QRadar WinCollectの設定

# 環境
WinCollect10.1.7-11
Microsoft Windows 10 Enterprise  10.0.19045 N/A ビルド 19045
# 目的
QRadarにWindowsログを送る方法（WinCollectを利用した手順）を記載します。

# WebUIのメニュー
WebUIの左側三本線をクリックし表示されるメニューが以下の通り。必要な項目に値を入力していきます。
<img width="400" alt="ファイル名" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/76959877-6371-7a03-e954-789cf11af0d3.png">


# Agent Settings（WinCollect自身の死活監視）
1\. 左のメニューから[Agent Settings]をクリックする
<img width="400" alt="ファイル名" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/9ac580a4-2dee-7c9d-013a-5b891d6d5984.png">

2\. [Enabled]にチェックを入れる
3\. [Device address]に WinCollectアプリケーションのハートビートパケットの送り先IPアドレス（QRadarやDLC等）を入力する
4\. Protocol: UDP、TCP、TLS、mTLSから選べる
5\. [Test Connection]を実行して以下のスクリーンショットのようにSuccessと表示されることを確認する
6\. [Save]ボタンを押す
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/1cc61a6b-0a43-f439-8822-361666b229d4.png)



# Destination（ログ転送先設定）
1\. 左のメニューから[Destinations]をクリックする
<img width="400" alt="ファイル名" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/99453e19-bce4-f7e8-ca7e-ef961c81c6bc.png">

2\. デフォルトで[QRadar]という項目が既にあるのでクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/a25aacb7-7a06-a215-7118-5df20d1c5f0c.png)
3\. [Enable]に☑をいれる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/cf6bf19a-3c42-f759-0476-5a7e4bed02f3.png)
4\. [Name]: 自分で識別できる名前に変更可
5\. [Device address]にログ転送先QRadarやDLC等のIPアドレスを入れる。
6\. [Save]ボタンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/d3786fac-fbaf-84e6-4ed6-a13cbabf8d17.png)

# WinCollectをインストールした自身のホストからのログ収集を行う場合
1\. 左のメニューから[Local Sources]をクリックする
<img width="400" alt="ファイル名" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/a1c921b7-0c83-5559-77f5-777a7e6f53b9.png">

2\. 既存で[Local]という項目が既にあるのでクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/ef4cc89d-532e-3df5-6033-491b7c0524c8.png)
3\. [Enable]に☑を入れ[Sources]と[Targets]を編集する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/92bdc287-91ee-e602-f9f8-6c9df63a6bc7.png)
4\. [Sources]をクリックする
5\. Name:自分で識別できる名前
6\. Type: [Microsoft Windows Events]
7\. [Channel]: [Security]　（複数のタイプを指定する場合には、手順を繰り返す）
8\. [Save]ボタンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/9221bd2b-1881-4c16-5271-78ef942ee031.png)
9\. [Targets]の[QRadar]をクリックする。
10\. [Target]の[Enabled]に☑を入れてSaveボタンを押す
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/f5b2e124-dc51-1385-87fd-42d1bfe54f5e.png)
11\. [Save]ボタンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/4a02233f-610a-1ed0-a237-35d77e696b8c.png)
12\. [Save]ボタンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/925a1318-b610-7729-8382-0f3ebbb8f223.png)
13\. 右上のベルアイコンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/f2ea8d42-0d4d-3b41-5589-246b6b9e5ce0.png)
14\. Pending Changesのwindowsが開かれるので[Apply Changes]をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/3e620665-2b4c-f8b9-eb3e-2708d48770f9.png)

# WinCollectから他のWindowsホストにログを取りに行く場合
## Credentials
 1. メニューから[Credentials]をクリックする

<img width="300" alt="ファイル名" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/121316ef-264f-7f39-4922-2bfb506a548b.png">
    
2\.  Credential(他のWindowsホストにログインするための情報を登録する。以下の赤枠を記入して[Save]をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/09e79428-08e7-b2ee-8616-c7751797859c.png)

3\. [Save]をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/dbf4daf2-5bea-1f78-f919-67af7d77a06c.png)

## Remote Sources
 1\. メニューから[Remote Sources]をクリックする
<img width="300" alt="ファイル名" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/ce7b416d-0d85-7ad7-4305-dbdc49443c89.png">

2\. Remote Soucesの画面で[Add]をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/78861f4d-3d8a-08c2-c8bc-8cab47c733a5.png)
3\. Nameを入力する。そしてSourcesのAddをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/8c3e8f79-e81e-4d2a-6651-e74f4e78b21c.png)
4\. Nameを入力する。そしてTypeでpull downから[Microsoft Windows Events]を選ぶ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/316d353f-172a-ad76-a554-1fa9255e96f0.png)
5\. [Channel]において、[Security]を選ぶ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/c24ab347-cc0d-a0c7-80f4-80a3d3c4005f.png)
6\. [Save]をクリックする
(Filterは、イベントID単位で不要なイベントを取り込まないように設定が可能）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/e6853b31-63e5-8608-ea52-8a1c52d65ad8.png)
7\. 前項では、[Security]ログを設定したので、同じように[Application],[System]と繰り返して登録する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/dc6bd1e6-b458-6584-a047-255b66f5607f.png)

8\. 続いて[Source Device]に対して[Add]ボタンをクリックし以下の赤枠部分に情報を入力する
- [Device address]は通信してログを取得したいWindowsホストのIPを入力する
- [Credentials]は、前項で作成したものをプルダウンから選択する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/3e9b105f-049b-e2f6-981f-0dd20bab39d1.png)
9\. [Test Connection]をクリックして以下のように"SUCCESS"と表示がされることを確認し[Save]ボタンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/018beec1-0cea-f24b-2036-eca071ed8e49.png)
10\. 続いて[Target]に対して[Add]ボタンをクリックし以下の赤枠部分に情報を入力する
- Nameはログ送信するわかり易い名前
- Destinationは前項で設定したものをプルダウンから選択する
[Save]ボタンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/417d4f64-7428-7cf3-275a-f98d16a59454.png)
11\. 以下のようになったら一番下の[Save]をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/ffac2997-85e2-2043-99d9-37640ae3c4ec.png)
12\. 右上のベルアイコンをクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/f2ea8d42-0d4d-3b41-5589-246b6b9e5ce0.png)
13\. Pending Changesのwindowsが開かれるので[Apply Changes]をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3307206/3e620665-2b4c-f8b9-eb3e-2708d48770f9.png)