日志审计agent运行状态

Windows agent日志源无法收到日志

问题描述：Windows Agent日志功能开启后，[审计]-[日志查询]中无日志。

排查方法：

·     检查是否配置并开启相应日志过滤规则。

·     Telnet测试日志源到日志审计平台TCP5145是否可达。

·     检查日志源服务器任务管理器进程中是否包含系统日志采集的winlogbeat.exe或流量采集的packetbeat.exe或文件采集的filebeat.exe进程。无对应的进程，请重新按照操作文档安装Windows Agent。

·     检查windows服务器的安全审计日志是否开启

·     升级E6101P05版本后windows agent采集的日志资产类型必须为windows客户端

·     进入资产->资产列表页面查看windows agent资产的资产类型，应为windows客户端，非windows系列，E6101P05之后版本做了校验，资产类型选择错误将会存在上述问题，如类型错误需要修改正确，修改后需要等待5-20分钟左右重新加载解析规则，解析规则加载后可正常接收日志

·     资产类型已经正确还存在上述问题，需要查看资产类表页面下方的解析规则条数，AK640规格为5000AK645为8000条，超出后可能会导致windowsagent端口down掉，请在规格内使用。

·     升级E6101P06版本，超出规格后添加编辑资产会跳出提示信息，解析规则加载规格，继续添加会导致windows无法接收日志。

·     具体降低规格方法需要修改资产类型、类别、业务类型为other，或者删除资产可以降低解析规则条数，解析规则数量降至规格下，可恢复正常