O arquivo de estatísticas WinCollect 10

Todo agente tem um arquivo de estatísticas que pode ser usado para ver os eventos que o agente processou durante um tempo. O arquivo de estatísticas é armazenado no diretório /logs no qual o agente está instalado.

É possível abrir o arquivo de estatísticas em qualquer editor de texto. O arquivo é semelhante ao exemplo a seguir:

From 20210915.130000 to 20210915.140000
Destination//QRadar: 3.5/162,6,4,3,6,31,4,3,3,3,26,3,3,3,6,30,3,4,3,3,32,3,4,4,7,2.4/116,3,3,3,3,25,4,3,3,6,31,4,3,3,3,23,3,3,3,10,48,9,10,4,12,31,12,3,3,6,19,12,3,3,4
Source//Local//Application: 0,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
Source//Local//DNS Debug: 162,,,,,6,,,,,2,,,,,4,,,,,6,,,,,116,,,,,2,,,,,8,,,,,2,,,,,28,,,,,12,,,,,4,,,,
Source//Local//Security: 27,5,4,3,6,24,3,3,3,3,24,3,3,3,6,26,3,4,3,3,26,3,4,3,6,21,3,3,3,3,23,4,3,3,6,23,4,3,3,3,21,3,3,3,10,20,9,6,4,12,15,12,3,3,6,15,12,3,3,4
Source//Local//XPath Sysmon Powershell: 3,1,,,,1,,,,,,,,,,,,,,,,,,,1,2,,,,,,,,,,,,,,,,,,,,,,2,,,4,,,,,,,,,
StatusServer//10.10.218.221: 0,,,,1,,,,,1,,,,,1,,,,,1,,,1,,1,,,1,,1,,,,1,1,,,,,1,,,,1,1,1,,,,1,,,,,1,,,,,1
UserData//EvtsOnDisk: 0,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,

Tabela 1. Como ler o arquivo de estatísticas
Valor	Descrição
`From 20210915.130000 to 20210915.140000`	O arquivo de estatísticas é atualizado a cada minuto e cria uma nova seção a cada hora. Neste exemplo, os dados são de 15 de setembro de 2021, das 13h as 14h.
`Destination//QRadar: 3.5/162,6,4,3,6,31,4,3,3, 3,26,3,3,3,6,30,3,4,3,3,32,3,4,4,7,2.4/116,3, 3,3,3,25,4,3,3,6,31,4,3,3,3,23,3,3,3,10,48,9, 10,4,12,31,12,3,3,6,19,12,3,3,4`	Esta linha contém uma entrada para cada destino para o qual você está enviando logs. Neste exemplo, você tem um destino que é denominado de QRadar. Os Eventos por Minuto (EPM) são registrados a cada minuto. Portanto, esta linha separada por vírgula contém 60 entradas. As entradas mais atuais são os valores na extrema direita. Números no formato X/Y representam o EPS médio e mais alto visto para aquele minuto. Por exemplo, `3.5/162` significa que a média de EPS foi de 3,5 e que a maioria dos eventos que são processados durante 1 segundo naquele minuto era de 162.
`Source//Local//Application: 0,,,,,,,,,,,,,,,, ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,`	Esta é uma fonte que é denominada Aplicação, no grupo Local. Esta é a fonte que está coletando eventos do canal de eventos de Aplicativo local.
`Source//Local//DNS Debug: 162,,,,,6,,,,,2,,,,, 4,,,,,6,,,,,116,,,,,2,,,,,8,,,,,2,,,,,28,,,,, 12,,,,,4,,,,`	Esta é uma fonte que é denominada DNS Debug no grupo Local. Esta fonte está coletando logs do DNS Debug na máquina local.
`Source//Local//Security: 27,5,4,3,6,24,3,3,3, 3,24,3,3,3,6,26,3,4,3,3,26,3,4,3,6,21,3,3,3,3, 23,4,3,3,6,23,4,3,3,3,21,3,3,3,10,20,9,6,4,12, 15,12,3,3,6,15,12,3,3,4`	Esta é uma fonte que é denominada Segurança, no Grupo Local. Esta é a fonte que está coletando eventos do canal de eventos de Segurança local. Como esperado, esta é a fonte mais movimentada. O canal de segurança normalmente gera o maior tráfego nos logs de eventos padrão.
`Source//Local//XPath Sysmon Powershell: 3,1,,,,1,,,,,,,,,,,,,,,,,,,1,2,,,,,,,,,,,,,,, ,,,,,,,2,,,4,,,,,,,,,`	Esta é uma fonte que é denominada XPath Sysmon Powershell, no grupo Local. Esta é a fonte que está coletando eventos dos aplicativos e logs de eventos de serviços do Sysmon e PowerShell.
`StatusServer//10.10.218.221: 0,,,,1,,,,,1,,,,, 1,,,,,1,,,1,,1,,,1,,1,,,,1,1,,,,,1,,,,1,1,1,,, ,1,,,,,1,,,,,1`	É aqui que as mensagens de status são enviadas e inclui mensagens de pulsação e quaisquer mensagens de parada ou início de serviço ou de erros do Agente. Em geral, elas têm uma contagem de EPS muito baixa (uma mensagem a cada 5 minutos).
`UserData//EvtsOnDisk: 0,,,,,,,,,,,,,,,,,,,,,,, ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,`	Isso mostra se os eventos estão sendo armazenados no disco. Por exemplo, o agente não pode se comunicar com seu QRadar e, assim, armazena os eventos em disco até que ele possa abrir a comunicação.