イベント フィルタリング
イベントは、ENS または McAfee Agent などの管理対象製品によって生成されます。 イベント フィルタリング 設定により、以下が決まります。

• イベントがエンドポイントで生成されるかどうか
  および
• イベントが登録済みの Syslog サーバーにも転送される場合

イベント フィルタリングは、管理対象の製品またはプラットフォームに関係なく、すべてのエージェントに影響を与える単一のグローバル設定です。 ePO コンソールで以下の手順を使用して、イベントを有効または無効にします。 または、イベントを SIEM に送信します (syslog サーバーに送信)。

1. ePO コンソールにログオンします。
2. [メニュー]、[設定]、[サーバー設定] をクリックします。
3. [カテゴリの設定] 列の下にある イベント フィルタリング をクリックし、[編集] をクリックします。
4. 必要に応じて、イベント ID の選択または解除を行います。 または、ePO、SIEM、またはその両方にのみ保存することを選択し、[保存] をクリックします。

注: ePO にリストされている McAfee が管理する製品生成イベント ID のリストについては、 KB54677 を参照してください。

有効または無効になったイベントのリストに変更が加えられると、この変更は ePO サーバーに保存されます。 次に、クライアントは EvtFiltr.ini という名前のファイルを介してそれをダウンロードしました。 EvtFiltr.ini ファイルには、ePO のイベント フィルタリング設定内で無効にされたすべてのイベントのリストが含まれています。 クライアントに保存されている EvtFiltr.ini ファイルのコピーに特定のイベントIDが含まれていない場合、このイベントをクライアントで生成できます。

EvtFiltr.ini ファイルは、McAfee Agent Data ディレクトリの下にあります。 その場所はオペレーティング システムによって異なります。

• Windows の場合: C:\ProgramData\McAfee\Agent\
• Linux および macOS の場合: /var/McAfee/agent/scratch

イベントを生成する
イベントは、以下のいずれかの方法で生成されます。

• MA dll (ma_event_service.dll) を呼び出すことによる、ENS などの管理対象製品。
  または
• 古いレガシー LPC プラグインを使用する製品は、AgentEvents フォルダーにイベントを保存します。

MAR, EDR, DLP 11.4 以降などの新しい製品では、イベントは MA データベース (..\ProgramData\McAfee\Agent\DB) に保存されます。 イベントの優先度が低い場合、エージェント イベント フォルダーに保持され、次の ASCI で ePO サーバーにアップロードされます。

• イベントの優先度が高い場合は、すぐにアップロードされます。 ([MA 一般ポリシー] > [イベント] タブで設定された優先イベント転送）。
  
  注: エージェント イベント フォルダは、オペレーティング システムによって異なるエージェント ディレクトリ構造の下にあります。
  
  • Windows の場合: C:\ProgramData\McAfee\Agent\AgentEvents
  • Linux、macOS の場合: /var/McAfee/agent/AgentEvents

トラブルシューティング

エンドポイント
まず、次のいずれかの方法で、エンドポイントでイベントが生成されていることを確認します。

• AgentEvents フォルダー
• イベントを生成する製品が新しい msgbus 製品である場合、MA データベース。

1. エンドポイントでイベントを簡単にキャプチャできるように、エージェントがイベントを ePO サーバーにアップロードしないように一時的に設定します。 次のいずれかを実行して、アップロードを防止します。
   注: 通常、これらのいずれかを実行せずに、エンドポイントでイベントのコピーをキャプチャするための十分な時間があります。
   
   • クライアントで McAfee Agent サービスを停止します。
   • ePO サーバーと エージェント ハンドラー (Apache サービス) で ePolicy Orchestrator サーバー サービスを停止します。
   • クライアント システムでネットワーク アダプターを無効にします。

