Instalando um agente do WinCollect a partir do prompt de comandos

Para instalações não assistidas, é possível instalar o agente do WinCollect a partir do prompt de comandos Use a opção de instalação silenciosa para implementar agentes do WinCollect simultaneamente em diversos sistemas remotos

Sobre esta tarefa

O instalador do WinCollect usa as seguintes opções de comando:

Tabela 1. Opções de instalação silenciosa para agentes WinCollect
Opção	As entradas válidas e descrição
/qn	Executa a instalação do agente do WinCollect no modo silencioso
INSTALLDIR	O local de instalação para o WinCollect Se o diretório de instalação contiver espaços, inclua uma barra invertida antes das aspas. Exemplo: `INSTALLDIR=\"C:\Program Files\IBM\WinCollect\"`
AUTHTOKEN=token	Somente para agentes gerenciados do WinCollect Usa o Token de autorização configurado anteriormente do QRadar® para autorizar o agente gerenciado. Exemplo: `AUTH_TOKEN=af111ff6-4f30-11eb-11fb-1fc1 17711111`
FULLCONSOLEADDRESS=endereço_host	O endereço IP, o nome do host ou o FQDN do QRadar Console, Processador de eventos ou Coletor de eventos que gerencia o agente. Exemplos: `FULLCONSOLEADDRESS=192.0.2.0` `FULLCONSOLEADDRESS=EPqradar` `FULLCONSOLEADDRESS=EPqradar.myhost.com`
HOSTNAME=nome do host	O campo Nome do Host é usado para designar um nome para o agente WinCollect Os valores que são usados neste campo podem ser um nome pessoal, um nome do host ou um endereço IP. Na maioria dos casos, os administradores podem utilizar HOSTNAME=%COMPUTERNAME% para preencher automaticamente esse campo. Exemplo: HOSTNAME= "windows-%computername%" HOSTNAME=WindowsSrv1 HOSTNAME= %COMPUTERNAME% O endereço IP ou nome do host do agente WinCollect não pode conter o sinal "arroba", @.
SERVIDOR DE STATUSSER	Um destino alternativo para o qual enviar mensagens de status WinCollect , como a pulsação, se necessário. Configure o valor para um endereço IP para enviar mensagens de status para qualquer console do QRadar ou qualquer processador de evento ou Coletor de eventos em sua implementação. Configure o valor para que o `Disabled` envie apenas uma pulsação sem mensagens de status. Configure o valor para `None` se você não quiser enviar uma pulsação ou mensagens de status.
LOG_SOURCE_AUTO_CREATION_ENABLED	Obrigatório, `True` ou `False` Se você ativar essa opção, deve-se configurar os parâmetros de origem de log. Os sistemas QRadar devem ser atualizados para V7.2.1 Correção 1 ou posterior.
PARÂMETROS LOG_SOURCE_AUTO_CREATION_	Assegure-se de que cada parâmetro use o formato: `Parameter_Name=value`. Os parâmetros são separados por e comercial, &. Seu sistema QRadar deve ser atualizado para V7.2.1 Correção 1 ou posterior.
LOG_MONITOR_SOCKET_TYPE=TCP	Este parâmetro configura o protocolo usado por mensagens de pulsação e status a serem enviadas usando o TCP. O protocolo padrão é UDP. Nota: essa opção está disponível apenas em implementações WinCollect independentes. A disponibilidade para agentes gerenciados é planejada em uma liberação posterior do QRadar.
Component1.Action	`create` Cria uma nova origem de log de eventos do Windows durante a instalação.
Component1.LogSourceIdentifier	O endereço IP ou o nome do host do sistema no qual o agente está instalado.
Component1.Destination.Name	O nome do destino é um valor alfanumérico que é usado para especificar onde uma origem de log WinCollect envia dados do evento. Esse valor deve ser um dispositivo QRadar capaz de receber dados do evento, como um Processador de Eventos, Coletor de Eventos ou QRadar Console. Importante: em implementações gerenciadas, o destino deve ser um "destino interno" e o nome deve existir na interface com o usuário QRadar antes da instalação. Caso contrário, os parâmetros de configuração da origem de log serão descartados e nenhuma origem de log será criada automaticamente. Destino Interno Hosts gerenciados com um componente do processador de eventos Destino Externo O destino configurado como o destino do WinCollect e que o Console não conhece como um Host gerenciado
Component1.Dest.Hostname (Independente apenas) implementações	O endereço IP ou nome do host para o qual você envia eventos WinCollect .
