Filtrage des événements
Les événements sont générés via les produits managés, tels que ENS ou McAfee Agent. La configuration des paramètres de filtrage des événements détermine les éléments suivants :

• Indique si l’événement est généré sur le
  poste client. Et
• Si l’événement est également transféré à un serveur enregistré Syslog

Le filtrage des événements est une configuration globale unique qui affecte tous les agents, indépendamment du produit ou de la plate-forme managé (e). Suivez la procédure ci-dessous dans la console ePO et activez ou désactivez les événements. Ou envoyez l’événement à SIEM (Envoyer à un serveur Syslog).

1. Connectez-vous à la console ePO.
2. Cliquez sur menu, Système, paramètres serveur.
3. Cliquez sur filtrage des événements dans la colonne catégories de paramètres, puis cliquez sur modifier.
4. Sélectionnez ou désélectionnez les ID d’événement, selon les besoins. Vous pouvez aussi choisir de les stocker dans ePO, dans SIEM, ou les deux, puis cliquez sur Enregistrer.

Remarque : Consultez l’article associé KB54677-liste générale des ID d’événement envoyés à ePolicy Orchestrator.

Une fois qu’une modification a été apportée à la liste des événements activés ou désactivés, cette modification est enregistrée sur le serveur ePO. Les clients le téléchargent ensuite à l’aide d’un fichier nommé EvtFiltr.ini . Le fichier contient la EvtFiltr.ini liste de tous les événements qui ont été désactivés dans la configuration du filtrage des événements dans ePO. Si la copie du fichier stockée sur le client ne contient pas d’ID d' EvtFiltr.ini événement spécifique, cet événement peut être généré sur le client.

Le EvtFiltr.ini fichier se trouve dans le répertoire de données McAfee Agent. Cet emplacement diffère selon le système d’exploitation :

• Pour Windows : C:\ProgramData\McAfee\Agent\
• Pour Linux et macOS : /var/McAfee/agent/scratch

Génération d’un événement
Les événements sont générés à l’aide de l’une des méthodes suivantes :

• Un produit managé, par exemple ENS, appelle un MA dll ( ma_event_service.dll ).
  Ou
• Les produits qui utilisent l’ancien plug-in LPC hérité stockent les événements dans le AgentEvents dossier.

Avec des produits plus récents, tels que MAR, EDR ou DLP 11.4 et versions ultérieures, les événements sont stockés dans la base de données ma ( ..\ProgramData\McAfee\Agent\DB ) :

• S’il s’agit d’un événement de priorité faible, il est conservé dans le dossier agent Events et est chargé sur le serveur ePO lors de l’intervalle de communication agent-serveur suivant.
• Si l’événement a une priorité élevée, il est chargé immédiatement. (La transmission des événements prioritaires est configurée sous MA stratégie général stratégie > Evénements).
  
  Remarque : Le dossier Evénements agent se trouve dans la structure de répertoire agent, qui diffère en fonction du système d’exploitation :
  
  • Pour Windows : C:\ProgramData\McAfee\Agent\AgentEvents
  • Pour Linux, macOS : /var/McAfee/agent/AgentEvents

Dépanner pour Endpoint :
Vérifiez que l’événement est généré sur le poste client dans l’une des options suivantes :

• Dossier AgentEvents
• Base de données MA, si le produit générant l’événement est un produit plus récent msgbus

1. Pour faciliter la capture de l’événement sur le poste client, empêchez temporairement le agent de charger les événements sur le serveur ePO. Pour empêcher le chargement, effectuez l’une des opérations suivantes :
   
   Remarque : en général, il y a beaucoup de temps pour capturer une copie de l’événement sur le poste client sans effectuer l’une des opérations suivantes.
   
   • Arrêtez le service McAfee Agent sur le client.
   • Arrêtez le service du serveur ePolicy Orchestrator sur le serveur ePO et le gestionnaire d'agents (Apache service).
   • Désactivez la carte réseau sur le système client.

2. Reproduisez l’action et générez l’événement spécifique ou un événement de détection générique sur le système. Reportez-vous aux articles suivants :
   • Comment utiliser le EICAR fichier de test Antimalware avec des produits McAfee. Voir : KB59742-utilisation du fichier de test EICAR avec les produits McAfee.
   • Pour les produits de SPAM, utilisez un fichier de test similaire appelé GTUBE . Envoyez-la par e-mail à partir d’une adresse e-mail externe à l’adresse de votre entreprise afin qu’elle passe par le SPAM analyseur.
     Téléchargez le GTUBE fichier de test à partir de la page d’accueil GTUBE.
   • Dans le AgentEvents dossier, recherchez les fichiers portant un nom aléatoire qui sont en attente de chargement sur le serveur ePO.
   • Pour les produits tels que MAR, EDR, DXL, ou DLP 11.4 ou version ultérieure, qui utilisent msgbus , vous devez collecter des résultats mer à partir du client. Vous pouvez, par contre, collecter l’agent \db de-récupération et \keystore les fichiers et utiliser l’analyseur de mer pour afficher l’événement.
   • Ouvrez l’événement pour vérifier les propriétés de l’événement. La plupart des événements sont des fichiers XML typiques. Vous pouvez ouvrir ces fichiers et afficher les détails de l’événement à l’aide d’un navigateur ou d’un éditeur de texte tel que Notepad++ .
     
