リモート・ソースの構成

WinCollect 10 コンソールで Windows イベントをリモート側で収集するようにソースを構成できます。

1. IBM® WinCollect 10 コンソールで、メニュー・アイコンをクリックし、 「ソース・ウィザード」を選択します。
2. 「ソース・グループ・タイプの選択」で 「リモート」 を選択します。
3. 「ソース・グループの選択」で、 「新規作成」をクリックします。
   ヒント: 新しいデバイスを既存のグループに追加することもできます。
4. グループの名前として Domain Workstations と入力し、説明を追加します。
5. 「ソース・タイプの選択」 ウィンドウで、デフォルト設定の 「Windows イベント・サブスクリプション」のままにします。
6. 「ソース・パラメーターの構成」 セクションで、イベントを収集するチャネルを選択します。
   ヒント: 作成するチャネルとイベント ID のカスタム・セットを含む XPath 照会を作成することもできます。
7. 「アプリケーション」、 「システム」、および 「セキュリティー」 イベント・チャネルを選択し、 「資格情報」をクリックします。
8. 「新規作成」をクリックします。
   ヒント: 以前に資格情報を追加した場合は、 「資格情報の選択」 ウィンドウでその資格情報を選択します。 デフォルトでは、新規エージェントをインストールした後、資格情報は構成されません。
9. 「資格情報」 ウィンドウで、資格情報の詳細を入力し、 「ステップ 6: デバイス」をクリックします。
10. 「デバイスの作成」 ウィンドウで、イベントを収集するデバイスに関する以下の詳細を入力します。

    オプション	説明
    デバイス・アドレス	リモート・デバイスの FQDN または IP アドレスを指定します。
    名前	名前を指定しない場合、 デバイス・アドレス からの FQDN または IP アドレスが名前として使用されます。
    説明	(オプション) デバイスを識別する説明を入力します。
    資格情報	(オプション) 前のステップで作成した資格情報を指定します。

11. 「宛先の構成」 ウィンドウで、これらのイベントの移動先を指定します。
    ヒント: クイック・インストールを使用してエージェントをインストールした場合は、 QRadar®という名前の 「宛先」 が既に作成されている可能性があります。 新しいリモート・ソースを同じ場所に移動する場合は、この宛先を選択できます。
    1. 別の QRadar アプライアンスを追加するには、 「新規作成」を選択します。
    2. 「名前」として QRadarEP と入力します。
    3. オプション: 「説明」を追加します。
    4. QRadar アプライアンスのホスト名または IP アドレスを 「デバイス・アドレス」として指定します。
       ヒント: EP のホスト名を使用している場合は、エージェントがホスト名を解決できることを確認してください。 デフォルトのポート番号は 514 です。 デフォルトの 1 秒あたりの最大イベント数は 20,000 です。
12. 「終了」をクリックします。
    WinCollect 10 ダッシュボードには、保留中の変更があることを示す通知が表示されます。
13. 変更をデプロイします。