集約
Windows イベントログを syslog サーバへ集約する方法（Fluent Bit 活用）
ネットワーク機器のログは syslog サーバに集めた。しかし Windows サーバのログだけは、各サーバのイベントビューアーを開いて回っている —— そんな「集約の片手落ち」は珍しくありません。本稿では、Windows イベントログを syslog サーバへ転送し、機器のログと同じ画面で横断検索する方法を解説します。鍵になるのは、軽量な転送エージェント Fluent Bit です。
なぜイベントログも集約するのか
Windows イベントログは各サーバのローカルに蓄積され、既定では容量上限に達すると古いものから上書きされていきます。集約しないままでは、次のような場面で困ります。
- 障害の相関が見えない —— スイッチの syslog と、その先のサーバのイベントログを別々の画面で突き合わせるのは骨が折れます。同じ時系列に並んでいれば一目で分かる相関も、分かれていると見落とします。
- サーバが落ちるとログも読めない —— まさに調査したいその瞬間、対象サーバのイベントビューアーは開けません。
- 証跡の保全ができない —— ログオン失敗や設定変更の記録がローカルにしかない状態は、監査の観点でも心もとないものです。
ネットワーク機器の syslog と Windows のイベントログが一つの検索窓に集まって、はじめて「ログを集めた」と言えます。なお、イベントログは機器の syslog より量が多くなりがちです。加える前にディスク容量の見積もりで桁を確認しておくと安心です。
イベントログを外へ出す方法の比較
Windows イベントログを外部へ集める代表的な方法は三つあります。
| 方式 | 概要 | 特徴 |
|---|---|---|
| Windows イベント転送（WEF） | Windows 標準機能で、コレクタとなる Windows サーバへイベントを転送する | 追加ソフト不要だが、集約先もイベントログ形式のまま。syslog と同じ画面には並ばない |
| エージェント型 SIEM／ログ基盤 | 各サーバに専用エージェントを入れて中央基盤へ送る | 高機能だが、基盤自体の構築・運用・費用の負担が大きい |
| 転送エージェント + syslog サーバ | Fluent Bit などの軽量エージェントでイベントログを読み取り、syslog として送る | 既存の syslog サーバに相乗りでき、機器のログと同じ画面で検索できる。本稿の方式 |
Fluent Bit とは — 軽量な転送エージェント
Fluent Bit は、Apache License 2.0 で公開されている軽量のログ転送エージェントです。Windows 版はイベントログを読み取る入力プラグイン（winevtlog）を備えており、指定したチャンネル（System、Application、Security など）のイベントを取り出して、syslog 形式で外部へ送出できます。
仕組みとしては、各 Windows サーバに Fluent Bit を常駐させ、「どのチャンネルを読むか」「どこへ syslog で送るか」を設定ファイルに書く —— それだけです。ただし、実際に手を動かすと、設定ファイルの記法、サービス化、送信先ごとの調整と、台数分の細かな作業が積み上がります。
Yagura のフォワーダキットで省力化する
Windows ネイティブの OSS syslog 集約サーバ Yagura（やぐら）は、この作業を織り込み済みです。Fluent Bit（Apache-2.0）の配布キットを同梱しており、管理画面の「フォワーダキット生成」から、自機（Yagura サーバ）宛の設定が済んだキット（ZIP）を生成できます。
流れは次のとおりです。
- Yagura の管理画面でフォワーダキット（ZIP）を生成する —— 送信先はその Yagura 自身に設定済み
- ZIP を対象の Windows サーバへ持って行き、展開・導入する
- イベントログが syslog として Yagura に届きはじめ、ダッシュボードと検索画面に、機器のログと並んで現れる
設定ファイルの記法を調べ、送信先アドレスを一台ずつ書き込む作業は要りません。
複数サーバへの展開とサイレント導入
フォワーダキットはサイレント導入に対応しているため、対象サーバが多い場合も、配布の仕組み（スクリプト配布や資産管理ツールなど）に乗せて一括展開できます。数十台のサーバに一台ずつ RDP で入って回る必要はありません。
展開後は、Yagura のダッシュボードで送信元ホスト別の受信状況を見れば、どのサーバから届いていて、どのサーバが未導入かが一覧できます。
転送が止まっていないかを見張る
集約で見落とされがちなのが、転送そのものの死活です。エージェントが停止しても、ログが「来なくなる」だけで、エラーはどこにも表示されません。
Yagura には送信元の途絶検知（opt-in）があり、ウォッチリストに登録した送信元からの受信が閾値時間（既定 24 時間）途絶えると警告されます。メール通知（opt-in）に乗せれば、「いつの間にか一か月分のイベントログが欠けていた」という事故を防げます。重要なサーバは、転送を始めた時点でウォッチリストに入れておくのがおすすめです。