更新スクリプトを使用したリモート・ソースの構成

更新スクリプトを使用して、リモート・ソース・グループの追加、単一のリモート・ソース・デバイスの追加、または複数のリモート・ソース・デバイスの追加を行うことができます。

リモート・ソース・グループの追加

この例では、「ドメイン・ワークステーション」という新しいリモート・ソース・グループを素早く作成し、どのチャネルからイベントを収集するかを指定し、資格情報を指定し、イベントの送信先となる宛先を設定します。

重要: 最初に、コンソール UI を使用して資格情報を設定する必要があります。これは、パスワード・ハッシュを作成する唯一の方法です。詳しくは、ユーザー・アカウントの追加を参照してください。

<?xml version="1.0" encoding="UTF-8"?>
<WinCollectScript version="10.0.1" >
    <AddTo objPath="Destinations" >
        <Destination Name="QRadarEP" Address="qradarep.yourdomain.lab" />
    </AddTo>
    <AddTo objPath="ROOT" >
        <RemoteSources Name="Domain Workstations" />
    </AddTo>
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Target Destination="QRadarEP" />
    </AddTo>
    <AddTo objPath="Security" >
        <Credentials Name="wcservice" Domain="yourdomain.lab" Password="(ET1)bMfEpIr2JE20vlAqwDPatw==" UserID="wcservice" />
    </AddTo>
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Device Address="ws01.yourdomain.lab" Credentials="wcservice" />
    </AddTo>
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Source Channel="Application" Type="MSEVEN6" />
    </AddTo>
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Source Channel="System" Type="MSEVEN6" />
    </AddTo>
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Source Channel="Security" Type="MSEVEN6" />
    </AddTo>
</WinCollectScript>

リモート・ソース・デバイスの追加

この更新スクリプトの例では、同じドメイン・ワークステーション資格情報wcserviceを使用して、イベントの収集元となるリモート・ソース・デバイスを追加し、ws02.yourdomain.labという名前のワークステーションを追加し、それを前のスクリプトと同じリモート・ソース・グループに追加します。

<?xml version="1.0" encoding="UTF-8"?>
<WinCollectScript version="10.0.1" >
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Device Address="ws02.yourdomain.lab" Credentials="wcservice" />
    </AddTo>
</WinCollectScript>

リモート・ソース・グループには、収集するイベントの値と、資格情報に使用するユーザー・アカウントの値が含まれます。

複数のリモート・ソース・デバイスの追加

イベントの収集元としてリモートでポーリングするデバイスが複数ある場合は、イベントの収集元となる他のデバイスごとに、前のスクリプトにDevice Address行を追加できます。

<?xml version="1.0" encoding="UTF-8"?>
<WinCollectScript version="10.0.1" >
    <AddTo objPath="RemoteSources(Name=Domain Workstations)" >
        <Device Address="ws03.yourdomain.lab" Credentials="wcservice" />
        <Device Address="ws04.yourdomain.lab" Credentials="wcservice" />
        <Device Address="ws05.yourdomain.lab" Credentials="wcservice" />
        <Device Address="ws06.yourdomain.lab" Credentials="wcservice" />
    </AddTo>
</WinCollectScript>

このスクリプトは、イベントの収集元となる 4 つの新規リモート・デバイスを追加します。