Aplica A: ThreatSync+ NDR
El Agente de Registro de Windows es un agente de colección que lee los registros del servidor DHCP de Windows y, a continuación, los reenvía al Agente de Colección de ThreatSync+ NDR. A continuación, el Agente de Colección de ThreatSync+ NDR reenvía los registros DHCP a WatchGuard Cloud.
Para realizar un seguimiento de los dispositivos cuando cambian su dirección IP, le recomendamos que utilice el Agente de Registro de Windows para recopilar registros DHCP de Active Directory. Agregue y configure el Agente de Registro de Windows en todos los servidores DHCP.
Requisitos del Sistema para el Agente de Registro de Windows
Puede instalar Agente de Registro de Windows en estos sistemas operativos:
- Windows Server 2019
- Windows Server 2022
Algunos de estos servidores también podrían ser controladores de dominio.
El instalador de Windows es compatible con computadoras con un procesador x86 o ARM.
Para más información sobre los sistemas operativos y entornos de virtualización admitidos, vaya a la sección Resolver Problemas del Agente de Registro de Windows en este documento o en Compatibilidad del Sistema Operativo para Componentes ThreatSync+ NDR en las Notas de Versión de ThreatSync+ NDR.
Acerca del Agente de Registro de Windows para ThreatSync+ NDR
Para recopilar registros DHCP de Active Directory, debe agregar y configurar ambos tipos de agentes de colección en su red: primero el Agente de Colección de ThreatSync+ NDR (para Windows o Linux) y luego el Agente de Registro de Windows.
Los Agentes de Registro de Windows se configuran en la página Colectores.
La pestaña Agentes de Registro de Windows muestra estas columnas:
- Nombre — Nombre del agente de colección.
- Dirección IP — Dirección IP de la computadora donde está instalado el colector.
- Dirección IP del Colector — Dirección IP del colector.
- Última Actualización — Fecha y hora de la última actualización de los datos.
- Monitorización de DHCP — Muestra el estado de la monitorización de DHCP. Por ejemplo, En Ejecución o Detenido.
- Monitorización de NXLog — Muestra el estado de la monitorización de NXLog. Por ejemplo, En Ejecución o Detenido.
- Dominio — El dominio del agente de registro de Windows.
- Estado — Muestra el estado del agente de registro de Windows. Haga clic en el estado para ver más información. Este puede incluir:
- Éxito — El colector está instalado y recibe datos de la red.
- Sin Información — No se pudo informar el estado del colector.
- Desconectado — El colector está desconectado.
- Error — El colector encontró un error. Para más información, vaya a Resolver Problemas del Agente de Registro de Windows.
Antes de Empezar
Debe instalar el Agente de WatchGuard y el Agente de Colección de ThreatSync+ NDR antes de instalar el Agente de Registro de Windows. Asegúrese de revisar los requisitos del sistema para el Agente de Colección de ThreatSync+ NDR para su entorno.
Para instalar y configurar el Agente de WatchGuard y el Agente de Colección de ThreatSync+ NDR para Windows, vaya a Configurar Colectores para ThreatSync+ NDR (Computadoras con Windows).
Para instalar y configurar el Agente de WatchGuard y el Agente de Colección de ThreatSync+ NDR para Linux, vaya a Configurar Colectores para ThreatSync+ NDR (Computadoras con Linux).
Agregar un Colector de Agente de Registro de Windows
Agregue y configure el Agente de Registro de Windows en todos los servidores DHCP de su red.
Después de agregar un servidor como colector del Agente de Registro de Windows, asegúrese de configurar los conmutadores administrados para enviar datos NetFlow al colector. Para más información, vaya a la documentación del producto disponible en el conmutador.
Para agregar un Agente de Registro de Windows:
- Inicie sesión en su cuenta de WatchGuard Cloud.
- Para las cuentas Service Provider, en el Administrador de Cuentas, seleccione Mi Cuenta.
- Seleccione Configurar > Integraciones de ThreatSync+ > Colectores.
- En la pestaña Agente de Registro de Windows, haga clic en Agregar Colector.
Se abre la página Agregar Agente de Registro de Windows.
- En la lista desplegable Host, seleccione la computadora que desea utilizar como Agente de Registro de Windows.
Esta lista incluye todos los servidores que tienen instalado el Agente de WatchGuard. Para actualizar la lista de computadoras y servidores disponibles, haga clic en
- En el cuadro de texto Dirección IP del Agente de Colección de ThreatSync+ NDR, ingrese la dirección IP de la computadora para la que haya configurado el Agente de Colección de ThreatSync+ NDR.
Puede ver la dirección IP en la pestaña Agentes de Colección de ThreatSync+ NDR. - Haga clic en Guardar.
El agente de registro comienza a enviar datos a ThreatSync+ NDR. Puede ver la información de tráfico reportada en la página Resumen de la Red. Para más información, vaya a Acerca de la Página Resumen de ThreatSync+. - (Opcional) Para agregar un nuevo Agente de Colección de ThreatSync+ NDR, haga clic en Agregar Agente de Colección de ThreatSync+ NDR. Para más información, vaya a Agregar un Agente de Colección de ThreatSync+ NDR para Windows o Agregar un Agente de Colección de ThreatSync+ NDR para Linux.
