コマンド・プロンプトからの WinCollect エージェントのインストール

無人インストールの場合、コマンド・プロンプトから WinCollect エージェントをインストールできます。サイレント・インストール・オプションを使用して、 WinCollect エージェントを複数のリモート・システムに同時にデプロイします。

このタスクについて

WinCollect インストーラーは、以下のコマンド・オプションを使用します。

表 1. WinCollect エージェントのサイレント・インストール・オプション
オプション	有効な入力と説明
/qn	WinCollect エージェントのインストールをサイレント・モードで実行します。
INSTALLDIR	WinCollectのインストール場所。インストール・ディレクトリーにスペースが含まれる場合は、引用符の前に円記号 (¥) を追加します。例: `INSTALLDIR=\"C:\Program Files\IBM\WinCollect\"`
AUTHTOKEN= トークン	管理対象 WinCollect エージェントの場合のみ。以前に構成された QRadar® の許可トークンを使用して、管理対象エージェントを許可します。例: `AUTH_TOKEN=af111ff6-4f30-11eb-11fb-1fc1 17711111`
FULLCONSOLEADDRESS=host_address (FULLCONSOLEADDRESS=host_address)	エージェントを管理する QRadar コンソール、イベント・プロセッサー、またはイベント・コレクターの IP アドレス、ホスト名、または FQDN。例: `FULLCONSOLEADDRESS=192.0.2.0` `FULLCONSOLEADDRESS=EPqradar` `FULLCONSOLEADDRESS=EPqradar.myhost.com`
HOSTNAME=ホスト名	「ホスト名」フィールドは、 WinCollect エージェントに名前を割り当てるために使用されます。このフィールドで使用できる値は、識別可能な名前、ホスト名、または IP アドレスです。ほとんどの場合、管理者は、HOSTNAME=%COMPUTERNAME% を使用して、このフィールドに自動的に値を取り込むことができます。例: HOSTNAME= "windows-%computername%" " HOSTNAME=WindowsSrv1 HOSTNAME= %COMPUTERNAME% WinCollect エージェント・ホストの IP アドレスまたはホスト名に、アットマーク (@) を含めることはできません。
状況サーバー	必要に応じて、ハートビートなどの WinCollect 状況メッセージを送信するための代替宛先。デプロイメント内の任意の QRadar コンソールまたは任意のイベント・プロセッサーまたはイベント・コレクターに状況メッセージを送信するには、この値を IP アドレスに設定します。状況メッセージを送信しないでハートビートのみを送信するには、値を `Disabled` に設定します。ハートビートおよび状況メッセージを送信しない場合は、値を `None` に設定します。
log_source_auto_creation_enabled	必須、 `True` または `False` このオプションを有効にする場合、ログ・ソースのパラメーターを構成する必要があります。 QRadar システムを V7.2.1 パッチ 1 以降に更新する必要があります。
log_source_auto_creation_パラメータ	各パラメーターが必ず `Parameter_Name=value` のフォーマットを使用するようにしてください。各パラメーターは、アンパーサンド (&) で区切ります。 QRadar システムを V7.2.1 パッチ 1 以降に更新する必要があります。
LOG_MONITOR_SOCKET_TYPE=TCP (LOG_MONITOR_SOCKET_TYPE=TCP)	TCP を使用して送信されるハートビートと状況メッセージが使用するプロトコルを設定します。デフォルトのプロトコルは UDP です。注: このオプションは、スタンドアロンの WinCollect デプロイメントでのみ使用可能です。管理対象エージェントの可用性は、 QRadarの新しいリリースで計画されています。
Component1.Action	`create` インストール中に新規ウィンドウのイベント・ログ・ソースを作成します。
Component1.LogSourceIdentifier	エージェントがインストールされているシステムの IP アドレスまたはホスト名。
Component1.Destination.Name	宛先名は、 WinCollect ログ・ソースがイベント・データを送信する場所を指定するために使用される英数字の値です。この値は、イベント・プロセッサー、イベント・コレクター、または QRadar コンソールなどのイベント・データを受信できる QRadar アプライアンスでなければなりません。重要: 管理対象デプロイメントでは、インストールの前に宛先が「内部宛先」でなければならず、その名前が QRadar ユーザー・インターフェースに存在している必要があります。存在していないとログ・ソースの構成パラメーターは破棄され、ログ・ソースは自動作成されません。内部宛先イベント・プロセッサー・コンポーネントを含む管理対象ホスト外部宛先 WinCollect の宛先として構成し、かつ管理対象ホストとしてコンソールに認識されていない宛先
Component1.Dest.Hostname (スタンドアロン・デプロイメントのみ)	WinCollect イベントを送信する IP アドレスまたはホスト名。
