーバー: 416 から 625 EPS
ポーリング間隔が 1000 ミリ秒の場合、概算の EPS レートは以下のとおりです。
  • デフォルト (エンドポイント): 100 から 150 EPS
  • 標準的なサーバー: 500 から 750 EPS
  • イベント速度が高いサーバー: 1250 から 1875 EPS

WinCollectのチューニングについて詳しくは、 IBM サポート Web サイト (http://www.ibm.com/support/docview.wss?uid=swg21672193) を参照してください。
ポーリング間隔 (ミリ秒) WinCollect が新規イベントをポーリングする間隔 (ミリ秒単位)。
アプリケーションまたはサービスのログ・タイプ Application or Service Log Typeに対して 「なし」 を選択します。
標準ログ・タイプ いずれのログ・タイプでも、このチェック・ボックスを有効にしないでください。

「セキュリティー」、 「システム」 、「アプリケーション」、「DNS サーバー」、「ファイル・レプリケーション・サービス (File Replication Service)」、「ディレクトリー・サービス」のログ・フィルター・タイプとして「フィルタリングなし (No Filtering)」を選択します。
イベント・タイプ 少なくとも 1 つのイベント・タイプを選択する必要があります。
XPath照会 Centrify 監査イベントだけを転送する場合、XPath フィルターを指定する必要があります。 照会は XML 形式で、Microsoft イベント・ビューアーのカスタム・ビュー・プロパティーを使用して作成できます。

XPath 照会の作成について詳しくは、 IBM サポート Web サイト (https://www.ibm.com/support/knowledgecenter/SS42VS_7.3.0/com.ibm.wincollect.doc/t_ug_wincollect_creating_customview.html) の「 カスタム・ビュー資料の作成 」を参照してください。

重要: カスタム・ビューを作成するときは、 「ソース別」 オプションが選択されていることを確認してください。 「イベント・ソース (Event sources)」リストから、Centrify 監査イベントのアプリケーション名を選択します。

XPath 照会の例:

<QueryList>
<Query Id="0" Path="Application">
<SelectPath="Application">*[System
[Provider[@Name='Centrify AuditTrail 
V2']]]</Select>
</Query>
</QueryList>
Active Directory ルックアップの有効化 (Enable Active Directory Lookups) このチェック・ボックスは選択しないでください。
WinCollectエージェント リストから WinCollect エージェントを選択します。
ターゲット内部宛先 内部宛先として、イベント・プロセッサー・コンポーネントがある任意の管理対象ホストを使用します。

WinCollect ログ・ソース・パラメーターについて詳しくは、 IBM サポート Web サイト (https://www.ibm.com/support/knowledgecenter/en/SS42VS_SHR/com.ibm.wincollect.doc/r_ug_wincollect_comon_parameters.html) の 共通 WinCollect ログ・ソース・パラメーターの資料 を参照してください。