Windows ホストへの Winlogbeat および Logstash のインストール

QRadar®で Winlogbeat JSON 形式のイベントを取得するには、 Microsoft Windows ホストに Winlogbeat および Logstash をインストールする必要があります。

1. デフォルト値を使用して Winlogbeat 7.7 をインストールします。 詳しくは、 Getting Started With Winlogbeat (https://www.elastic.co/guide/en/beats/winlogbeat/7.7/winlogbeat-getting-started.html) を参照してください。
2. Winlogbeat サービスを開始します。
   注: Windows サービスの場合、サービス名は Winlogbeat です。 インストール後に、サービスは「停止」に設定されるため、最初に開始する必要があります。 この時点以降に構成を変更した場合、サービスを再始動する必要があります。
3. オプション。 Winlogbeat を構成する際の柔軟性については、 Set up Winlogbeat (https://www.elastic.co/guide/en/beats/winlogbeat/7.7/configuration-winlogbeat-options.html) を参照してください。
4. パッケージをダウンロードし、任意のファイルの場所に保存することによって、Logstash をインストールします。
5. Winlogbeat が QRadarと正しく通信するようにするには、 Configure Winlogbeat to use Logstash (https://www.elastic.co/guide/en/beats/winlogbeat/7.7/config-winlogbeat-logstash.html) を参照してください。
   以下の基本的なサンプル構成ファイルは、<logstash_install_directory>/config ファイルで使用可能です。

   	input {	 beats {	    port => 5044	  }	}	output {	  tcp {	    host => ["172.16.199.22"]	    port => 514	    mode => "client"	    codec => "json_lines"	  }	  stdout { codec => rubydebug }	}

   注:

   • rubydebug を使用している場合は、logstash.yml ファイルでデバッグを有効にする必要があります。 行 # log.level: info のコメントを外し、info を debug に置き換えます。 構成変更後は、サービスの再始動が必要です。
   • 各イベントが個別に QRadarに送信されるようにするには、出力の codec を json_lines に設定する必要があります。
   • Kafka 出力を既存の Kafka サーバーに送信する場合は、 Kafka 出力の構成 (https://www.elastic.co/guide/en/beats/winlogbeat/7.7/kafka-output.html) を参照してください。
6. Logstash の config ファイルが機能していることを確認して、Logstash が正しくセットアップされていることを確認します。 Logstash bin ディレクトリーから次のコマンドを実行します。

   logstash --config.test_and_exit -f <path_to_config_file>

7. Winlogbeat が正しく構成されていることを確認します。
   1. winlogbeat ディレクトリーから以下のコマンドを実行して、構成ファイルが機能していることを確認します。

      ./winlogbeat test config

   2. winlogbeat ディレクトリーから以下のコマンドを実行して、Winlogbeat が Logstash サーバーにアクセスできることを確認します。

      ./winlogbeat test output

      ./winlogbeat test output コマンドの出力が成功すると、Logstash への既存の接続が切断される可能性があります。 接続が切断された場合は、Logstash サービスを再始動してください。