Incluindo diversos destinos em agentes WinCollect
Em uma implementação gerenciada do WinCollect , inclua os dispositivos IBM® QRadar® como destinos para eventos do Windows se um dispositivo QRadar falhar
Antes de iniciar
Sobre esta tarefa
Cada destino criado para um agente do WinCollect tem seu próprio cache de disco para eventos. Se o Site A falhar e o Site B estiver configurado como o Destino Externo do Alvo, o Site B continuará a receber eventos e o Site A armazenará os eventos no disco. Se ambos os sites falharem, ambos os sistemas armazenarão em cache os eventos de modo independente em filas de disco separadas. À medida que as conexões retornam para as origens de log individuais, os agentes tentam equilibrar o envio de novos eventos e dos eventos em cache que foram enfileirados devido a um estouro de eventos ou a problemas de conexão.
Se sua implementação contém muitas origens de log usando múltiplos destinos, aumente o espaço em disco padrão. Cada agente é configurado com 6 GB de espaço em disco para armazenar eventos em cache. No entanto, se houver 50 origens de log ou mais, cada uma enviando para múltiplos destinos e um segmento de rede falhar, cada origem de log gravará dois conjuntos de eventos no mesmo cache no Destino Interno Alvo e no Destino Externo Alvo. Se sua implementação contém segmentos que são instáveis ou que estão sujeitos a indisponibilidades, atualize a capacidade de armazenamento padrão do agente quando ocorre uma indisponibilidade de longo prazo.
Procedimento
- No QRadar, clique na guia Administrador
- No menu de navegação, selecione Origens de Dados.
- Clique no ícone WinCollect .
- Clique em Agentes e selecione o agente que deseja editar.
- Clique em Origens de log.
- Selecione a origem de log que você deseja editar e clique em Editar
- Selecione a caixa de seleção Destinos Externos de Destino .
- Selecione os destinos que deseja incluir no agente na caixa abaixo da caixa de seleção Destinos Externos de Destino .
- Clique em Salvar