Centrify Infrastructure Services에서 이벤트 로그를 수집하도록 WinCollect 에이전트 구성
WinCollect를 사용하여 Windows 이벤트를 IBM QRadar 에 전달할 수 있습니다.
WinCollect를 사용하여 Windows 이벤트를 전달하려면 Windows 호스트에 WinCollect 에이전트를 설치하십시오. IBM® 지원 웹사이트에서 WinCollect 상담원 설정 파일을 다운로드합니다(https://www.ibm.com/support). Centrify Infrastructure Services 로그 소스를 추가하고 이를 WinCollect 에이전트에 지정하십시오.
| 매개변수 | 값 |
|---|---|
| 로그 소스 유형 | 인프라 서비스 강조 |
| 프로토콜 구성 | WinCollect |
| 로그 소스 ID | Windows 이벤트를 수집할 Windows 시스템의 IP 주소 또는 호스트 이름입니다. 로그 소스 ID는 로그 소스 유형에 대해 고유해야 합니다. |
| 로컬 시스템 | 로컬 시스템 선택란을 선택하여 로그 소스에 대한 이벤트의 원격 콜렉션을 사용 안함으로 설정하십시오. 로그 소스는 로컬 시스템 신임 정보를 사용하여 로그를 수집하고 QRadar에 전달합니다. 원격 콜렉션이 필요한 경우 Domain, Username및 Password 매개변수를 구성해야 합니다. |
| 이벤트 비율 튜닝 프로파일 | 기본 폴링 간격 3,000밀리초의 경우
얻을 수 있는 대략의 초당 이벤트(EPS) 비율은 다음과 같습니다.
폴링 간격이 1000ms인 경우 대략적인 EPS 비율은 다음과 같습니다.
WinCollect튜닝에 대한 자세한 정보는 IBM 지원 센터 웹 사이트 (http://www.ibm.com/support/docview.wss?uid=swg21672193) 로 이동하십시오. |
| 폴링 간격(ms) | WinCollect 가 새 이벤트를 폴링하는 시간 사이의 간격 (밀리초) 입니다. |
| 애플리케이션 또는 서비스 로그 유형 | Application or Service Log Type에 대해 없음 을 선택하십시오. |
| 표준 로그 유형 | 로그 유형에 대해 선택란을 사용으로 설정하지 마십시오. 보안, 시스템, 애플리케이션, DNS 서버, 파일 복제 서비스및 디렉토리 서비스의 로그 필터 유형으로 필터링 안함 을 선택하십시오. |
| 이벤트 유형 | 하나 이상의 이벤트 유형을 선택해야 합니다. |
| XPath 조회 | Centrify 감사 이벤트만 전달하려면 XPath 필터를 지정해야 합니다. 조회는 XML 형식이며 Microsoft 이벤트 뷰어의 사용자 정의 보기 특성을 사용하여 작성할 수 있습니다. XPath 조회 작성에 대한 자세한 정보를 보려면 IBM 지원 센터 웹 사이트 (https://www.ibm.com/support/knowledgecenter/SS42VS_7.3.0/com.ibm.wincollect.doc/t_ug_wincollect_creating_customview.html) 의 사용자 정의 보기 문서 작성 으로 이동하십시오. 중요: 사용자 정의 보기를 작성할 때 소스별 옵션이 선택되어 있는지 확인하십시오. 이벤트 소스 목록에서 Centrify 감사 이벤트의 애플리케이션 이름을 선택하십시오.
예제 XPath 조회: |
| Active Directory 검색 사용 | 선택란을 선택하지 마십시오. |
| WinCollect에이전트 | 목록에서 WinCollect 에이전트를 선택하십시오. |
| 대상 내부 목적지 | 이벤트 프로세서 구성요소가 있는 관리 호스트를 내부 대상으로 사용하십시오. |
WinCollect 로그 소스 매개변수에 대한 자세한 정보를 보려면 IBM 지원 센터 웹 사이트 (https://www.ibm.com/support/knowledgecenter/en/SS42VS_SHR/com.ibm.wincollect.doc/r_ug_wincollect_comon_parameters.html) 의 공통 WinCollect 로그 소스 매개변수 문서 로 이동하십시오.