Wincollect Ajanı ile Log Toplama
Wincollect ajanı ile iki şekilde Windows sunuculardan log toplayıp bunları QRadar konsoluna gönderebiliriz.
1. Local Collection
Wincollect ajanının kurulu olduğu sunucunun kendisinden direkt olarak logları toplayıp QRadar konsoluna gönderebiliriz.
- Wincollect ajanı arttıkça Wincollect yönetimi de zorlaşır.
- Single point of failure (SPOF) açısından avantajlıdır. Herhangi bir Wincollect servisini kaybetmeniz durumunda diğerleri bundan etkilenmez.
- Kritik ya da çok fazla EPS’e sahip log kaynaklarınız için tercih edilebilirsiniz.
- Örneğin DC’leriniz sizin için önemliyse DC’lerinizin her birine Wincollect ajanı kurarak Windows Security Event loglarını alabilirsiniz.
Wincollect bazlı bir log kaynağı eklerken Local System seçilerek ilgili sistemden log toplamaya başlayabiliriz.
2. Remote Collection
Wincollect ajanının kurulu olduğu sunucu ile Wincollect ajanı kurulu olmayan Windows sunuculardan log toplayarak bunları QRadar konsoluna gönderebilirsiniz.
- Wincollect yönetimi kolay.
- SPOF açısından kötü. Wincollect ajanı servisinin çalışmaması durumunda ona bağlı tüm log kaynaklarından log alamama söz konususudur.
- Ekleyebileceğiniz log kaynağı (~500) çok olsa dahi , belirli bir limiti bulunur.
Wincollect bazlı bir log kaynağı eklerken artık Local System alanını seçmiyoruz. Bunun yerine Wincollect’in erişeceği ve logları toplayacağı Windows sunucunun kullanıcı/parola bilgileri girilir. Domain bilgisi ise zorunlu değildir.