Opções de configuração de origem do log da Microsoft

Use as informações de referência para configurar o plug-in WinCollect para Microsoft IAS.

Tabela 1. Versões suportadas do Windows e formatos de log
Microsoft IAS	Versões Suportadas
Suporte do Microsoft Windows	Windows Server 2019 Windows Server 2016 Windows Server 2012 R2
Formatos de log do servidor de log do NPS ®	Serviço de Transformação de Dados Open Database Connectivity Internet Authentication Service

Importante: WinCollect não suporta eventos registrados em um Microsoft SQL Server.

Estrutura de diretórios do Microsoft IAS para a coleta de eventos

Os logs de eventos que são monitorados pelo WinCollect são definidos pelo diretório-raiz que você deve configurar em sua origem de log

Ao especificar um diretório de log raiz, deve-se apontar o agente WinCollect para a pasta que contém seus eventos Microsoft IAS ou NPS. O diretório de log raiz não procura recursivamente por arquivos de eventos nos subdiretórios.

Para melhorar o desempenho, é possível criar uma subpasta para os logs de eventos do IAS e NPS, por exemplo, \WINDOWS\System32\Logfiles\NPS Ao criar uma pasta de eventos específica, o agente não precisa avaliar muitos arquivos para localizar os logs de eventos.

Se o seu sistema gerar um grande número de eventos IAS ou NPS, você pode configurar o seu sistema Windows para criar um novo log de eventos em intervalos diários. Essa ação assegura que os agentes não tenham que procurar por novos eventos em logs grandes.

Tabela 2. Estrutura de diretórios padrão do log de eventos para Microsoft IAS
Versão do Evento	Diretório de log raiz
Microsoft Windows Servidor 2019	\Windows\System32\Logfiles\
Microsoft Windows Servidor 2016	\Windows\System32\Logfiles\
Microsoft Windows Server 2012 R2	\Windows\System32\Logfiles\

Parâmetros de protocolo Microsoft IAS

Tabela 3. Parâmetros Microsoft IAS
Parâmetro	Descrição
Tipo de origem de log	Microsoft IAS Server
Configuração de protocolo	WinCollect Microsoft IAS / NPS
Sistema local	Para coletar eventos locais, o agente WinCollect deve ser instalado no mesmo host que seu Microsoft DHCP Server. A origem de log usa credenciais do sistema local para coletar e encaminhar eventos para o QRadar®.
Política de Monitor de Arquivos	A opção Notificação baseada em Notificação (local) usa as notificações do sistema de arquivos do Windows para detectar alterações em seu log de eventos. A opção Baseado em pesquisa (remoto) monitora mudanças em diretórios e arquivos remotos. O agente pesquisa o log de eventos remoto e compara o arquivo com o último intervalo de pesquisa. Se o log de eventos contiver novos eventos, será recuperado.
Intervalo de Pesquisa	A quantidade de tempo entre as consultas de novos eventos no diretório do log raiz.