Component1.Dest.Port (スタンドアロン・デプロイメントのみ)	WinCollect が宛先と通信するときに使用するポート。
Component1.Dest.Protocol (スタンドアロン・デプロイメントのみ)	`TCP` または `UDP`
Component1.Dest.MaxPayloadSize (スタンドアロン・デプロイメントのみ)	宛先に送信される最大ペイロード・サイズ (デフォルト値は、UDP では 1020、TCP では 32000 です)。
Component1.Log.Security	必須、 `True` または `False` Windows セキュリティー・ログには、オブジェクトの監査ポリシーで定義されたイベントが含まれています。
Component1.Log.System	必須、 `True` または `False` Windows システム・ログには、デバイスの変更、デバイス・ドライバー、システムの変更、イベント、およびオペレーティング・システムによって提供される操作に関する情報を含めることができます。
Component1.Log.Application	必須、 `True` または `False` Windows アプリケーション・ログには、オペレーティング・システムではなくソフトウェア・アプリケーションによってトリガーされたイベントが含まれています。このログでは、エラー、情報、および警告の各イベントを記録できます。
Component1.Log.DNS+Server	必須、 `True` または `False` Windows DNS サーバー・ログには DNS イベントが含まれています。
Component1.Log.File+Replication+Service	必須、 `True` または `False` Windows ファイル複製サービスのログには、システム上で複製された変更ファイルに関するイベントが含まれています。
Component1.Log.Directory+Service	必須、 `True` または `False` Windows ディレクトリー・サービス・ログには、アクティブ・ディレクトリーによって書き込まれたイベントが含まれています。
Component1.RemoteMachinePollInterval	Windows ホストに対する照会の間隔 (ミリ秒単位) を決定するポーリング間隔。ポーリング間隔の最小値は 300 ミリ秒です。デフォルトは 3000 ミリ秒 (3 秒) です。
Component1.EventRateTuningProfile (管理対象デプロイメントのみ)	以下のチューニング・プロファイルのいずれかを選択します。 Default+(Endpoint) Typical+Server High+Event+Rate+Server 詳しくは、 IBM® サポート (http://www-01.ibm.com/support/docview.wss?uid=swg21672193) を参照してください。
Component1.MaxLogsToProcessPerPass (スタンドアロン・デプロイメントのみ)	必須ではありません。取得対象のイベントがまだ残っている場合に、1 回の受け渡し処理でアルゴリズムが取得するログの最大数 (バイナリー形式)。例: `Component1.MaxLogsToProcessPerPass=400` 重要: このパラメーターは、イベント収集のパフォーマンスを向上させるために使用しますが、このパラメーターによってプロセッサー使用量が増加する可能性もあります。詳しくは、 IBM サポート (http://www-01.ibm.com/support/docview.wss?uid=swg21672193) を参照してください。
Component1.MinLogsToProcessPerPass (スタンドアロン・デプロイメントのみ)	必須ではありません。取得対象のイベントがまだ残っている場合に、1 回の受け渡し処理でアルゴリズムが読み取るログの最小数 (バイナリー形式)。例: `Component1.MinLogsToProcessPerPass=200` 重要: このパラメーターを使用してイベント収集のパフォーマンスを向上させることができますが、このパラメーターを使用するとプロセッサー使用量も増加する可能性があります。詳しくは、 IBM サポート (http://www-01.ibm.com/support/docview.wss?uid=swg21672193) を参照してください。
Component1.CoalesceEvents	必須ではありません。短い時間間隔内に同じイベントが複数回発生した場合に、 QRadar イベント・カウントを増やします。統合されたイベントを使用することで、「ログ・アクティビティー」タブで、単一のイベント・タイプが発生する頻度を表示し判別できます。このオプションを無効にすると、イベントは個別に表示され、相互にバンドルされません。新規ログ・ソースと自動的にディスカバーされたログ・ソースは、コンソールの「システム設定」構成から値を継承します。
Component1.StoreEventPayload	必須ではありません。 QRadar イベント・ペイロードを保管することを指定します。
Component1.Secondary	必須ではありません。 1 次宛先に到達できず、フェイルオーバー時間が経過した場合にエージェントがイベントを送信する 2 次宛先の IP アドレスまたはホスト名を指定します。
Component1.Failover	必須ではありません。フェイルオーバー時間を秒単位で指定します。 1 次宛先に到達できない場合、エージェントは 2 次宛先へのイベントの送信を開始します。

