Sumo Logic WindowsEventLogCollectionError 해결 방법

Sumo Logic이라는 이 처음 접하는 프로그램은 쉽지가 않다. 잘 수집되던 로그가 WindowsEventLogCollectionError가 발생하면서 로그가 수집되지 않았다. 몇 개의 Collector를 설치해보고 WindowsEventLogCollectionError가 바로 발생하는 경우도 있었고, 지금처럼 잘 수집되다가 안되는 경우도 있다. 어떻게 해결할 수 있을까?

Sumo Logic WindowsEventLogCollectionError

 

 

Sumo Logic WindowsEventLogCollectionError 해결 방법

 

 

1. 로그 수집에 사용된 계정 그룹 확인

로그 수집에 사용된 계정이 Event Log Readers에 포함되지 않으면, 로그를 수집할 권한이 없다. 따라서 로그를 수집할 수 없는 상황이 되어 이 문제가 발생할 수 있다.

로그 수집에 사용된 계정이 Event Log Readers에 포함되었는지 확인

 

 

 

 

2. 계정 로그인 정보 확인

도메인 계정을 사용하고 있었는데, GPO에 의해 암호가 일정 기간 지나면 변경되는 설정이 되어 있었다. 그래서 기존 계정 정보를 변경하지 않았음에도 불구하고 계정을 사용할 수 없는 상태였다. 처음부터 WindowsEventLogCollectionError가 발생 했다면, 계정 로그인 정보(도메인, ID, PW)를 다시 확인하고 입력해 본다.

계정 로그인 정보 확인

 

 

 

3. 방화벽 확인

Sumo Logic Collector가 설치된 장치와 로그를 수집해야 하는 통신이 되지 않는 것이다.

윈도우 방화벽이나 인프라에 설치된 방화벽의 영향을 받는지 확인해야 한다.

 

Sumo Logic Collector -> 로그 수집 대상과의 통신 시 허용되야 할 포트

Remote Event Log Management (NP-In), Remote Event Log Management (RPC), Remote Event Log Management (RPC-EPMAP)이다. 방화벽에 보이는 Remote Event Log Management를 다 허용하면 된다.

 

참조 링크 : https://help.sumologic.com/docs/send-data/installed-collectors/sources/preconfigure-machine-collect-remote-windows-events/

Preconfigure a Machine to Collect Remote Windows Events | Sumo Logic Docs

 

Sumo Logic Collector -> Sumo Logic Management Page와 통신시 허용되어야 할 포트

참조링크에 있는 사이트를 확인하고 허용해야 할 주소를 확인 후 인프라 방화벽에서 허용 정책을 생성 적용한다.

 

참조 링크 : https://crossjin.tistory.com/entry/Sumo-Logic-Collector-%ED%99%94%EC%9D%B4%ED%8A%B8%EB%A6%AC%EC%8A%A4%ED%8A%B8

Sumo Logic 화이트리스트

 

 

Sumo Logic WindowsEventLogCollectionError에 대한 포럼에 작성된 참조 글 : https://support.sumologic.com/support/s/article/8058015964823-Remote-Windows-Event-Log-source-fails-to-connect-to-the-event-channel

Remote Windows Event Log source fails to connect to the event channel