Microsoft IAS ログ・ソース構成オプション

この参照情報を使用して、Microsoft IAS 用の WinCollect プラグインを構成します。

表 1. サポートされる Windows バージョンおよびログ・フォーマット
Microsoft IAS	サポートされるバージョン
Microsoft Windows のサポート	Windows Server 2019 Windows SServer 2016 Windows Server 2012 R2
NPS ® ログ・サーバーのログ・フォーマット	データ変換サービス Open Database Connectivity インターネット認証サービス

重要: WinCollect は、 Microsoft SQL Serverに記録されたイベントをサポートしていません。

イベント収集用の Microsoft IAS ディレクトリー構造

WinCollect によってモニターされるイベント・ログは、ログ・ソース内で構成する必要があるルート・ディレクトリーによって定義されます。

ルート・ログ・ディレクトリーを指定する場合は、Microsoft IAS イベントまたは NPS イベントが含まれているフォルダーを WinCollect エージェントが指すようにする必要があります。ルート・ログ・ディレクトリーは、イベント・ファイルを見つけるためにサブディレクトリーを再帰的に検索しません。

パフォーマンスを向上させるために、IAS および NPS のイベント・ログのサブフォルダー (例えば、 \WINDOWS\System32\Logfiles\NPS) を作成できます。特定のイベント・フォルダーを作成しておくと、エージェントは、イベント・ログを見つけるために多くのファイルを評価する必要がなくなります。

システムが多数の IAS イベントまたは NPS イベントを生成する場合は、新しいイベント・ログを毎日作成するように Windows システムを構成できます。こうしておくと、エージェントは、新規イベントを見つけるために大容量のログを検索する必要がなくなります。

表 2. Microsoft IAS のイベント・ログのデフォルトのディレクトリー構造
イベント・バージョン	ルート・ログ・ディレクトリー
Microsoft Windows 2019年サーバー	\Windows\System32\Logfiles\
Microsoft Windows サーバー2016	\Windows\System32\Logfiles\
Microsoft Windows Server 2012 R2	\Windows\System32\Logfiles\

Microsoft IAS のプロトコル・パラメーター

表 3. Microsoft IAS パラメーター
パラメーター	説明
ログ・ソース・タイプ	Microsoft IAS サーバー
プロトコル構成	WinCollect Microsoft IAS/NPS
ローカル・システム	ローカル・イベントを収集するには、Microsoft DHCP サーバーと同じホストに WinCollect エージェントをインストールする必要があります。ログ・ソースは、ローカル・システムの資格情報を使用してイベントを収集し、 QRadar®に転送します。
ファイル・モニター・ポリシー	「通知ベース (ローカル) (Notification-based (local))」オプションは、Windows ファイル・システム通知を使用して、イベント・ログの変更を検出します。「ポーリング・ベース (リモート) (Polling-based (remote))」オプションは、リモートのファイルおよびディレクトリーの変更をモニターします。エージェントは、リモート・イベント・ログをポーリングし、そのファイルを前回のポーリング間隔と比較します。イベント・ログに新しいイベントが記録されている場合は、イベント・ログを取得します。
ポーリング間隔 (Polling Interval)	ルート・ログ・ディレクトリーに対して新規イベントを照会する時間間隔。