WinCollect ログ・ファイル

WinCollect ログ・ファイルには、デプロイメントに関する情報が示されます。ログは、問題のトラブルシューティングのための有用な情報を提供します。

WinCollect ログの概要

WinCollect は、インストールおよび構成中にログ・イベント拡張フォーマット (LEEF) メッセージを生成して、これらを単一のログ・ファイルに書き込みます。「状況サーバー (Status Server)」フィールドのサーバーは、syslog を通じて LEEF メッセージを受信します。これらのメッセージは、WinCollect サービスの状況、許可トークン、構成などについて報告します。

例:

以下の例では、 WinCollect エージェントが生成するイベントの数が、ログ・ソースのチューニング対象を超えていることを管理者に警告する LEEF メッセージを表示します。

<13>Sep 22
09:07:56 IPADDRESS LEEF:1.0|IBM|WinCollect|7.2|3|src=MyHost.example.com 
dst=10.10.10.10
sev=4 log=Device.WindowsLog.EventLog.MyHost.example.com.System.Read
msg=Reopening event log
due to falling too far behind (approx 165 logs skipped). Incoming
EPS r.avg/max =
150.50/200.00. Approx EPS possible with current tuning = 40.00

詳しくは、「 Log Source Event Rates and Tuning Profiles 」(http://www.ibm.com/support/docview.wss?uid=swg21672193) を参照してください。

syslog メッセージを検索するには、 WinCollect エージェントの IP アドレスを使用します。 QRadar® は、監査ログからの情報を追跡して、いつログ・ソースが作成されたか、いつ検索が実行されたかなどを判別します。

WinCollect ログ・タイプ

デフォルトのログ・ディレクトリーは C:\Program Files\IBM\WinCollect\logs\です。ログ・ファイルの名前は WinCollect.log です。

各ログ項目は、項目のタイプを示す以下の識別子によってタグ付けされます。

システム
コード
デバイス

以下の表に、WinCollect ログ・ファイル内のログ項目のタイプを示します。

表 1. WinCollect ログ項目のタイプ
ログ項目のタイプ	説明
システム	システム情報 (エージェントがインストールされているオペレーティング・システムなど)、オペレーティング・システムからの RAM および CPU 情報、サービス開始情報、および WinCollect のバージョン情報を示します。
コード	スピルオーバーとキャッシュのメッセージ、ファイル・リーダー・メッセージ、許可トークン・メッセージ、ローカル・ホストの IP アドレスまたはホスト名の情報、宛先での問題、ログ・ソースの自動作成、スタンドアロン・モード・メッセージ、およびスレッドまたはプロセスの開始とシャットダウンのメッセージに関する情報を示します。これらの項目を使用して、 WinCollect 構成を調べます。 Code 項目では、イベント収集に関する情報は示されません。
デバイス	WinCollect がイベント (イベント・ログ収集を実行するプロトコル) を収集するときに作成されます。 Device 項目では以下の問題が記録されます。プラグインのロード接続の問題権限または認証 Windows エラー・コード (オペレーティング・システムによって提供される 16 進値コード、0x000005 アクセス拒否など) ファイル・パスまたはロケーションイベント・ログがポーリング対象として期限切れイベント・ログ・トランザクション RPC が使用不可 (指定したロケーションが見つからない) 後れが大きすぎるために再オープン (チューニング・メッセージ)

ログ・ファイルのディスク・スペース管理

WinCollect は、ログ・サイズが 20 MB を超えた場合に「_1」バージョンを生成することによって、ログ用のディスク・スペースを管理します。「_5」バージョンが作成されると、 WinCollect は最も古いバージョンのログを削除します。

WinCollect は、チェックポイント・フォルダーをアーカイブすることによってもディスク・スペースを管理します。 QRadar が WinCollect を新規コードで更新すると、チェックポイント・フォルダーには、置換されたコードのバックアップが保管されます。 WinCollect は、10 個が作成された中で最も古いパッチ・チェックポイント・フォルダーをアーカイブします。 WinCollect は、パッチ・チェックポイント・フォルダー内のファイルのリストと、 AgentConfig.xml ファイルの圧縮ファイルを含むアーカイブ・フォルダーを作成します。次に、 WinCollect は、アーカイブしたパッチ・チェックポイント・フォルダーを削除します。