Windows イベント Source のカスタムチャネル

最後の更新
PDFとして保存

ローカルまたはリモートの Windows イベント Source を設定するには、収集元のチャネルを指定する必要があります。このページは、システムからチャネル名リストを取得する方法と Sumo Logic Collector が処理できないチャネルについて説明します。

チャネル名の取得

Collector で使用可能なイベントチャネルを検索するには、管理者 PowerShell プロンプトで以下のコマンドを実行します。次に、チャネル名をコピーして Source の [Custom Events Channels (カスタムイベントチャネル)] テキストボックスに貼り付けます。

以下のコマンドを PowerShell に入力します。

# to see channels listed in the standard order
Get-WinEvent -ListLog *

# to sort more active channels to the top of the list
Get-WinEvent -ListLog * | sort RecordCount -Descending

# to see channels present on a remote computer
Get-WinEvent -ListLog * -ComputerName <hostname>

出力には、チャネルリストとそれらのチャネルの現在のイベントレコード数が以下のように表示されます。

LogMode   MaximumSizeInBytes RecordCount LogName
-------   ------------------ ----------- -------
Circular            20971520       59847 Application
Circular            20000000       29339 Microsoft-Windows-Store/Operational
Circular            20971520       21903 Security
Circular             4194304       10098 Microsoft-Windows-GroupPolicy/Operational
Circular             5242880        9568 Microsoft-Windows-StateRepository/Operational
Circular            15728640        7066 Windows PowerShell
Circular             5242880        4644 Microsoft-Windows-AppXDeploymentServer/Operational
Circular             8388608        4114 Microsoft-Windows-SmbClient/Connectivity
Circular             1052672        2843 Microsoft-Windows-EapHost/Operational
Circular             1052672        2496 Microsoft-Client-Licensing-Platform/Admin

出力の LogName 列には、チャネル名が表示されます。これらのチャネル名をコンマ区切りで Source の [Custom Events Channels (カスタムイベントチャネル)] テキストボックスに入力します。標準のアプリケーション、システム、またはセキュリティログの名前を再入力する必要はありません。これらはすでにチェックボックスで選択できます。

たとえば、上記の上位 5 つのアクティブチャネルからイベントを収集するには、[Application (アプリケーション)] と [Security (セキュリティ)] チェックボックスをオンにして、以下の文字列をテキストボックスに入力します。

Microsoft-Windows-Store/Operational,Microsoft-Windows-GroupPolicy/Operational,Microsoft-Windows-StateRepository/Operational

以下のコマンドを実行して cmd.exe コンソールからチャネル名リストを取得することもできます。

rem List channels on the local system
wevtutil.exe enum-logs

rem List channels on a remote system
wevtutil.exe enum-logs /remote:<hostname>

サポートされないチャネル

Sumo Logic Collector は以下のチャネルからはイベントを収集しません。

分析 ETW チャネル
デバッグ ETW チャネル
転送イベントチャネル
- リモートホストからのイベントを収集するには、リモート Windows イベント Source を設定します。