Component1.Dest.Port (Independente apenas) implementações	A porta que o WinCollect usa ao se comunicar com o destino.
Component1.Dest.Protocol (Independente apenas) implementações	`TCP` ou `UDP`
Component1.Dest.MaxPayloadSize (Independente apenas) implementações	Tamanho máximo da carga útil enviada para o destino (os valores padrão são 1020 UDP e 32000 TCP).
Component1.Log.Security	Obrigatório, `True` ou `False` O log de Segurança do Windows contém eventos definidos nas políticas de auditoria para o objeto.
Component1.Log.System	Obrigatório, `True` ou `False` Os logs do Sistema do Windows podem conter informações sobre mudanças de dispositivo, drivers de dispositivo, mudanças do sistema, eventos e operações fornecidas pelo sistema operacional
Component1.Log.Application	Obrigatório, `True` ou `False` Os logs do Windows Application contêm eventos que são acionados por aplicativos de software em vez do sistema operacional.. Os logs podem conter erros, informações e eventos de aviso.
Component1.Log.DNS+Server	Obrigatório, `True` ou `False` O log do Windows DNS Server contém eventos DNS.
Component1.Log.File+Replication+Service	Obrigatório, `True` ou `False` O log do Windows File Replication Service contém eventos sobre arquivos alterados que são replicados no sistema.
Component1.Log.Directory+Service	Obrigatório, `True` ou `False` O log do Windows Directory Service contém eventos que são gravados pelo Active Directory.
Component1.RemoteMachinePollInterval	O intervalo de pesquisa que determina o número de milissegundos entre as consultas no host do Windows. O intervalo mínimo de pesquisa é de 300 milissegundos. O padrão é de 3000 milissegundos ou 3 segundos.
Component1.EventRateTuningProfile (somente implementações gerenciadas)	Selecione um dos seguintes perfis de ajuste: Padrão + (terminal) Típico + Server Eventos + + Taxa Alta + Server Para obter mais informações, consulte IBM® IBM ® (http://www-01.ibm.com/support/docview.wss?uid=swg21672193).
Component1.MaxLogsToProcessPerPass (Independente apenas) implementações	Não necessário. O número máximo de logs (em formato binário) que o algoritmo tenta adquirir em uma passagem, quando eventos recuperáveis restantes existem. Exemplo: `Component1.MaxLogsToProcessPerPass=400` Importante: use esse parâmetro para melhorar o desempenho para a coleção de eventos; no entanto, esse parâmetro também pode aumentar o uso do processador.... Para obter mais informações, consulte IBM IBM (http://www-01.ibm.com/support/docview.wss?uid=swg21672193).
Component1.MinLogsToProcessPerPass (Independente apenas) implementações	Não necessário. O número mínimo de logs (em formato binário) que o algoritmo tenta ler em uma passagem, quando eventos recuperáveis restantes existem. Exemplo: `Component1.MinLogsToProcessPerPass=200` Importante: É possível usar esse parâmetro para melhorar o desempenho da coleção de eventos, mas esse parâmetro também pode aumentar o uso do processador. Para obter mais informações, consulte IBM IBM (http://www-01.ibm.com/support/docview.wss?uid=swg21672193).
Component1.CoalesceEvents	Não necessário. Aumenta a contagem de eventos QRadar quando o mesmo evento ocorre várias vezes em um intervalo de tempo curto. Os eventos unidos fornecem uma maneira de visualizar e determinar a frequência com que um tipo de evento único ocorre na guia Atividade de log. Quando essa opção é desativada, os eventos são visualizados individualmente e não são empacotados. As origens de log novas e descobertas automaticamente herdam o valor da definição de Configurações do Sistema no Console.
Component1.StoreEventPayload	Não necessário. Especifica que as cargas úteis do evento do QRadar devem ser armazenadas
Component1.Secondary	Não necessário. Especifica o endereço IP ou o Hostname do destino secundário para o qual o Agente envia eventos se o destino principal estiver inacessível e o tempo de failover tiver decorrido.
Component1.Failover	Não necessário. Especifica o tempo de failover em segundos. Se o destino principal não puder ser alcançado, o Agente inicia o envio de eventos para o destino secundário.

