EventLog Analyzer ナレッジベース

EventLog Analyzerのログ取得・保存の流れについてご紹介します。

[図解]

1.
Syslogサーバーの場合：
Syslogポート(UDP513,514)をリッスンして、レポートを収集します。
Windowsの場合：
WMIを使用してWindowsからログを取得します。通信の際にはWMI・DCOM・RPCのポートが使用されます。

2．
リソースの肥大化に伴い十分なメモリ領域、または取得したログを処理するためのプロセスを準備できない際に、一時的に<ELA_Home>\data配下に所得したログの情報を保持します。

※詳細は以下のナレッジベースをご参照ください。
https://www.manageengine.jp/support/kb/EventLog_Analyzer/?p=1478

3.
取得したログのうち、*1パースされたログはデータベースストレージに格納されます。一方、生ログ（未加工のログ）はアーカイブフォルダ、インデックス情報は*2indexesフォルダ(ManageEngine\elasticsearch\ES\data)に格納されます。

4.
一定時間経過後、アーカイブフォルダは圧縮(gzファイル)され、保管されます。

また、ログ取得・保存の流れを簡潔にフローチャートで表したものが、以下になります。

[フローチャート]

 ログ取得・保存の流れ (手動インポートの場合)

EventLog AnalyzerではSyslogやアプリケーションログなど任意のログを、FTP/SFTPを使用してローカルあるいはリモートホストから定期的にインポートすることが可能です。

以下では手動インポート機能を使用した際の、ログ取得・保存の流れについてご紹介します。

[図解]

1.
ローカルコンピューターの場合：
画面右上の方にある[+追加] > [ログのインポート]より、EventLog Analyzerのログをインポートします。
リモートコンピューターの場合：
画面右上の方にある[+追加] > [ログのインポート]より、「リモートホスト」を選択後、リモートホストのログをインポートします。（ログの転送にはFTPまたはSFTP/SSHを使用します。どちらのプロトコルを使用するかは、設定時に選択することが可能です。)

2．
取得したログがサポートログの場合は、解析され、データベースストレージに格納されます。一方、生ログはアーカイブフォルダ、インデックス情報はindexesフォルダ(ES\dataフォルダ)に格納されます。
※WindowsイベントログについてはWMIでの取得を推奨しており、インポートを行った際にはアーカイブファイルは生成されません。

3．
一定時間経過後、アーカイブファイルは圧縮され、保管されます。