WinCollect planejamento de implementação

Trabalhe com seu grupo de TI do Windows e com o grupo QRadar® para responder às perguntas a seguir para planejar sua implementação do WinCollect

De quais terminais do Windows eu preciso coletar dados?

  • O que é o sistema operacional Windows?
  • Esses são servidores de “alto valor”. Os servidores de alto valor geram normalmente Events per Second (EPS) altos e têm uma importância maior (como Controladores de domínio ou Servidores da web).
  • Você tem permissão para instalar um Agente WinCollect neste terminal?
  • Esse terminal requererá mais mudanças na configuração?
    • Os dispositivos de Ponto de Venda (POS) são normalmente EPS baixos e raramente requerem atualizações.
    • Um Domain Controller pode requerer mudanças frequentes na configuração (por exemplo, modificar o filtro de eventos para configurar quais IDs de evento são coletados).
Importante: WinCollect não é suportado em versões do Windows que foram movidas para o Fim de Vida pela Microsoft. Quando o software ultrapassa a Data de encerramento do suporte estendido, o produto pode ainda funcionar conforme o esperado. No entanto, o IBM®® não fará correções de código ou vulnerabilidade para resolver problemas do WinCollect para sistemas operacionais mais antigos.

Onde esses terminais estão localizados?

  • Os terminais são todos na mesma região ou eles são distribuídos nas geografias?
  • Eles estão no mesmo domínio, domínios-filhos ou fora da rede?
  • Qual é a linha de visão deles?
    • A qual Console, Event Collector ou Event Processor os terminais têm visibilidade?

Quais dados eu preciso coletar?

  • Quais logs de Eventos você precisa coletar? Além dos logs padrão do Windows (Aplicativo, Sistema, Segurança), você precisa de dados de aplicativos e logs de serviços como Powershell ou Sysmon? Os logs de aplicativo e de serviços são coletados fornecendo um XPath para o agente WinCollect
    • Consultas XPath são expressões XML estruturadas usadas para recuperar eventos customizados do log de eventos do Windows.
  • Além dos logs de eventos, identifique qualquer um dos logs a seguir que talvez você deseje coletar:
    • IIS
    • IAS
    • ISA
    • DHCP
    • Depuração de DNS
    • Exchange
    • NetApp
    • Juniper SBR
    • Encaminhador de Arquivos (encaminhador de arquivos de log genérico)
    Dica: esses registros podem ser coletadas por um Agente local ou um Agente Remoto

Quanto meus EPS aumentarão?

  • Quantos EPS meus terminais gerarão?
  • Quantos Event Processors ou Collectors serão necessários para manipular esses EPS?
    • Para quantos eventos por segundo (EPS) você está licenciado?
    • Para quantos EPS os Event Processors ou Collectors são classificados?
  • O que são os EPS Médio e de Pico gerados pelos meus terminais?
    • É importante estimar os EPS de Pico para os terminais. O Event Collector pode manipular 40.000 EPS, mas quando os funcionários efetuam login às 8h, esses EPS aumentam para 80.000? Se sim, por quanto tempo? Seus dispositivos QRadar podem manipular esses picos ou você precisa distribuir o carregamento em 1 ou mais Coletores de Eventos?
Dica: uma opção para controlar o EPS é regular os agentes para um determinado EPS, portanto, o Agente envia apenas um número específico de eventos, independentemente do que ele coleta... Nesse caso, o Agente armazena em buffer os eventos extras no disco até que a taxa de EPS diminua. Fazer isso limita o total de EPS que pode ser enviado para o Event Collector em qualquer momento específico. Se você selecionar essa opção, será necessário entender as taxas de EPS que os diferentes terminais geram. Por exemplo, você não desejaria regular um Domain Controller para 2 EPS, pois esse servidor poderia enviar a uma taxa de 5 - 10 EPS. Então, o Agente sempre estaria atrás.
A tabela a seguir fornece estimativas sobre o volume de EPS que um terminal pode gerar. Estas taxas variam dependndo de vários fatores:
  • Quantos terminais estão se comunicando com o servidor (Domain Controller)
  • Nível de Criação de log de auditoria configurado
  • Aplicativos que estão instalados e gerando eventos
Tabela 1. Taxas de EPS típicas para terminais
Tipo de terminal Média de EPS EPS de Pico
Desktops & Laptops de terminais de funcionários 0.005 0.05
Servidor de Domínio do Windows 5 - 10 350
Servidores da Web (IIS, Apache) 5 - 10 350
Servidor DNS do Windows 0.5 5
Servidor de banco de dados 0.5 22
Dica: é melhor obter uma amostra do EPS que seus endpoints estão gerando.