Atenção: É necessário executar o prompt de comandos como um usuário administrativo

Procedimento

Faça download do arquivo de configuração do agente WinCollect a partir do website da IBM (www.ibm.com/support).
No host do Windows, abra um prompt de comandos usando Executar como Administrador.

Importante: em implementações gerenciadas, o nome de destino que é usado durante a criação automática de origem de log deve existir antes que a instalação da linha de comandos seja executada Verifique o nome do destino na interface com o usuário QRadar antes de iniciar a instalação.

Digite o seguinte comando:

wincollect-<Version_number>.x64.exe /s /v" /qn 
INSTALLDIR=<”C:\IBM\WinCollect"> 
AUTHTOKEN=<token> FULLCONSOLEADDRESS=<host_address> 
HOSTNAME=<hostname> LOG_SOURCE_AUTO_CREATION=<true|false> 
LOG_SOURCE_AUTO_CREATION_PARAMETERS=<”parameters”””>

O exemplo a seguir mostra uma instalação silenciosa para um agente WinCollect independente.

Importante: Este exemplo contém quebras de linha para formatação.. O comando real é uma única linha.

wincollect-<version_number>.x86.exe /s /v"/qn INSTALLDIR=\"C:\Program Files
\IBM\WinCollect\" HEARTBEAT_INTERVAL=6000 LOG_SOURCE_AUTO_CREATION_ENABLED=
True LOG_SOURCE_AUTO_CREATION_PARAMETERS=""Component1.AgentDevice=
DeviceWindowsLog&Component1.Action=create&Component1.LogSourceName=
%COMPUTERNAME%-1&Component1.LogSourceIdentifier=
<ip_address>&Component1.Dest.Name=QRadar&Component1
.Dest.Hostname=<ip_address>&Component1.Dest.Port=
514&Component1.Dest.Protocol=TCP&Component1.Log.Security=true&Component1
.Log.System=true&Component1.Log.Application=true
&Component1.Log.DNS+Server=false&Component1.Log.File+Replication+
Service=false&Component1.Log.Directory+Service=false&Component1.
RemoteMachinePollInterval=3000&Component1.EventRateTuningProfile=High+
Event+Rate+Server&Component1.MinLogs
ToProcessPerPass=1250&Component1.MaxLogsToProcessPerPass=1875"""

O exemplo a seguir mostra uma instalação silenciosa para um agente gerenciado do WinCollect

Importante: Este exemplo contém quebras de linha para formatação.. O comando real é uma única linha.

 wincollect-<version_number>.x86.exe /s /v"/qn INSTALLDIR=\"C:\Program Files
\IBM\WinCollect\" AUTHTOKEN=1111111-aaaa-1111-aaaa-11111111
FULLCONSOLEADDRESS=<ip_address:port> HOSTNAME=%COMPUTERNAME%
 LOG_SOURCE_AUTO_CREATION_ENABLED=True LOG_SOURCE_AUTO_CREATION_PARAMETERS
=""Component1.AgentDevice=DeviceWindowsLog&Component1.Action=create
&Component1.LogSourceName=%COMPUTERNAME%&Component1.LogSourceIdentifier=
%COMPUTERNAME%&Component1.Log.Security=true&Component1.Log.System=false
&Component1.Log.Application=false&Component1.Log.DNS+Server=false
&Component1.Log.File+Replication+Service=false&Component1.Log.
Directory+Service=false&Component1.Destination.Name=Local&
Component1.RemoteMachinePollInterval=3000&Component1.EventRate
TuningProfile=High+Event+Rate+Server"""

Pressione Enter.