Si se produce una interrupción del suministro de energía del equipo en el que están instalados los agentes o si la computadora se reinicia después de instalar las actualizaciones, asegúrese de reiniciar la computadora.
Editar un Colector de Agente de Registro de Windows
Puede configurar un Agente de Registro de Windows existente para utilizarlo con un Agente de Colección de ThreatSync+ NDR que haya instalado anteriormente.
Para configurar un Agente de Registro de Windows existente:
- Inicie sesión en su cuenta de WatchGuard Cloud.
- Para las cuentas Service Provider, en el Administrador de Cuentas, seleccione Mi Cuenta.
- Seleccione Configurar > Integraciones de ThreatSync+ > Colectores.
- En la pestaña Agentes de Registro de Windows, junto al Agente de Registro de Windows que desea editar, haga clic en
. Haga clic en Editar.
Se abre la página Editar Agente de Registro de Windows.
- En la sección Agente de Colección de ThreatSync+ NDR, ingrese la dirección IP de un Agente de Colección de ThreatSync+ NDR.
- Haga clic en Guardar.
- (Opcional) Para agregar un nuevo Agente de Colección de ThreatSync+ NDR, haga clic en Agregar Agente de Colección de ThreatSync+ NDR.
Eliminar un Colector de Agente de Registro de Windows
Si ya no desea utilizar un Colector de Agente de Registro de Windows específico, puede eliminarlo de la UI de Integraciones de ThreatSync+. Cuando elimina el agente de registro de la UI, el Agente de WatchGuard desinstala automáticamente el agente de registro.
Para eliminar un Agente de Registro de Windows:
- Inicie sesión en su cuenta de WatchGuard Cloud.
- Para las cuentas Service Provider, en el Administrador de Cuentas, seleccione Mi Cuenta.
- Seleccione Configurar > Integraciones de ThreatSync+ > Colectores.
- En la pestaña Agentes de Registro de Windows, seleccione uno o más colectores que desee eliminar.
- Haga clic en Eliminar.
Si desea eliminar el Agente de WatchGuard junto con los colectores, vaya a Eliminar el Agente de Colección de ThreatSync+ NDR para Windows o Eliminar el Agente de Colección de ThreatSync+ NDR para Linux.
Resolver Problemas del Agente de Registro de Windows
Si la información de tráfico notificada no aparece en la página Resumen de Red en un plazo de 60 a 90 minutos, puede utilizar la información de esta sección para la resolución de problemas.
Para resolver problemas del Agente de Registro de Windows:
- En el Panel de Control de Windows, confirme que esté instalado el Agente de Registro de Windows.
- Asegúrese de que la computadora con Windows cumple los requisitos descritos en la sección Requisitos del Sistema para el Agente de Registro de Windows . Puede instalar el Agente de Registro de Windows en dispositivos Windows con Windows Server 2019 o Windows Server 2022 instalado.
- Asegúrese de que el servidor pueda comunicarse con el agente de Colección de ThreatSync+ NDR a través del puerto 514. Asegúrese de que ninguna regla de firewall bloquee el tráfico desde el puerto 514.
- Asegúrese de que la virtualización esté habilitada en la BIOS. Estos entornos de virtualización están verificados:
| Entorno de Virtualización del Agente de Registro de Windows | Microsoft Windows Server 2019 | Microsoft Windows Server 2022 |
|---|---|---|
| VMware ESXi 6.7 |  | |
| VMware ESXi 7.0.3 | | |
| VMware ESXi 8.0 | | |
- Confirme que el servicio NXLog esté en ejecución (nxlog.exe). Revise los archivos NXLog para detectar errores. (c:\Program Files\nxlog):
- Revise los archivos *.conf, *.pm, *.log y las carpetas recurrentes.
- Revise el archivo %windir%\temp\WatchGuard_Log_Collection_Agent_**************.log
- Revise el archivo %windir%\temp\WatchGuard_Log_Collection_Agent_**************_000_NXLog.log
- Revise el archivo %windir%\temp\WatchGuard_Log_Collection_Agent\WatchGuard_Log_Collection_Agent**************_001_NXLogconf.log
- Asegúrese de que no haya ninguna instalación previa de NXLog de otro proveedor de software.
- En WatchGuard Cloud, en la página Configurar > Integraciones de ThreatSync+ > Colectores, revise estas columnas en la tabla Agentes de Registro de Windows:
- Monitorización de DHCP — Muestra el estado de la monitorización de DHCP. Por ejemplo, En Ejecución o Detenido.
- Monitorización de NXLog — Muestra el estado de la monitorización de NXLog. Por ejemplo, En Ejecución o Detenido.
- Estado — Muestra el estado de los Agentes de Registro de Windows. Haga clic en el estado para obtener más información. Por ejemplo, Error o Éxito.
- Puede ver los registros del Agente de WatchGuard en /usr/local/management-agent/log para más información sobre la resolución de problemas.
Acerca de los Colectores de ThreatSync+ NDR
Configurar Colectores para ThreatSync+ NDR (Computadoras con Windows)
Configurar Colectores para ThreatSync+ NDR (Computadoras con Linux)