Parâmetros de origem de log do Windows

Parâmetros comuns são usados ao configurar uma origem de log para um agente do WinCollect ou um plug-in do WinCollect . Cada plug-in do WinCollect também possui um conjunto exclusivo de opções de configuração

Tabela 1. Parâmetros de origem de log WinCollect comuns
Parâmetro Descrição
Identificador de Fonte de Log

O endereço IP ou o hostname de um sistema operacional Windows remoto do qual você deseja coletar eventos baseados em Windows-based. O identificador de origem de log deve ser exclusivo para o tipo de origem de log.

Usado para pesquisar eventos de origens remotas.
Sistema local

Desativa a coleção remota de eventos para a origem de log.

A origem de log usa credenciais do sistema local para coletar e encaminhar eventos para QRadar®.

Nota: Você deve limpar esta caixa se estiver usando um identificador de origem de log (FQDN) de domínio completo e o agente é instalado em um controlador de domínio.
Domínio

Opcional

O domínio que inclui a fonte de log baseada em Windows.

Os exemplos a seguir usam a sintaxe correta: LAB1, server1.mydomain.com. A sintaxe a seguir está incorreta: \\mydomain.com
Perfil de ajuste de taxa de eventos Para o intervalo de pesquisa padrão de 3000 ms, as taxas de eventos por segundo (EPS) possíveis são as seguintes:

  • Padrão (terminal): 33-50 EPS

  • Típico Server: 166-250 EPS

  • Taxa de Evento High Server: 416-625 EPS

Para um intervalo de pesquisa de 1000 ms, as taxas de EPS aproximadas são as seguintes:

  • Padrão (terminal): 100-150 EPS

  • Servidor típico: de 500 a 750 EPS

  • Taxa de Evento High Server: 1250-1875 EPS

Para obter mais informações sobre como ajustar o WinCollect, consulte o Suporte IBM®http://www.ibm.com/support/docview.wss?uid=swg21672193.
Intervalo de pesquisa (ms) O intervalo, em milissegundos, entre momentos em que o WinCollect pesquisa novos eventos.
Tipo de Log de Aplicação ou Serviço

Opcional.

Usado para consultas XPath.

Fornece uma consulta XPath especializada para produtos que escrevem seus eventos como parte do log de aplicativos do Windows. Portanto, é possível separar eventos do Windows a partir de eventos que são classificados para uma fonte de log para outro produto.
Log de Eventos de Sondagem Protocol O protocolo usado pelo QRadar para se comunicar com o dispositivo Windows. O padrão é MSEVEN6
Tipo de Filtro de Log

Configura o agente WinCollect para ignorar eventos específicos do log de eventos do Windows.

Também é possível configurar agentes WinCollect para ignorar eventos globalmente por código de ID ou origem de log.

Os Filtros de exclusão para eventos estão disponíveis para os seguintes tipos de origem de log: Segurança, Sistema, Aplicativo, Servidor DNS, Serviço de Replicação de Arquivo e Serviço de Diretório

Exclusões globais usam o campo EventIDCode a partir da carga útil do evento. Para determinar os valores que são excluídos, exclusões de origem e ID usam o campo Source= e o campo EventIDCode= da carga útil do evento do Windows. Separe diversas origens usando ponto e vírgula.

Exemplo: os filtros de exclusão podem usar vírgulas e hifens para filtrar únicos EventIDs ou intervalos, como 4609, 4616, 6400-6405

Para obter mais informações sobre filtragem, consulte WinCollect Filtro de Eventos (http://www.ibm.com/support/docview.wss?uid=swg21672656).
Segurança Marque a caixa de seleção para ativar WinCollect para encaminhar logs de segurança para o QRadar.
Tipo de filtro de Log de Segurança

Para ignorar IDs de evento específicos do log de eventos do Windows, selecione Filtro de Exclusão.

Para incluir IDs de evento específicos no log de eventos do Windows, selecione Filtro de Inclusão.

A opção Filtro de NSA preenche o campo Filtro de log de segurança com uma lista de IDs de eventos recomendados pela National Security Agency.

O padrão é Sem Filtragem.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo Filtro de Log de Segurança será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
sistema Marque a caixa de seleção para ativar o WinCollect para encaminhar logs do sistema para QRadar.
Tipo Filtro de Log do Sistema

Para ignorar IDs de evento específicos do log de eventos do Windows, selecione Filtro de Exclusão.

Para incluir IDs de evento específicos no log de eventos do Windows, selecione Filtro de Inclusão.

A opção Filtro de NSA preenche o campo Filtro de log do sistema com uma lista de IDs de eventos recomendados pela National Security Agency.

O padrão é Sem Filtragem.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo Filtro de Log do Sistema será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
Aplicativo Marque a caixa de seleção para ativar o WinCollect para encaminhar os logs do aplicativo para o QRadar
Tipo Filtro de Log de Aplicação

Para ignorar IDs de evento específicos do log de eventos do Windows, selecione Filtro de Exclusão.

Para incluir IDs de evento específicos no log de eventos do Windows, selecione Filtro de Inclusão.

