转载 WMI方式：windows系统接入

Posted 2023-02-15

参考技术A 一、场景：

BDS系统上需要识别1台windows 10主机的日志，进行标准化呈现：

win10主机的ip地址：192.168.1.174 

二、注意事项

网络通信正常：被采集设备与日志服务器之间网络可达，用于WMI访问的135端口畅通（例如没有被硬件防火墙阻断135端口）；

被采集服务器自带防火墙允许WMI应用通过windows防火墙进行通信,如下图

使用WMI方式进行日志收集。WMI为针对Windows系列设备的专用接入方式，适用于Windows2003、2008、2012系统。注意事项如下：

1、确认设备的WMI服务处于运行状态；

2、bds上需要录入具有WMI权限的账号进行日志采集： 

（1）可以使用administrator账号进行采集,administrator带有WMI权限，仅需要开启WMI服务即可（参考下文【 三、windows配置WMI，允许BDS采集日志】第1步）

（2）如果用户由于涉密无法提供administrator账号，可以通过创建具有WMI权限的账号进行日志采集；

3、本文以创建具有WMI权限的wmitest账号为例，采集windows主机审核日志。

三、windows配置WMI，允许BDS采集日志

1、确保设备的WMI服务处于运行状态

在运行对话框输入services.msc

确保WMI服务处于"正在运行"的状态，如未处于"正常运行"，右键点击该服务，选择"启动"

如果用户可以提供adminstrator账号，则直接就可以在bds系统上进行日志标准化配置操作；

      如果用户由于涉密无法提供administrator账号，下文以创建具有WMI权限的wmitest账号为例

2、创建账号wmitest账号，并赋予wmi权限

（1）在运行对话框中输入lusrmgr.msc,创建账号wmitest

在弹出的窗口中，右键点击"用户"，选择新用户

设置账号wmitest，设定密码，同时勾选用户不能修改密码、密码永不过期两个选项

(2)给wmitest用户WMI授权

控制面板->管理工具->计算机管理->服务和应用:右键WMI控件属性->安全标签安全设置->为用户添加所有权限

      （3）组件服务-计算机属性-com安全-启动激活权限

（4）打开本地安全策略

控制面板>管理工具>本地安全策略>本地策略>审核策略，根据实际需要开启相关策略。

（5）最后赋予wmi账号"管理审核和安全日志"权限

四、BDS系统配置：日志标准化配置

点击"采集管理"->"采集器管理"->"新增"，新增采集器，如下图所示

按照下图进行设置，设置完毕后点击接入设备列表处的"新增"按钮

名称：自定义

类型：选择事件采集器

接入方式：WMI

标准化策略：选择Microsoft Windows(输入首几位字母，系统将自动检索)

输入目标主机的信息，包括ip地址、账号（具有wmi权限）、密码等，点击"检测"

如通信正常，主机将提示检测成功，如下图；

检测通过后点击确认，完成windows主机添加

     注意：添加多台windows有两种方式

方式1：编辑原有的采集器策略进行添加

方式2：新增采集器进行添加

      两种方式的区别在于：方式1添加较为便利，方式2多采集器处理性能更高；建议使用方式2进行添加；当每台windows主机日志量较小时可以使用方式1

五、标准化日志查看

点击"事件分析"->"事件列表"界面，可以显示已添加设备的日志收集情况（按严重、高级、中级、低级、信息）显示

注意：

日志按照原始设备日志等级，以严重、高级、中级、低级、信息级别显示；如果原始设备部携带日志等级信息，系统将按照默认的显示等级显示。

设备名称：设备在"资产管理"->"资产管理"中完成相应资产设置的，在此处将显示具体信息。如果没有则留白不显示；

点击具体设备，可以显示设备当日具体日志信息，点击某一条日志，将显示具体的日志信息