WinCollect エージェントへの複数の宛先の追加
管理対象の WinCollect デプロイメントで、 QRadar アプライアンスで障害が発生した場合は、Windows イベントの宛先として IBM® QRadar® アプライアンスを追加します。
始める前に
このタスクについて
WinCollect エージェント用に作成する各宛先には、イベント用の独自のディスク・キャッシュがあります。 サイト A で障害が発生し、サイト B が「ターゲット外部宛先」として構成されている場合、サイト B がイベントの受信を継続し、サイト A はイベントをディスクに保管します。 両方のサイトで障害が発生した場合は、両方のシステムが個別のディスク・キューにイベントを個別にキャッシュします。 エージェントは、各ログ・ソースの接続が回復すると、新しいイベントとキャッシュされたイベント (イベントの数が多すぎるために、または接続の問題のためにキャッシュされたイベント) のバランスを取りながらイベントの送信を実行します。
複数の宛先を使用していることが原因でデプロイメント環境内のログ・ソースの数が多い場合は、デフォルトのディスク・スペースを増やしてください。 各エージェントは、6 GB のディスク・スペースを使用してイベントをキャッシュするように構成されています。 ただし、50 以上のログ・ソースが存在し、各ログ・ソースが宛先にイベントを送信する場合は、ネットワーク・セグメントで障害が発生すると、各ログ・ソースは、ターゲット内部宛先とターゲット外部宛先上の同じキャッシュに 2 つのイベント・セットを書き込みます。 そのため、不安定なセグメントや、停止することが多いセグメントがデプロイメント環境内に存在する場合は、長時間の停止が発生した場合に備えて、エージェントのデフォルト・ストレージの容量を増やしてください。
手順
- QRadarで、 「管理」 タブをクリックします。
- ナビゲーション・メニューで、 「データ・ソース」をクリックします。
- WinCollect アイコンをクリックします。
- 「エージェント」 をクリックし、編集するエージェントを選択します。
- 「ログ・ソース」をクリックします。
- 編集するログ・ソースを選択し、 「編集」をクリックします。
- 「ターゲット外部宛先」 チェック・ボックスを選択します。
- 「ターゲット外部宛先」 チェック・ボックスの下のボックスから、エージェントに追加する宛先を選択します。
- 「保存」をクリックします。