Eu instalo uma configuração gerenciada ou independente?

É possível instalar agentes do WinCollect em um ambiente gerenciado pelo QRadar, como um agente independente ou uma combinação de ambos.

gerenciado

O agente do WinCollect é gerenciado pelo QRadar Atualizações de código e mudanças na configuração são fornecidas pelo console do QRadar para o agente instalado no terminal do Windows. Essa opção requer comunicação TCP sobre a porta 8413 entre o terminal Windows e o QRadar. Os clientes gerenciam quais dados o agente coletará incluindo origens de logs no QRadar Console.

O agente também requer acesso à porta 514 UDP ou TCP para enviar os dados syslog para QRadar. Em implementações menores que não excedem as limitações gerenciadas, os clientes geralmente escolhem a instalação gerenciada para manter o controle das mudanças de código e de configuração do WinCollect .

Limitações atuais do QRadar gerenciado
Se você desejar gerenciar seus agentes do WinCollect e origens de log associadas usando QRadar, o limite recomendado será de 500 agentes por console / host gerenciado. Por exemplo, para instalar o WinCollect em 1.200 terminais no modo gerenciado, divida os terminais entre o Console e os Coletores / Processadores de Eventos
  • 200 terminais - Console
  • 500 terminais - Event Processor/Collector 1
  • 500 terminais - Event Processor/Collector 2

Independente

Em uma instalação independente, o agente WinCollect não é gerenciado pelo QRadar.. A única comunicação que o agente tem com o QRadar é via TCP/UDP sobre a porta 514. Para fazer upgrade desses agentes, é necessário reinstalar o agente ou usar o instalador de correção para atualizar o código. Atualmente, o instalador de correção é uma instalação separada fornecida pelo IBM que inclui atualizações de códigos e o WinCollect Console de configuração

Para fazer mudanças na configuração, é necessário instalar a ferramenta da GUI do WinCollect Configuration Console ou fazer mudanças diretamente na configuração dos agentes. Para grandes implementações, os clientes geralmente escolhem instalações independentes, para que possam controlar a instalação e a configuração usando o BigFix ou o Microsoft System Center Configuration Manager.

As mudanças na configuração podem ser feitas usando modelos que permitirão que você faça mudanças no Agent-Config.xml sem editar o diretório de arquivo. Para obter mais informações, consulte https://www.ibm.com/community/qradar/2019/03/14/wincollect-7-2-8-stand-alone-change-configuration-with-templates/..

Nota: a GUI do WinCollect Configuration Console requer .NET 3.5.

Como eu desejo coletar os eventos?

Coleta local

Máximo de EPS suportado: 5.000 EPS

O agente WinCollect é instalado no terminal em uma configuração gerenciada ou independente e coleta logs de eventos do Windows do terminal local. É possível usar esse método de coleção em hosts Windows que estão ocupados ou têm recursos limitados, como controladores de domínio. Os controladores de domínio geralmente têm uma taxa de eventos por segundo (EPS) maior do que os servidores de membros.

Também é possível usar a coleta local quando não deseja se preocupar sobre o gerenciamento de credenciais e a inclusão ou subtração de terminais à medida que ficam são on-line. Você deve instalar agentes nos endpoints à medida que eles são adicionados à rede, seja manualmente ou usando uma solução BigFix ou o Microsoft System Center Configuration Manager (SCCM). O agente também pode ser incluído em uma imagem base para que um agente esteja ativo e em execução quando um novo terminal for implementado.
Nota: Quando os agentes WinCollect coletam eventos do host local, o serviço de coleção de eventos usa as credenciais da conta do sistema local para coletar e encaminhar eventos...

