Opções de configuração de log da Microsoft ISA

Use as informações de referência para configurar o plug-in WinCollect para Microsoft ISA.

Versões suportadas do Microsoft ISA

O plug-in do Microsoft ISA para WinCollect suporta as versões de software a seguir:

Microsoft ISA Server 2006
Microsoft Forefront Threat Management Gateway 2010

Formatos de log do servidor Microsoft ISA ou da TMG

As instalações Microsoft ISA e Forefront Threat Management Gateway criam logs de firewall individuais e de proxy web em um diretório de log comum. Para coletar esses eventos com o WinCollect, é necessário configurar o Microsoft ISA ou o Microsoft Time Management Gateway para gravar logs de eventos em um diretório de logs.

Restrição: Os eventos que são registrados em um banco de dados Microsoft SQL Server não são suportados pelo WinCollect.

WinCollect suporta os seguintes formatos de log de eventos:

Logs do proxy da web em formato WC3 (w3c_web)
Logs de serviço de firewall da Microsoft em formato WC3 (w3c_fws)
Logs de proxy da web em formato IIS (iis_web)
Logs de serviço de firewall Microsoft no formato IIS (iis_fws)

O formato de evento W3C é o formato de log de eventos preferencial. O formato W3C contém um título padrão com as informações de versão e todos os campos que são esperados na carga útil do evento. É possível customizar o formato de evento W3C para o log de serviço firewall e o log de proxy da web para incluir ou excluir campos dos logs de eventos.

A maioria dos administradores pode usar os campos de formato W3C padrão. Quando o formato W3C é customizado, os campos a seguir são necessários para categorizar adequadamente os eventos:

Tabela 1. Formato W3C campos obrigatórios
Campo obrigatório	Descrição
IP do Cliente (c-ip)	O endereço IP de origem.
Ação	A ação que é executada pelo firewall.
IP de destino (r-ip)	O endereço IP de destino.
Protocol (cs-protocol)	O nome do protocolo de aplicativo, por exemplo, HTTP ou FTP.
O nome do usuário do cliente (cs-username)	A conta do usuário que fez a solicitação de dados do serviço de firewall.
O nome do usuário do cliente (username)	A conta do usuário que fez a solicitação de dados do serviço proxy da web.

Estrutura de diretórios do Microsoft ISA para a coleta de eventos

Os logs de eventos que são monitorados pelo WinCollect são definidos pelo diretório raiz configurado em sua origem de log.

Quando você especifica um diretório de log raiz, o WinCollect avalia a pasta de diretórios e procura recursivamente as subpastas para determinar quando novos eventos são gravados no log de eventos Por padrão, o plug-in WinCollect para Microsoft ISA pesquisa o diretório de log raiz para logs de eventos atualizados a cada 5 segundos.

Tabela 2. Estrutura de diretórios padrão do log do evento para o Microsoft ISA
Versão	Diretório de log raiz
Microsoft ISA 2006	`%systemroot%\LogFiles\IAS\`
Gateway de gerenciamento de ameaças da Microsoft	`<Program Files>\<Forefront Directory>\ISALogs\`

Parâmetros de protocolo Microsoft ISA

Tabela 3. Parâmetros de protocolo Microsoft ISA
Parâmetro	Descrição
Tipo de origem de log	Microsoft ISA
Configuração de protocolo	WinCollect Microsoft ISA / Forefront TMG
Sistema local	Para coletar eventos locais, o agente WinCollect deve ser instalado no mesmo servidor Microsoft ISA ou Forefront TMG. A origem de log usa as credenciais do sistema local para coletar e encaminhar eventos para o QRadar.
Diretório-raiz	Ao especificar um caminho de arquivo remoto, use um símbolo de dólar, $, em vez de dois pontos, :, para representar o nome da unidade. Microsoft ISA 2006 Para um caminho de diretório local, use %systemroot%\LogFiles\ISA\ Para um caminho de diretório remoto, use \<`ISA server IP`>\%systemroot%\LogFiles\ISA\ Gateway de gerenciamento de ameaças da Microsoft Para um caminho de diretório local, use <`Arquivos de programa`>\<`Diretório do Forefront`>\ISALogs\ Para um caminho de diretório remoto, use \\<`IP do servidor ISA`>\<`Arquivos de programa`>\<`Diretório do Forefront`>\ISALogs\
Política de Monitor de Arquivos	A opção Notificação baseada em Notificação (local) usa as notificações do sistema de arquivos do Windows para detectar alterações em seu log de eventos. A opção Baseado em pesquisa (remoto) monitora mudanças em diretórios e arquivos remotos. O agente pesquisa o log de eventos remoto e compara o arquivo com o último intervalo de pesquisa. Se o log de eventos contiver novos eventos, será recuperado.
Intervalo de Pesquisa	A quantidade de tempo entre as consultas de novos eventos no diretório do log raiz.