リモート収集用にログ・ソースを一括で追加する

複数のログ・ソースを一括で IBM® QRadar®に追加できます。 ログ・ソースは共通の構成プロトコルを共有し、同じ WinCollect エージェントに関連付けられている必要があります。

IP アドレスまたはホスト名をリストしたテキスト・ファイルをアップロードし、ドメイン・コントローラーに対して照会を実行することで、ホストのリストを取得できます。あるいは、IP アドレスまたはホスト名を 1 つずつ入力して、手動でリストを入力することもできます。

一度に追加する WinCollect ログ・ソースの数によっては、 WinCollect エージェントがログ・ソース・リストからすべての Windows イベントにアクセスして収集するのに時間がかかることがあります。

始める前に

WinCollect エージェントが Windows イベントを QRadar アプライアンスに送信できるように宛先を作成したことを確認します。 QRadar イベント・コレクター 16xx または 18xx アプライアンスごとに 1 つの宛先が作成されていることを確認します。

WinCollect イベント・ログ・レポート・ツールを使用して、一括収集戦略を計画します。 詳しくは、 GitHub (https://github.com/ibm-security-intelligence/wincollect) を参照してください。

このタスクについて

管理対象の WinCollect エージェントごとに最大 500 のログ・ソースを設定できます。 また、 WinCollect エージェントでのローカル収集の場合は 5,000 EPS 未満、リモート・ポーリングの場合は 2,500 EPS 未満にする必要があります。 Windows システム上のイベント・ビューアーを確認して、各時間に生成される EPS の数を判別することができます。 この値を 3600 秒で除算すると、EPS レートを求めることができます。 この計算により、インストールしなければならないエージェントの数が分かります。 あるいは、24 時間にわたるイベントを調べて、各 Windows サーバーがどの程度ビジーであるかを確認します。 これにより、エージェントをどのようにチューニングすればいいかを判断することができます。また、1 時間ごとに確認する場合にしか表示されない最小 EPS レートと最大 EPS レートを調べる必要がなくなります。

手順

  1. 「管理」 タブのナビゲーション・メニューで、 「データ・ソース」をクリックしてから、 WinCollect アイコンをクリックします。
  2. ログ・ソースを割り当てる WinCollect エージェントを選択し、 「ログ・ソース」をクリックします。
  3. 一括アクション > 「一括追加」をクリックします。
  4. バルク・ログ・ソースの名前を指定します。 見つけやすくするために、リモート収集を実行する WinCollect エージェントとして名前を指定します。
  5. 「ログ・ソース・タイプ」 リスト・ボックスから、 Microsoft Windows 「セキュリティー・イベント・ログ」を選択します。
  6. 「プロトコル構成リスト」 ボックスから、 WinCollectを選択します。
  7. WinCollect イベント・ログ・レポート・ツールで指定されたチューニング値を使用して、ログ・ソースを適切に調整します。
  8. すべての 「標準ログ・タイプ」 チェック・ボックスを選択します。 WinCollect エージェントは、これらのリモート・ログを読み取って QRadarに転送します。
    重要: 「転送されたイベント」 チェック・ボックスは選択しないでください。 「転送されたイベント」は、特殊な場合に使用するオプションです。 このオプションを選択すると、複数のログ・ソースが正しく追加されなくなります。
  9. すべての 「イベント・タイプ」 チェック・ボックスを選択します。
  10. 「 Active Directory ルックアップを使用可能にする」 チェック・ボックスを選択します。 このオプションは、16 進数として表示される Windows イベント内のユーザー名を識別し、人間が判読可能なユーザー名に解決します。
  11. WinCollect 「エージェント」 リストから、ログ・ソースを管理する Windows ホストを選択します。
  12. 「ターゲット内部宛先」 リストから、Windows イベントを受信して処理する QRadar アプライアンスを選択します。
  13. リモートでイベントをポーリングする Windows オペレーティング・システムの IP アドレスを追加します。

    IP アドレスまたはホスト名をリストしたテキスト・ファイルをアップロードし、ドメイン・コントローラーに対して照会を実行することで、ホストのリストを取得できます。あるいは、IP アドレスまたはホスト名を 1 つずつ入力して、手動でリストを入力することもできます。

    一度に追加する WinCollect ログ・ソースの数によっては、 WinCollect エージェントがログ・ソース・リストからすべての Windows イベントにアクセスして収集するのに時間がかかることがあります。

  14. 「保存」 をクリックしてから、 「続行」をクリックします。

次に実行するタスク

構成情報がリモート・エージェントにプッシュされるまで待ちます。 「ログ・アクティビティー」タブで、イベントが受信されたことを確認します。