Coleta Remota

Máximo de EPS suportado: 2.500 eventos no total, em 500 terminais remotos

O agente WinCollect é instalado no terminal em uma configuração gerenciada ou independente e coleta logs de eventos do Windows do terminal local e um ou mais terminais remotos. Para a coleta remota, deve-se fornecer credenciais de login para um usuário com acesso ao log de eventos remoto. Os agentes do WinCollect que pesquisam remotamente outros sistemas de terminais Windows requerem acesso às portas remotas a seguir:
Tabela 2. Portas usadas para coleta remota
Porta Protocolo Uso
135 TCP Microsoft Endpoint Mapper
137 UDP Serviço de nome NetBIOS
138 UDP Serviço de datagrama NetBIOS
139 TCP Serviço de sessão NetBIOS
445 TCP Microsoft Directory Services para transferências de arquivos que usam compartilhamento do Windows
49152-65535 TCP Intervalo de porta dinâmica padrão para TCP/IP
Dica: Alguns servidores Windows podem ter um intervalo dinâmico padrão diferente configurado para TCP.. Para verificar o intervalo padrão em seu servidor, use o comando a seguir:
netsh int ipv4 show dynamicport tcp
Nota: O protocolo MSEVEN usa a porta 445. É possível usar as portas NETBIOS (137 a 139) para resolução de nome do host. Quando o agente WinCollect pesquisa um log de eventos remoto usando MSEVEN6, a comunicação inicial com o computador remoto ocorrerá na porta 135 (mapeador de porta dinâmica), que designa a conexão a uma porta dinâmica. O intervalo de portas padrão para portas dinâmicas é entre a porta 49152 e a porta 65535. Para permitir o tráfego nessas portas dinâmicas, ative e permita as duas regras de entrada a seguir no Windows Server que está sendo pesquisado:
  • Remote Event Log Management (RPC)
  • Remote Event Log Management (RPC-EPMAP)
O protocolo MSEVEN6 expõe os métodos RPC para ler eventos em logs de eventos em tempo real e de backup em computadores remotos. Este protocolo foi originalmente disponibilizado para o Windows Vista e substitui o protocolo MSEVEN.
Considerações de ajuste quando pesquisa remota
Para obter informações sobre como ajustar perfis para pesquisa remota, consulte Taxas de eventos de origem de log e perfis de ajuste.

Windows Event Forwarding (WEF)

O agente WinCollect pode usar a função integrada Microsoft Windows Event Forwarding (WEF). O WEF lê qualquer log de eventos operacional (isto é, segurança) ou administrativo (isto é, Sysmon) em um dispositivo em sua organização e encaminha os eventos que você escolher para um servidor Windows Event Collector (WEC). É possível instalar o agente WinCollect no WEC Server e coletar do log de eventos encaminhado. Antes de enviar esses eventos encaminhados para o QRadar, o agente os empacota de maneira que apareçam como eles estão vindo diretamente de cada um dos terminais. QRadar cria automaticamente origens de log para cada terminal que está enviando logs para o servidor Windows Event Collector (WEC).
Dica: No WinCollect V7.2.9 e posterior, é possível especificar todos os eventos a serem enviados para uma única origem de log.
Destaques do WEF:
  • Os eventos podem ser enviados por push ou puxados do Servidor WEC
  • Pode ser configurado via GPO
  • Usa o Gerenciamento Remoto do Windows (Kerberos) para evitar o homem no meio
  • Recomendado para destinar alguns logs de eventos e IDs de evento (usar Xpath)
  • Os eventos são coletados em um arquivo de log de eventos central (arquivo EVTX) que o WinCollect pode pesquisar
Para obter mais informações sobre o Windows Event Forwarding, consulte: