Для получения событий с транспортов, отличных от syslog, в RuSIEM коммерческой версии и свободно распространяемой RvSIEM free используются агенты для Windows.
Агенты устанавливаются в качестве службы Windows, управляются через веб-консоль сервера управления и позволяют собирать события как локально, так и одновременно из нескольких удаленных источников безагентным методом. То есть, вы устанавливаете агента на один из серверов и этот агент собирает с сотен других Windows, MS SQL/Mysql/Oracle/file серверов, на которых не установлен агент.
По количеству агенты не лицензируется, их может быть сколько угодно. Для мобильных устройств (ноутбуков) рекомендуется установка агента локально. В этом случае, при отсутствующем подключении, агент будет собирать события в свою локальную базу данных, ротируемую в зависимости от свободного места на диске во избежание потери событий при ротации или действиях злоумышленника. А при наличии соединения с сервером, события будут переданы на него.
Для сбора Windows event logs удаленно безагентным способом используются WMI транспорт (устаревший) и EVT (начиная с Windows 7, более быстрый и стабильный).
У агента имеются универсальные транспорты, позволяющие собирать события с:
- Windows event log (любые журналы)
- Checkpoint LEA
- Cisco SDEE
- File logs
- Logs on ftp servers
- Hash logs (запущенные процессы их sha1/md5/sha256)
- Logs on Mysql/Oracle/MS SQL таблицах и представлениях
- WMI logs
- Информация об установленном ПО и патчах
- Информация об открытых процессами портах