3. Réactivez la connexion au serveur ePO à l’aide de l’une des méthodes suivantes (en fonction de l’action entreprise dans l’étape 1) :
   • Démarrez le service McAfee Agent sur le client.
   • Démarrez le service Gestionnaire de l'agent.
   • Cliquez sur la carte réseau sur le client.
     
4. Les événements de priorité normale sont téléchargés au cours de l’intervalle de communication Agent-serveur normal. Vous pouvez les charger immédiatement à l’aide du bouton Envoyer des événements du moniteur d’État McAfee Agent.

Dépannage pour le serveur (gestionnaire d'agents sur un serveur ePO ou un autre serveur)

Réception de l’événement :
Une fois que le McAfee Agent a chargé l’événement, le service Apache le reçoit. Elle est ensuite gérée sur le serveur ePO ou sur un gestionnaire d'agents à distance. Le gestionnaire stocke ensuite l’événement dans le dossier Evénements et la journalisation est similaire à ce qui suit dans Server_.log :

I #10244 NAIMSERV Received [Event] from <name of client system> :{75BCADA0-16B4-11EA-27C6-005056014A0F}
I #10244 NAIMSERV Processed [Event] from <name of client system>:{75BCADA0-16B4-11EA-27C6-005056014A0F} in 0ms

Emplacement du dossier Evénements : <ePO or Agent Handler installation folder>\DB\Events


Analyse ou transfert de l’événement :
Le eventparser_.log fichier présente une activité de journalisation similaire lorsque l’événement est analysé avec succès dans la base de données :

Si elle est configurée, l’événement peut être transféré au syslog récepteur. Dans ce cas, si LogLevel 8 est activé sur le serveur ePO ou le gestionnaire d'agents à distance, vous voyez une activité similaire à ce qui suit dans le eventparser_.log fichier:

#07008 EVNTPRSR source\SyslogForwarder.cpp(371): Found cached work item data for tenant 1: bpsid=1, guid={00000000-0000-0000-0000-000000000000}, nodepath=1\2
#07008 EVNTPRSR source\SyslogForwarder.cpp(376): Construct new work item for tenant 1: bpsid=1, guid={00000000-0000-0000-0000-000000000000}, nodepath=1\2
#07008 MFEFIPS mfefips_SSLSubSys.cpp(230): Using cached connection for :6514

Pour un article connexe, voir KB56207-collecte de données-comment activer le niveau de journal 8 pour le dépannage d’ePolicy Orchestrator.

Pour les événements de type menace (logiciels malveillants détectés, règle de protection de l’accès déclenchés), l’événement s’affiche dans le Threat Event Log . Elle apparaît dans le menu génération de rapports de la console ePO. Tous les événements analysés avec succès peuvent être interrogés à l’aide d’une requête Evénements sous requêtes et rapports.


Résoudre les problèmes liés au flux d’événements :

1. L’événement n’est pas généré sur le poste client :
   1. Vérifiez que l’événement n’est pas répertorié comme l’un des événements désactivés dans le EvtFiltr.ini fichier.
   2. Tentez de reproduire l’action qui peut générer l’événement et recherchez les masvc_.log erreurs éventuelles dans le fichier.
   3. Vérifiez que le produit managé qui génère l’événement est en cours d’exécution.
      
2. L’événement n’est pas envoyé au serveur ePO ou au gestionnaire d'agents :
   1. Recherchez masvc_.log des erreurs dans le fichier, juste après une tentative de communication avec le gestionnaire ou d’envoi de l’événement.
   2. Vérifiez que le Apache service est en cours d’exécution sur le serveur ePO ou le gestionnaire d'agents.
      
3. L’événement n’est pas visible dans ePO après la vérification qu’il a été chargé avec succès à partir du terminal :
   1. Vérifiez que le client communique avec le serveur ePO ou un gestionnaire d'agents à distance.
   2. Recherchez dans le eventparser_.log fichier les erreurs qui peuvent se produire juste après le transfert de l’événement par le client.
   3. Si le eventparser log fichier contient des erreurs, essayez d’obtenir une copie de l’événement. Vérifiez si elle peut être analysée avec succès sur un serveur de laboratoire ePO.
   4. Vérifiez que l'extension le plus récent est installé pour le produit managé qui a généré l’événement.
   5. Vérifiez s’il existe un extension de génération de rapports distinct pour le produit managé. Installez l'extension, le cas échéant.
      
