Microsoft ISA ログ構成オプション

この参照情報を使用して、Microsoft ISA 用の WinCollect プラグインを構成します。

サポートされる Microsoft ISA のバージョン

WinCollect 用の Microsoft ISA プラグインは、以下のソフトウェア・バージョンをサポートしています。

  • Microsoft ISA サーバー 2006
  • Microsoft Forefront Threat Management Gateway 2010

サポートされる Microsoft ISA または TMG のサーバー・ログ・フォーマット

Microsoft ISA および Forefront Threat Management Gateway のインストール済み環境は、個々のファイアウォールおよび Web プロキシーのイベント・ログを共通ログ・ディレクトリー内に作成します。 WinCollectでこれらのイベントを収集するには、Microsoft ISAまたはMicrosoft Time Management Gatewayを設定して、イベントログをログディレクトリに書き込むようにする必要があります。
制約事項: Microsoft SQL Server データベースに記録されるイベントは、 WinCollectではサポートされません。

WinCollect は、以下のイベント・ログ・フォーマットをサポートします。

  • WC3 フォーマットの Web プロキシー・ログ (w3c_web)
  • WC3 フォーマットの Microsoft ファイアウォール・サービス・ログ (w3c_fws)
  • IIS フォーマットの Web プロキシー・ログ (iis_web)
  • IIS フォーマットの Microsoft ファイアウォール・サービス・ログ (iis_fws)

優先されるイベント・ログ・フォーマットは、W3C イベント・フォーマットです。 W3C フォーマットには、バージョン情報を示す標準見出しと、イベント・ペイロード内で予期されるすべてのフィールドが含まれます。 ファイアウォール・サービス・ログおよび Web プロキシー・ログの W3C イベント・フォーマットをカスタマイズして、イベント・ログのフィールドを組み込んだり除外したりできます。

ほとんどの管理者は、デフォルトの W3C フォーマット・フィールドを使用できます。 W3C フォーマットをカスタマイズする場合、イベントを適切に分類するには、以下のフィールドが必須です。

表 1. W3C フォーマットの必須フィールド
必須フィールド 説明
クライアント IP (c-ip) 送信元 IP アドレス。
アクション ファイアウォールによって実行されるアクション。
宛先 IP (r-ip) 宛先 IP アドレス。
プロトコル (cs-protocol) アプリケーション・プロトコル名。例えば、HTTP または FTP。
クライアント・ユーザー名 (cs-username) ファイアウォール・サービスのデータ要求を行ったユーザー・アカウント。
クライアント・ユーザー名 (username) Web プロキシー・サービスのデータ要求を行ったユーザー・アカウント。

イベント収集用の Microsoft ISA ディレクトリー構造

WinCollect によってモニターされるイベント・ログは、ログ・ソース内で構成するルート・ディレクトリーによって定義されます。

ルート・ログ・ディレクトリーを指定すると、 WinCollect はディレクトリー・フォルダーを評価し、新規イベントがいつイベント・ログに書き込まれるかを判別するためにサブフォルダーを再帰的に検索します。 デフォルトでは、Microsoft ISA 用の WinCollect プラグインは、更新されたイベント・ログのルート・ログ・ディレクトリーを 5 秒ごとにポーリングします。

表 2. Microsoft ISA のイベント・ログのデフォルトのディレクトリー構造
バージョン ルート・ログ・ディレクトリー
Microsoft ISA 2006 %systemroot%\LogFiles\IAS\
Microsoft Threat Management Gateway <Program Files>\<Forefront Directory>\ISALogs\

Microsoft ISA プロトコルのパラメーター

表 3. Microsoft ISA プロトコルのパラメーター
パラメーター 説明
ログ・ソース・タイプ Microsoft ISA
プロトコル構成 WinCollect Microsoft ISA/Forefront TMG
ローカル・システム

ローカル・イベントを収集するには、 WinCollect エージェントが Microsoft ISA サーバーまたは Forefront TMG サーバーと同じホストにインストールされている必要があります。 ログ・ソースは、ローカル・システムの資格情報を使用して、イベントを収集し、QRadar に転送します。
ルート・ディレクトリー

リモート・ファイル・パスを指定する場合は、コロン (:) ではなくドル記号 ($) を使用してドライブ名を表します。

Microsoft ISA 2006
  • ローカル・ディレクトリー・パスには、%systemroot%\LogFiles\ISA\ を使用します。
  • リモート・ディレクトリー・パスには、\<ISA server IP>\%systemroot%\LogFiles\ISA\ を使用します。
Microsoft Threat Management Gateway
  • ローカル・ディレクトリー・パスの場合は、<Program Files>\<Forefront Directory>\ISALogs\ を使用します。
  • リモート・ディレクトリー・パスの場合は、\\<ISA server IP>\<Program Files>\<Forefront Directory>\ISALogs\ を使用します。
ファイル・モニター・ポリシー

「通知ベース (ローカル) (Notification-based (local))」 オプションは、Windows ファイル・システム通知を使用して、イベント・ログの変更を検出します。

「ポーリング・ベース (リモート) (Polling-based (remote))」オプションは、リモートのファイルおよびディレクトリーの変更をモニターします。 エージェントは、リモート・イベント・ログをポーリングし、そのファイルを前回のポーリング間隔と比較します。 イベント・ログに新しいイベントが記録されている場合は、イベント・ログを取得します。
ポーリング間隔 (Polling Interval)

ルート・ログ・ディレクトリーに対して新規イベントを照会する時間間隔。