ak640agent

Windows agent日志源无法收到日志

问题描述：Windows Agent日志功能开启后，[审计]-[日志查询]中无日志。

排查方法：

·     检查是否配置并开启相应日志过滤规则。

·     Telnet测试日志源到日志审计平台TCP5145是否可达。

·     检查日志源服务器任务管理器进程中是否包含系统日志采集的winlogbeat.exe或流量采集的packetbeat.exe或文件采集的filebeat.exe进程。无对应的进程，请重新按照操作文档安装Windows Agent。

·     检查windows服务器的安全审计日志是否开启

·     升级E6101P05版本后windows agent采集的日志资产类型必须为windows客户端

·     进入资产->资产列表页面查看windows agent资产的资产类型，应为windows客户端，非windows系列，E6101P05之后版本做了校验，资产类型选择错误将会存在上述问题，如类型错误需要修改正确，修改后需要等待5-20分钟左右重新加载解析规则，解析规则加载后可正常接收日志

·     资产类型已经正确还存在上述问题，需要查看资产类表页面下方的解析规则条数，AK640规格为5000AK645为8000条，超出后可能会导致windowsagent端口down掉，请在规格内使用。

·     升级E6101P06版本，超出规格后添加编辑资产会跳出提示信息，解析规则加载规格，继续添加会导致windows无法接收日志。

·     具体降低规格方法需要修改资产类型、类别、业务类型为other，或者删除资产可以降低解析规则条数，解析规则数量降至规格下，可恢复正常

Syslog日志源无日志

问题描述：配置并开启日志源Syslog日志外发功能后，`[审计]-[日志查询]`中无日志。

·     检查是否配置并开启相应日志过滤规则。

·     使用`[系统]-[日志监测]`监测日志审计平台是否收到数据包。收到数据包，无日志，则记录现象，反馈问题；未收到则按以下步骤排查。

·     无新日志问题：检查是否有新的活动日志，检查方法为模拟不影响业务的操作触发新日志

·     配置问题：咨询并检查是否正确配置日志外发。

·     网络问题：检查网络接入、防火墙安全策略等网络连接和配置问题。

·     数据索引：检查查询日期的数据索引是否开启