WinCollect エージェントの Windows イベント・サブスクリプション

単一の WinCollect エージェントにイベントを提供するために、Windows イベント・サブスクリプションを使用してイベントを転送することができます。 イベント・サブスクリプションが構成されている場合、多数の Windows ホストが、管理者の資格情報を必要とせずに、そのイベントを IBM® Security QRadar® に転送できます。

転送されたイベント

イベントを送信するリモート・ホスト上のイベント・サブスクリプションの構成によって、収集されるイベントが定義されます。 ログ・ソースに対してどのイベント・ログ・チェック・ボックスが選択されているかに関係なく、 WinCollect は、サブスクリプション構成によって送信されたすべてのイベントを転送します。

Windows イベント・サブスクリプションまたは転送されたイベントは、ローカルまたはリモートとは見なされませんが、イベント・リスナーです。 WinCollect 「転送されたイベント」 チェック・ボックスを使用して、 WinCollect ログ・ソースが Windows イベント・サブスクリプションを識別できるようにします。 WinCollect エージェントは、ユーザー・インターフェースに単一のログ・ソースのみを表示しますが、このログ・ソースは、数百件に及ぶ可能性があるイベント・サブスクリプションのイベントを listen して処理します。 エージェント内の 1 つのログ・ソースが、すべてのイベント・サブスクリプションについてイベントをリストします。 エージェントは、サブスクリプションからのイベントを認識し、その内容を処理してから、syslog イベントを QRadarに送信します。
注: 転送されたイベントは、「転送されたイベント」チェック・ボックスでのみ収集できます。 XPATH は使用できません。

転送されたイベントは、Windows Auth @ <hostname> または <FQDN> として「ログ・アクティビティー」 タブに表示されます。 それに対し、ローカルまたはリモートで収集されたイベントは、Windows Auth @ <IP address> または <hostname> として表示されます。 WinCollect は、イベントを処理するときに、そのイベントを WinCollect イベントとして識別する追加の syslog ヘッダーを組み込みます。 転送されたイベントはパススルーまたはリスナーであるため、転送されたイベントには WinCollect ID は含まれず、標準イベントとして表示されます。

重要: WinCollect は、Windows イベント・ビューアーに表示される転送されたイベントのみを収集します。

サポートされるソフトウェア環境

イベント・サブスクリプションは、以下の Windows オペレーティング・システムで構成されている WinCollect エージェントおよびホストにのみ適用されます。
  • Windows 10 (最新)
  • Windows Server 2016 (Core を含む)
  • Windows Server 2019 (Core を含む)
  • Windows Server 2022 (Core を含む)
重要: WinCollect は、Microsoft によって指定された Windows のバージョンではサポートされません。 ソフトウェアが延長サポート終了日を過ぎても、製品は引き続き予期したとおりに機能する可能性があります。 ただし、 IBM は、古いオペレーティング・システムの WinCollect の問題を解決するためのコードや脆弱性の修正は行いません。 例えば、 Microsoft Windows Server 2003 R2 および Microsoft Windows XP は、「延長サポート終了日」より後のオペレーティング・システムです。 この発表に関する質問は、 IBM QRadar Collecting Windows Events (WMI/ALE/WinCollect) フォーラムで検討できます。 詳しくは、「 https://support.microsoft.com/en-us/lifecycle/search 」(https://support.microsoft.com/en-us/lifecycle/search) を参照してください。

イベント・サブスクリプションについて詳しくは、Microsoft の資料または Microsoft 技術 Web サイト (http://technet.microsoft.com/en-us/library/cc749183.aspx) を参照してください。

イベント・コレクションのトラブルシューティング

Microsoft イベント・サブスクリプションには、イベント・ソースがイベントの送信を停止したことを示すアラート・メカニズムがありません。 2 つの Windows システム間でサブスクリプションが失敗した場合、サブスクリプションはアクティブとして表示されますが、サブスクリプションを担当するサービスはエラー状態になる可能性があります。 WinCollectでは、リモートでポーリングされたログソースまたはローカルのログソースは、720分（12時間）以内にイベントを受信できない場合、タイムアウトすることがあります。