Incluindo origens de log em massa para a coleção remota

É possível incluir diversas origens de log de uma vez em massa no IBM® QRadar® As origens de log devem compartilhar um protocolo de configuração comum e estar associadas ao mesmo agente WinCollect .

É possível fazer upload de um arquivo de texto que contenha uma lista de endereços IP ou de nomes de host, executar uma consulta com relação a um controlador de domínio para obter uma lista de hosts ou inserir manualmente uma lista de endereços IP ou de nomes de host digitando-os um de cada vez.

Dependendo do número de origens de log do WinCollect que você inclui por vez, pode levar algum tempo para o agente WinCollect acessar e coletar todos os eventos do Windows da lista de origens de log.

Antes de iniciar

Assegure-se de que você tenha criado destinos para que os agentes WinCollect possam enviar eventos do Windows para dispositivos QRadar . Assegure-se de ter criado um destino para cada dispositivo QRadar Coletor de Eventos 16xx ou 18xx .

Planeje sua estratégia de coleção em massa com a ferramenta de Relatório de log de eventos WinCollect . Para obter mais informações, consulte GitHub (https://github.com/ibm-security-intelligence/wincollect).

Sobre esta tarefa

É possível ter no máximo 500 origens de log para cada agente WinCollect gerenciado. Você também deve permanecer abaixo de 5.000 EPS para coleção local e 2.500 EPS para pesquisa remota no Agente WinCollect . É possível revisar o Event Viewer nos sistemas Windows para determinar quantos EPS são gerados em cada hora.. Divida esse valor por 3600 segundos para obter a taxa de EPS. Esse cálculo ajuda a planejar quantos agentes precisam ser instalados. Como alternativa, consulte os eventos durante um período de 24 horas para ver o quão ocupado cada servidor Windows está.. Isso ajuda a determinar como ajustar os agentes e evitar taxas mínimas e máximas de EPS que são exibidas apenas ao revisar de hora em hora.

Procedimento

  1. No menu de navegação da guia Administrador , clique em Origens de Dadose, então, clique no ícone WinCollect .
  2. Selecione o agente WinCollect ao qual deseja designar origens de log e clique em Origens de log.
  3. Clique em Ações em Massa > Incluir em Massa.
  4. Forneça um nome para a origem de log em massa. Para facilitar a localização, especifique o nome como o agente do WinCollect que faz a coleta remota
  5. Na caixa Lista de tipos de origem de log , selecione Microsoft Windows Log de eventos de segurança.
  6. Na caixa Lista de configurações de protocolo.. , selecione WinCollect.
  7. Use o valor de ajuste especificado pela ferramenta WinCollect Event Log Report para ajustar suas origens de log apropriadamente.
  8. Marque todas as caixas de seleção Tipos de log padrão O agente WinCollect lê e encaminha esses logs remotos para o QRadar.
    Importante: não marque a caixa de seleção Eventos encaminhados . Os Eventos encaminhados são um caso de uso especial. A seleção dessa opção não inclui múltiplas origens de log corretamente.
  9. Selecione todas as caixas de seleção Tipos de Eventos .
  10. Selecione a caixa de seleção Ativar Active Directory Consultas . Essa opção identifica nomes de usuário em eventos do Windows que aparecem como um hexadecimal e os resolve para nomes de usuário legíveis.
  11. Na lista WinCollect Agent , selecione o host Windows que gerencia a origem de log.
  12. Na lista Destino Interno de Destino , selecione o dispositivo QRadar que recebe e processa os eventos do Windows.
  13. Inclua os endereços IP para os sistemas operacionais Windows que você deseja pesquisar remotamente para eventos.

    É possível fazer upload de um arquivo de texto que contenha uma lista de endereços IP ou de nomes de host, executar uma consulta com relação a um controlador de domínio para obter uma lista de hosts ou inserir manualmente uma lista de endereços IP ou de nomes de host digitando-os um de cada vez.

    Dependendo do número de origens de log do WinCollect que você inclui por vez, pode levar algum tempo para o agente WinCollect acessar e coletar todos os eventos do Windows da lista de origens de log.

  14. Clique em Salvar e, em seguida, clique em Continuar

O que fazer a seguir

Aguarde o envio por push das configurações para os agentes remotos. Verifique se os eventos são recebidos na guia Atividade de log.