A opção Filtro de NSA preenche o campo Filtro de log do aplicativo com uma lista de IDs de eventos recomendados pela National Security Agency.

O padrão é Sem Filtragem.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo Filtro de Log de Aplicativos será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
Servidor DNS Marque a caixa de seleção para ativar o WinCollect para encaminhar logs do Servidor DNS para QRadar.
Tipo de filtro de log do servidor DNS

Para ignorar IDs de evento específicos do log de eventos do Windows, selecione Filtro de Exclusão.

Para incluir IDs de evento específicos no log de eventos do Windows, selecione Filtro de Inclusão.

A opção Filtro da NSA preenche o campo Filtro de log do servidor DNS com uma lista de IDs de eventos recomendados pela National Security Agency.

O padrão é Sem Filtragem.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo DNS Server Log Filter será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
Serviço de Replicação de Arquivo Marque a caixa de seleção para ativar o WinCollect para encaminhar logs do Serviço de Replicação de Arquivo para o QRadar..
Serviço de Replicação de Arquivo de Log Tipo de Filtro

Para ignorar IDs de evento específicos do log de eventos do Windows, selecione Filtro de Exclusão.

Para incluir IDs de evento específicos no log de eventos do Windows, selecione Filtro de Inclusão.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo Filtro de Log de Serviço de replicação de arquivos será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
Serviço de Diretório Marque a caixa de seleção para ativar o WinCollect para encaminhar logs do Directory Service para o QRadar.
Directory Service Log Tipo de Filtro

Para ignorar IDs de eventos específicos coletados do log de eventos do Windows, selecione o Filtro de exclusão.

Para incluir IDs de eventos específicos coletados no log de eventos do Windows, selecione o Filtro de inclusão.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo Filtro de Log de Serviços de Log será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
Eventos Encaminhados

Permite que o QRadar colete eventos que são encaminhados de origens de eventos remotas do Windows que usam assinaturas.

Os eventos de encaminhamento que usam inscrições de eventos são descobertos automaticamente pelo agente WinCollect e encaminhados como se fossem uma origem de eventos syslog

Ao configurar o encaminhamento de eventos a partir do seu sistema Windows, ative a pré-renderização de eventos.

Importante: WinCollect suporta puxar logs somente do canal de Eventos Encaminhados. A gravação de eventos de uma assinatura para um canal diferente não é suportada.
Tipo de filtro de eventos encaminhados

Para ignorar IDs de evento específicos do log de eventos do Windows, selecione Filtro de Exclusão.

Para incluir IDs de evento específicos no log de eventos do Windows, selecione Filtro de Inclusão.

A opção Filtro de NSA preenche o campo Filtro de eventos encaminhados com todos os canais e seus respectivos filtros, conforme recomendado pela National Security Agency.

O padrão é Sem Filtragem.

Nota: Se você selecionar um tipo de filtro a partir da lista, um novo campo Filtrar Eventos Filtro será exibido. É preciso fornecer os IDs de evento que você deseja incluir ou excluir.
O filtro Eventos Encaminhados requer que você identifique a origem ou o canal, com os eventIDs que deseja filtrar entre parênteses. Use pontos e vírgulas como delimitadores. Por exemplo:
Application(200-256,4097,34);Security(1);Symantec(1,13)
Neste exemplo, os IDs de evento 200 - 256, 4097 e 34 são filtrados para o canal Apliação. O ID do evento 1 é filtrado para Segurança. Os IDs de eventos 1 e 13 são filtrados para a origem chamada Symantec.
Tipos de eventos

Pelo menos um tipo de evento deve ser selecionado.

Se for necessário coletar tipos de eventos específicos, siga as instruções para criação de um XPath customizado com aqueles tipos de eventos específicos. Para obter mais informações, consulte Criando uma visualização customizada.
Ativar consultas do Active Directory

Se o agente WinCollect estiver no mesmo domínio que o controlador de domínio responsável pela consulta do Active Directory , será possível marcar essa caixa de seleção. Se você fizer, deixe o domínio de substituição e os parâmetros DNS em branco.

Importante: Você deve inserir valores para os parâmetros Domain Controller Name Lookup e DNS Domain Name Lookup .
Substituir Nome do Controlador de Domínio

Necessário quando o controlador de domínio responsável pela consulta do Active Directory está fora do domínio do agente WinCollect .

O endereço IP ou o hostname do controlador de domínio responsável pela consulta no Active Directory.
Consulta XPath

Expressões XML estruturadas que você usa para recuperar eventos customizados a partir de logs de eventos do Windows.

Se você especificar uma consulta XPath para filtrar eventos, as caixas de seleção que você marcou em Tipo de log padrão ou Tipo de evento são coletadas juntamente com a consulta XPath.

Para coletar informações usando uma Consulta XPath, você pode ser necessário para ativar o Remote Event Log Management no Windows 2008.
Destino Interno Alvo

Use quaisquer hosts gerenciados com um componente do processador de evento como um destino interno.
Destino Externo Destino

Encaminha os eventos para um ou mais destinos externos que você configurou na sua lista de destino.