重要: 管理ユーザーとしてコマンド・プロンプトを実行する必要があります。

手順

WinCollect エージェントのセットアップ・ファイルを IBM Web サイト (www.ibm.com/support) からダウンロードします。
Windows ホストで、「管理者として実行」を使用してコマンド・プロンプトを開きます。

重要: 管理対象デプロイメントでは、コマンド・ライン・インストールを実行する前に、ログ・ソースの自動作成時に使用される宛先名が存在している必要があります。インストールを開始する前に、 QRadar ユーザー・インターフェースで宛先名を確認してください。

以下のコマンドを入力します。

wincollect-<Version_number>.x64.exe /s /v" /qn 
INSTALLDIR=<”C:\IBM\WinCollect"> 
AUTHTOKEN=<token> FULLCONSOLEADDRESS=<host_address> 
HOSTNAME=<hostname> LOG_SOURCE_AUTO_CREATION=<true|false> 
LOG_SOURCE_AUTO_CREATION_PARAMETERS=<”parameters”””>

以下の例は、スタンドアロン WinCollect エージェントのサイレント・インストールを示しています。

重要: この例には、フォーマット設定のための改行が含まれています。実際のコマンドは単一行です。

wincollect-<version_number>.x86.exe /s /v"/qn INSTALLDIR=\"C:\Program Files
\IBM\WinCollect\" HEARTBEAT_INTERVAL=6000 LOG_SOURCE_AUTO_CREATION_ENABLED=
True LOG_SOURCE_AUTO_CREATION_PARAMETERS=""Component1.AgentDevice=
DeviceWindowsLog&Component1.Action=create&Component1.LogSourceName=
%COMPUTERNAME%-1&Component1.LogSourceIdentifier=
<ip_address>&Component1.Dest.Name=QRadar&Component1
.Dest.Hostname=<ip_address>&Component1.Dest.Port=
514&Component1.Dest.Protocol=TCP&Component1.Log.Security=true&Component1
.Log.System=true&Component1.Log.Application=true
&Component1.Log.DNS+Server=false&Component1.Log.File+Replication+
Service=false&Component1.Log.Directory+Service=false&Component1.
RemoteMachinePollInterval=3000&Component1.EventRateTuningProfile=High+
Event+Rate+Server&Component1.MinLogs
ToProcessPerPass=1250&Component1.MaxLogsToProcessPerPass=1875"""

以下の例は、管理対象 WinCollect エージェントのサイレント・インストールを示しています。

重要: この例には、フォーマット設定のための改行が含まれています。実際のコマンドは単一行です。

 wincollect-<version_number>.x86.exe /s /v"/qn INSTALLDIR=\"C:\Program Files
\IBM\WinCollect\" AUTHTOKEN=1111111-aaaa-1111-aaaa-11111111
FULLCONSOLEADDRESS=<ip_address:port> HOSTNAME=%COMPUTERNAME%
 LOG_SOURCE_AUTO_CREATION_ENABLED=True LOG_SOURCE_AUTO_CREATION_PARAMETERS
=""Component1.AgentDevice=DeviceWindowsLog&Component1.Action=create
&Component1.LogSourceName=%COMPUTERNAME%&Component1.LogSourceIdentifier=
%COMPUTERNAME%&Component1.Log.Security=true&Component1.Log.System=false
&Component1.Log.Application=false&Component1.Log.DNS+Server=false
&Component1.Log.File+Replication+Service=false&Component1.Log.
Directory+Service=false&Component1.Destination.Name=Local&
Component1.RemoteMachinePollInterval=3000&Component1.EventRate
TuningProfile=High+Event+Rate+Server"""

Enter を押します。