4. Le Syslog serveur ne reçoit pas l’événement :
   1. Vérifiez que le client communique avec le serveur ePO ou un gestionnaire d'agents à distance.
   2. Recherchez dans le eventparser_.log fichier les erreurs qui peuvent se produire juste après le transfert de l’événement à partir du client.
   3. Dans la console ePO, modifiez le serveur enregistré Syslog et vérifiez que l’option tester la connexion sous l’onglet Détails est réussie.

Informations supplémentaires sur les événements qui ne sont pas analysés par EventParser-

Plug-ins d’événements :
Les événements générés pour VSE, HIPs ou DLP sont analysés à l’aide d’une plug-in d’analyseur d’événements. Le plug-in est installé lorsque vous installez l'extension pour ce produit managé. Ces plug-ins sont responsables de l’écriture de l’événement dans la base de données et sont installés dans le dossier d’installation d’ePO ou du gestionnaire d'agents sous .\DB\Plugin dossier.

Remarque : Certains produits managés contiennent un extension de génération de rapports distinct qui contient ce plug-in. Par exemple, VSE dispose d’un extension de gestion et d’un extension de génération de rapports. La plug-in d’analyse d’événements est ajoutée uniquement via la extension de génération de rapports.

Lorsque le EventParser serveur tente de traiter un événement, il cherche à vérifier si l’analyseur d’événements requis existe plug-in pour cet événement dans le \DB\Plugin\ dossier. Si ce n’est pas le cas, il tente de la télécharger à partir de la base de données en fonction des informations contenues dans la EPORegisteredEventPlugins table. Une fois le téléchargement terminé, cet analyseur d’événements plug-in peut ensuite être appelé pour analyser l’événement.


Evénements inconnus :
ePO ne sait pas comment analyser l’événement si ePO reçoit un butL événement.

• Aucun plug-in d’analyseur d’événements n’est disponible pour cet événement dans le \DB\Plugin dossier
  ou
• Il existe dans le EPORegisteredEventPlugins tableau.

Dans la situation ci-dessus, il est considéré comme un événement inconnu . Lorsque cet événement se produit, une activité de journal similaire à la suivante s’affiche dans le eventparser_.log fichier :

W #02796 EVNTPRSR Skipping virus_detection_event no plugin available.

Par défaut, tous les événements inconnus sont supprimés. Cependant, il est possible de configurer ePO, ou un gestionnaire à distance, de manière à ce qu’il stocke ces événements dans un dossier temporaire.

Pour conserver les événements inconnus, suivez les étapes ci-dessous sur le serveur ePO et les gestionnaires de l'agent distants :

ATTENTION : Cet article contient des informations sur l’ouverture ou la modification du Registre.

• Les informations suivantes sont destinées aux administrateurs système. Les modifications apportées au Registre sont irréversibles et peuvent causer des défaillances du système si elles ne sont pas effectuées correctement.
• Avant de poursuivre, le Support technique vous recommande fortement de sauvegarder votre Registre et de bien connaître la procédure de restauration. Pour plus d’informations, reportez-vous à l’article Microsoft Windows informations de Registre pour les utilisateurs expérimentés.
• N'exécutez pas de fichier .REG si vous n'êtes pas certain qu'il s'agit d'un fichier d'importation de Registre authentique.

1. Pour ouvrir le Registre Windows, appuyez sur Windows + R, saisissez regedit.exe , puis cliquez sur OK.
2. Accédez à la clé suivante :
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Network Associates\ePolicy Orchestrator\EventParser\
   
3. Ajoutez le [DWORD] DeleteUnknownEvents s’il n’est pas déjà présent.
4. Définissez la valeur sur 0. La valeur par défaut est 1.
5. Fermez l'éditeur du registre.
6. Redémarrez le service EventParser.

Lorsque la valeur est définie, tous les événements inconnus sont dirigés vers le \DB\Events\Unknown dossier.

Evénements en échec :
Chaque fois que l' EventParser analyse d’un événement échoue, il est placé dans le \DB\Events\Debug dossier.

Remarque : Ce qui précède n’inclut pas les EventParser événements ignorés, comme pour les événements inconnus mentionnés ci-dessus.

Ces événements restent dans le Debug dossier à moins qu’ils ne soient supprimés ou déplacés. Vous pouvez tenter d’effectuer une nouvelle analyse syntaxique de ces événements en les déplaçant du Debug dossier vers la racine du Events dossier.