转载 WMI方式:windows系统接入

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了转载 WMI方式:windows系统接入相关的知识,希望对你有一定的参考价值。

参考技术A 一、场景:

BDS系统上需要识别1台windows 10主机的日志,进行标准化呈现:

win10主机的ip地址:192.168.1.174 

二、注意事项

网络通信正常:被采集设备与日志服务器之间网络可达,用于WMI访问的135端口畅通(例如没有被硬件防火墙阻断135端口);

被采集服务器自带防火墙允许WMI应用通过windows防火墙进行通信,如下图

使用WMI方式进行日志收集。WMI为针对Windows系列设备的专用接入方式,适用于Windows2003、2008、2012系统。注意事项如下:

1、确认设备的WMI服务处于运行状态;

2、bds上需要录入具有WMI权限的账号进行日志采集: 

(1)可以使用administrator账号进行采集,administrator带有WMI权限,仅需要开启WMI服务即可(参考下文【 三、windows配置WMI,允许BDS采集日志】第1步)

(2)如果用户由于涉密无法提供administrator账号,可以通过创建具有WMI权限的账号进行日志采集;

3、本文以创建具有WMI权限的wmitest账号为例,采集windows主机审核日志。

三、windows配置WMI,允许BDS采集日志

1、确保设备的WMI服务处于运行状态

在运行对话框输入services.msc

确保WMI服务处于"正在运行"的状态,如未处于"正常运行",右键点击该服务,选择"启动"

如果用户可以提供adminstrator账号,则直接就可以在bds系统上进行日志标准化配置操作;

      如果用户由于涉密无法提供administrator账号,下文以创建具有WMI权限的wmitest账号为例

2、创建账号wmitest账号,并赋予wmi权限

(1)在运行对话框中输入lusrmgr.msc,创建账号wmitest

在弹出的窗口中,右键点击"用户",选择新用户

设置账号wmitest,设定密码,同时勾选用户不能修改密码、密码永不过期两个选项

(2)给wmitest用户WMI授权

控制面板->管理工具->计算机管理->服务和应用:右键WMI控件属性->安全标签安全设置->为用户添加所有权限

      (3)组件服务-计算机属性-com安全-启动激活权限

(4)打开本地安全策略

控制面板>管理工具>本地安全策略>本地策略>审核策略,根据实际需要开启相关策略。

(5)最后赋予wmi账号"管理审核和安全日志"权限

四、BDS系统配置:日志标准化配置

点击"采集管理"->"采集器管理"->"新增",新增采集器,如下图所示

按照下图进行设置,设置完毕后点击接入设备列表处的"新增"按钮

名称:自定义

类型:选择事件采集器

接入方式:WMI

标准化策略:选择Microsoft Windows(输入首几位字母,系统将自动检索)

输入目标主机的信息,包括ip地址、账号(具有wmi权限)、密码等,点击"检测"

如通信正常,主机将提示检测成功,如下图;

检测通过后点击确认,完成windows主机添加

     注意:添加多台windows有两种方式

方式1:编辑原有的采集器策略进行添加

方式2:新增采集器进行添加

      两种方式的区别在于:方式1添加较为便利,方式2多采集器处理性能更高;建议使用方式2进行添加;当每台windows主机日志量较小时可以使用方式1

五、标准化日志查看

点击"事件分析"->"事件列表"界面,可以显示已添加设备的日志收集情况(按严重、高级、中级、低级、信息)显示

注意:

日志按照原始设备日志等级,以严重、高级、中级、低级、信息级别显示;如果原始设备部携带日志等级信息,系统将按照默认的显示等级显示。

设备名称:设备在"资产管理"->"资产管理"中完成相应资产设置的,在此处将显示具体信息。如果没有则留白不显示;

点击具体设备,可以显示设备当日具体日志信息,点击某一条日志,将显示具体的日志信息

以上是关于转载 WMI方式:windows系统接入的主要内容,如果未能解决你的问题,请参考以下文章

windows系统怎样开启WMI服务

windows系统怎样开启WMI服务

Win7系统中的wmi控件是啥?有啥用

WMI协议

python写的用WMI检测windows系统信息的脚本

什么是WMI 有什么用?