Microsoft セキュリティー・イベントを収集するための WinCollect 10 の構成

「拡張インストーラーを使用した WinCollect 10 のインストール」 オプションを使用してエージェントをインストールする場合は、更新スクリプトを実行してエージェントを構成できます。

手順

  1. wincollect-10.0.x.x64.exe ファイルをご使用のコンピューターにダウンロードまたはコピーします。
  2. このトピックに表示されている更新スクリプト・コードをコピーして、テキスト・エディターに貼り付けます。
  3. Address パラメーターの値 ("YourStatusServerIP") を、 QRadar デプロイメント内のアプライアンスの IP アドレスに置き換えます。
  4. Destination Address パラメーター ("YourQRadarApplianceIP") を、 QRadar デプロイメント内のアプライアンスの IP アドレスに置き換えます。
    注: オールインワン・アプライアンスを使用している場合、 Destination Address は Address パラメーターと同じ IP アドレスにすることができます。
  5. ファイルを update_localmsevents.xmlとして保存します。
  6. 管理ユーザーとして wincollect-10.0.x.x64.exe インストーラーを実行します。
  7. 「 WinCollect 10 セットアップ・ウィザードへようこそ」 ウィンドウで、 「次へ」 をクリックし、ご使用条件の条項に同意します。
  8. 「会社情報」を入力し、 「次へ」をクリックします。
  9. 「カスタム・セットアップ」 ウィンドウで、インストールする代替パスを指定し、インストールする必要がある追加コンポーネントを選択します。
  10. 「次へ」をクリックします。
  11. 「構成オプション」 ウィンドウで、 「エージェントのインストール直後に実行する構成スクリプト・ファイルを指定します」を選択します。
  12. 「参照」 をクリックして update_localmsevents.xml ファイルを見つけ、 「次へ」をクリックします。
    ヒント: 「インストール準備ができました」 ウィンドウに、同じ構成を別のエージェントに適用するために使用できるコマンドが表示されます。
  13. 「インストール」 をクリックしてインストールを終了します。
  14. 不明なパブリッシャーからのアプリのインストールを許可するように求めるプロンプトが出された場合は、 「はい」をクリックします。
  15. 「 WinCollect 10 セットアップ・ウィザードの完了」 ページで、 「完了」をクリックします。
    以下のコードをコピーし、ファイルをupdate_localmsevents.xmlとして保存します。
    <?xml version="1.0" encoding="UTF-8"?>
<WinCollectScript version="10.0.1" >
<Update objPath="AgentCore/StatusServer" >
<Parameter name="Address" value="YourStatusServer" />
<Parameter name="Enabled" value="true" />
</Update>
<Update objPath="Destinations" >
<Destination Name="QRadar" Address="YourDestinationServer" Enabled="true" />
</Update>
<Update objPath="ROOT" >
<LocalSources Name="Local" Type="MSEVEN6" Enabled="true">
<Source Channel="Application" />
<Source Channel="System" />
<Source Channel="Security" />
<Target Destination="QRadar" />
</LocalSources>
</Update>
</WinCollectScript>