2. アクションを再現し、システム上で特定のイベントまたは一般的な検出イベントを生成します。 以下を参照してください。
   • マカフィー製品で EICAR マルウェア対策テスト ファイルを使用する方法 (KB59742)
   • SPAM 製品については、GTUBE という類似のテスト ファイルを使用してください。 外部の電子メールアドレスから会社のアドレスに電子メールで送信し、 SPAM スキャナを通過させます。
     GTUBE テスト ファイルは http://spamassassin.apache.org/gtube/ から入手できます。
   • AgentEvents フォルダーで、ePO サーバーへのアップロードを待機しているランダムな名前のファイルを探します。
   • MAR、EDR、DXL、DLP 11.4 以降などの msgbus を使用する製品の場合、クライアントから MER 結果を収集する必要があります。 または、MA \db および \keystore ファイルを収集し、MER アナライザーを使用してイベントを表示します。
   • イベントを開いて、イベントのプロパティを確認します。 ほとんどのイベントは典型的な xml ファイルです。 これらのファイルを開き、ブラウザまたは Notepad++ などのテキスト エディタを使用してイベントの詳細を表示できます。
     
3. 次のいずれかの方法を使用して、ePO サーバーへの接続を再度有効にします（手順 1 で実行したアクションに応じて）。
   • クライアントで McAfee Agent サービスを開始します。
   • エージェント ハンドラー サービスを開始します。
   • クライアントでネットワーク アダプターを有効にします。
     
4. 通常の優先度イベントは、通常のエージェントからサーバーへの通信間隔中にアップロードされます。 McAfee Agent ステータス モニター の イベントの送信 ボタンを使用して、これらをすぐにアップロードできます。
   

サーバー (ePO サーバーのエージェント ハンドラー、または他のサーバー)

イベントの受信:
McAfee Agent がイベントをアップロードした後、Apache サービスがイベントを受信します。 その後、ePO サーバーまたはリモート エージェント ハンドラーのいずれかで処理されます。 次に、ハンドラーはイベントを Events フォルダーに格納し、Server_.log に次のようなログが表示されます:

I #10244 NAIMSERV Received [Event] from <name of client system> :{75BCADA0-16B4-11EA-27C6-005056014A0F}
I #10244 NAIMSERV Processed [Event] from <name of client system>:{75BCADA0-16B4-11EA-27C6-005056014A0F} in 0ms

イベント フォルダの場所: \DB\Events


イベントの解析または転送:
eventparser_.log ファイルには、イベントがデータベースに正常に解析された場合、同様のログ アクティビティがあります。

設定されている場合、イベントは syslog レシーバーに転送される可能性があります。 この場合、LogLevel 8 ( KB56207 を参照) が　ePO　サーバーまたはリモート　エージェント　ハンドラーで有効になっていると、eventparser_.log ファイルに次のようなアクティビティが表示されます:

#07008 EVNTPRSR source\SyslogForwarder.cpp(371): Found cached work item data for tenant 1: bpsid=1, guid={00000000-0000-0000-0000-000000000000}, nodepath=1\2
#07008 EVNTPRSR source\SyslogForwarder.cpp(376): Construct new work item for tenant 1: bpsid=1, guid={00000000-0000-0000-0000-000000000000}, nodepath=1\2
#07008 MFEFIPS mfefips_SSLSubSys.cpp(230): Using cached connection for :6514


脅威タイプのイベント（マルウェアが検出され、アクセス保護ルールがトリガーされた）の場合、イベントが Threat Event Log に表示されます。 ePO　コンソールの [レポート] メニューの下に表示されます。 正常に解析されたイベントは、[クエリとレポート] の [イベント] クエリを使用してクエリできます。


イベント フローのトラブルシューティング:

1. イベントがエンドポイントで生成されていません:
   1. イベントが EvtFiltr.ini ファイルの無効なイベントの 1 つとしてリストされていないことを確認します。
   2. イベントを生成する可能性のあるアクションの再現を試み、masvc_.log ファイルでエラーを探します。
   3. イベントを生成する管理対象製品が実行されていることを確認します。
      
2. イベントは ePO サーバーまたは エージェント ハンドラーに送信されていません:
   1. ハンドラーとの通信またはイベントの送信を試みた直後に、masvc_.log ファイルでエラーを探します。
   2. Apache サービスが ePO サーバーまたはエージェント ハンドラーで実行されていることを確認します。
      
3. イベントがエンドポイントから正常にアップロードされたことを確認した後、イベントは ePO に表示されません。
   1. クライアントが ePO サーバーまたはリモート エージェント ハンドラーと通信しているかどうかを確認します。
   2. クライアントがイベントを転送した直後に発生した可能性のあるエラーがないか、eventparser_.log ファイルを調べます。
   3. eventparser log ファイルにエラーが見つかった場合は、イベントのコピーを取得してみてください。 ラボの ePO サーバーで正常に解析できるかどうかを確認してください。
   4. イベントを生成した管理対象製品に最新の拡張ファイルがインストールされていることを確認します。
   5. 管理対象製品の別のレポート拡張ファイルがあるかどうかを確認します。 必要に応じて拡張ファイルをインストールします。
      
