WinCollect 10 統計ファイル

すべてのエージェントには、一定期間にエージェントが処理したイベントを確認するために使用できる統計ファイルがあります。 統計ファイルは、エージェントがインストールされている/logs ディレクトリーに保管されます。

統計ファイルは、任意のテキスト・エディターで開くことができます。 このファイルは、以下の例のようになります。
From 20210915.130000 to 20210915.140000
Destination//QRadar: 3.5/162,6,4,3,6,31,4,3,3,3,26,3,3,3,6,30,3,4,3,3,32,3,4,4,7,2.4/116,3,3,3,3,25,4,3,3,6,31,4,3,3,3,23,3,3,3,10,48,9,10,4,12,31,12,3,3,6,19,12,3,3,4
Source//Local//Application: 0,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
Source//Local//DNS Debug: 162,,,,,6,,,,,2,,,,,4,,,,,6,,,,,116,,,,,2,,,,,8,,,,,2,,,,,28,,,,,12,,,,,4,,,,
Source//Local//Security: 27,5,4,3,6,24,3,3,3,3,24,3,3,3,6,26,3,4,3,3,26,3,4,3,6,21,3,3,3,3,23,4,3,3,6,23,4,3,3,3,21,3,3,3,10,20,9,6,4,12,15,12,3,3,6,15,12,3,3,4
Source//Local//XPath Sysmon Powershell: 3,1,,,,1,,,,,,,,,,,,,,,,,,,1,2,,,,,,,,,,,,,,,,,,,,,,2,,,4,,,,,,,,,
StatusServer//10.10.218.221: 0,,,,1,,,,,1,,,,,1,,,,,1,,,1,,1,,,1,,1,,,,1,1,,,,,1,,,,1,1,1,,,,1,,,,,1,,,,,1
UserData//EvtsOnDisk: 0,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
表 1. 統計ファイルの読み取り方法
値 説明
From 20210915.130000 to 20210915.140000 統計ファイルは 1 分ごとに更新され、1 時間ごとに新しいセクションが作成されます。 この例では、データは 2021 年 9 月 15 日の午後 1 時から午後 2 時までです。
Destination//QRadar: 3.5/162,6,4,3,6,31,4,3,3, 3,26,3,3,3,6,30,3,4,3,3,32,3,4,4,7,2.4/116,3, 3,3,3,25,4,3,3,6,31,4,3,3,3,23,3,3,3,10,48,9, 10,4,12,31,12,3,3,6,19,12,3,3,4

この行には、ログの送信先の宛先ごとに 1 つの項目が含まれます。 この例では、QRadar という名前の宛先が 1 つあります。

毎分 (EPM) のイベントが毎分ログに記録されます。 したがって、このコンマ区切り行には 60 個の項目が含まれます。 最新の項目は、右端の値です。

X/Y 形式の数値は、その分の平均および最高 EPS を表します。
  • 例えば、3.5/162 は、平均 EPS が 3.5 であり、その分の 1 秒間に処理されたほとんどのイベントが 162 であったことを意味します。
Source//Local//Application: 0,,,,,,,,,,,,,,,, ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,

これは、 ローカル グループ内の アプリケーションという名前のソースです。

これは、ローカル・アプリケーション・イベント・チャネルからイベントを収集しているソースです。
Source//Local//DNS Debug: 162,,,,,6,,,,,2,,,,, 4,,,,,6,,,,,116,,,,,2,,,,,8,,,,,2,,,,,28,,,,, 12,,,,,4,,,,

これは、 ローカル グループ内の DNS デバッグ という名前のソースです。

このソースは、ローカル・マシン上の DNS デバッグ・ログを収集しています。
Source//Local//Security: 27,5,4,3,6,24,3,3,3, 3,24,3,3,3,6,26,3,4,3,3,26,3,4,3,6,21,3,3,3,3, 23,4,3,3,6,23,4,3,3,3,21,3,3,3,10,20,9,6,4,12, 15,12,3,3,6,15,12,3,3,4

これは、 ローカル グループ内の セキュリティという名前のソースです。

これは、ローカル・セキュリティー・イベント・チャネルからイベントを収集しているソースです。

予想どおり、これは最も忙しいソースです。 セキュリティー・チャネルは通常、標準イベント・ログで最も多くのトラフィックを生成します。
Source//Local//XPath Sysmon Powershell: 3,1,,,,1,,,,,,,,,,,,,,,,,,,1,2,,,,,,,,,,,,,,, ,,,,,,,2,,,4,,,,,,,,,

これは、 ローカル グループ内の XPath Sysmon Powershellという名前のソースです。

これは、Sysmon および PowerShell のアプリケーションとサービスのイベント・ログからイベントを収集するソースです。
StatusServer//10.10.218.221: 0,,,,1,,,,,1,,,,, 1,,,,,1,,,1,,1,,,1,,1,,,,1,1,,,,,1,,,,1,1,1,,, ,1,,,,,1,,,,,1

これは状況メッセージが送信される場所であり、ハートビート・メッセージ、サービスの停止または開始、およびエージェントのエラー・メッセージが含まれます。 通常、これらのメッセージの EPS カウントは非常に低くなります (5 分ごとに 1 メッセージ)。
UserData//EvtsOnDisk: 0,,,,,,,,,,,,,,,,,,,,,,, ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,

これは、イベントがディスクに保管されているかどうかを示します。 例えば、エージェントは QRadar と通信できないため、通信を開くことができるまでイベントをディスクに保管します。