4. Syslog サーバーはイベントを受信しません:
   1. クライアントが ePO サーバーまたはリモート エージェント ハンドラーと通信しているかどうかを確認します。
   2. イベントがクライアントから転送された直後に発生した可能性のあるエラーがないか、eventparser_.log ファイルを調べます。
   3. ePO コンソールで、登録済み Syslog サーバーを編集し、[詳細] タブの [接続のテスト] オプションが成功することを確認します。

EventParser- によって解析されないイベントに関する追加情報

イベント プラグイン:
VSE、HIP、または DLP を介して生成されたイベントは、イベント パーサー プラグインを介して解析されます。 このプラグインは、管理対象製品の拡張ファイルをインストールしたときにインストールされます。 これらのプラグインは、データベースへのイベントの書き込みを担当し、.\DB\Plugin フォルダーの下の ePO またはエージェント ハンドラー インストール フォルダー内にインストールされます。

注: 一部の管理対象製品には、このプラグインを含む個別の レポート 拡張ファイルが含まれています。 たとえば、VirusScan Enterprise には管理拡張ファイルとレポート拡張ファイルがあります。 イベント解析プラグインは、レポート拡張ファイルを介してのみ追加されます。

EventParser サーバーがイベントを処理しようとすると、 \DB\Plugin\ フォルダーの下にこのイベントに必要なイベント　パーサー　プラグインが存在するかどうかを確認します。 存在しない場合は、EPORegisteredEventPlugins テーブルに含まれている情報に従ってデータベースからダウンロードしようとします。 ダウンロードすると、このイベント　パーサー　プラグインを呼び出してイベントを解析できます。


不明なイベント:
ePO が butL イベントを受信した場合、ePO　はイベントを解析する方法を知りません。

• \DB\Plugin フォルダーの下にあるこのイベントに使用できるイベント パーサー プラグインはありません
  または
• EPORegisteredEventPlugins テーブル内に存在します

上記の状況では、不明なイベントと見なされます。 このイベントが発生すると、eventparser_.log ファイルに次のようなログ アクティビティが表示されます。

W #02796 EVNTPRSR Skipping virus_detection_event no plugin available.

デフォルトでは、不明なイベントはすべて削除されます。 ただし、ePO　またはリモート ハンドラーを設定して、これらのイベントを一時フォルダーに保存することは可能です。

不明なイベントを保持するには、ePO　サーバーとリモート エージェント ハンドラーで次の手順に従います。

注: この記事には、レジストリの起動または変更に関する情報が含まれています。

• 以下の情報はシステムの管理者が使用することを想定しています。レジストリの変更は元に戻せません。誤った変更を行うとシステム障害が発生する可能性があります。
• テクニカル サポートは、実行する前にレジストリのバックアップを取得すること、リストア方法について理解しておくことを強くお勧めします。詳細については、 advanced users 記事のレジストリ情報の Microsoft Windows を参照してください。
• 正規のレジストリ インポート ファイルであることが確認されていない REG ファイルを実行しないでください。

1. Windows レジストリを開くには、Windows + R を押し、 regedit.exe と入力して、[OK]　をクリックします。
2. 次のキーに移動します。
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Network Associates\ePolicy Orchestrator\EventParser\
   
3. [DWORD] DeleteUnknownEvents　を追加します。 存在しない場合には、
4. 値を　0　に設定します。 デフォルト値は 1 です。
5. レジストリ エディタを終了します。
6. EventParser サービスを再起動します。

値が設定されると、すべての不明なイベントは　\DB\Events\Unknown フォルダーに移動します。

失敗したイベント:
EventParser がイベントの解析に失敗すると、 \DB\Events\Debug フォルダーに移動します。

注: 上記には、上記の不明なイベントのように、EventParser がスキップするイベントは含まれていません。

これらのイベントは、削除または移動しない限り、Debug フォルダーに残ります。 これらのイベントを Debug フォルダーから Events フォルダーのルートに戻すことで、これらのイベントの再解析を試みることができます。