يقوم كل خادم وجدار حماية ومحول يعمل بنظام Windows في مكتبك بكتابة مذكرات تسجيلات الدخول والفشل والتغييرات. يقوم EventLog Analyzer بجمع تلك اليوميات في مكان واحد حتى تتمكن من قراءتها فعليًا. إليك التثبيت، الذي تم بالترتيب الصحيح، مع الفحوصات التي تثبت نجاحه.
عندما يحدث خطأ ما في الشبكة، يكون السؤال الأول هو نفسه دائمًا: من قام بتسجيل الدخول، ومن أين، وما الذي تغير؟ الإجابات موجودة بالفعل، ومنتشرة عبر عارض الأحداث على كل جهاز. يقوم EventLog Analyzer بسحب سجلات أحداث Windows وسجل النظام من شبكتك بالكامل إلى وحدة تحكم واحدة قابلة للبحث. يغطي هذا الدليل التشغيل الأول الكامل: تخطيط الخادم، وتثبيته كخدمة، وإضافة المصادر الصحيحة أولاً، وإثبات تدفق السجلات قبل الانتهاء من ذلك. الإرشادات المباشرة الكاملة موجودة في الفيديو أعلاه.
يعد EventLog Analyzer أداة لإدارة السجلات وأداة على طراز SIEM من ManageEngine. فهو يجمع سجلات أحداث Windows بدون وكيل أو من خلال وكلاء، ويستقبل سجل النظام من جدران الحماية وأجهزة التوجيه والمحولات وأجهزة Linux على المنافذ 513 و514، ويحولها كلها إلى سجلات قابلة للبحث وتقارير وتنبيهات في الوقت الفعلي. ويأتي مزودًا بتقارير محددة مسبقًا، بما في ذلك قوالب الامتثال للمعايير مثل PCI DSS وHIPAA وSOX وGDPR.
كن واضحا بشأن ما ليس كذلك. لا يقوم بإدارة أجهزة الكمبيوتر أو نشر البرامج أو تصحيح أي شيء؛ أدوات الأخوة تفعل ذلك. وظيفتها الوحيدة هي الدليل: سجل مركزي يمكن البحث فيه حول من فعل ماذا على شبكتك. إذا قمت بتثبيته مع وضع سؤالين أو ثلاثة أسئلة حقيقية في الاعتبار، مثل محاولات تسجيل الدخول الفاشلة وتأمين الحساب، فإن قرارات الإعداد أدناه تصبح سهلة.
برنامج التثبيت نفسه خفيف، لكن خادم السجل عبارة عن قاعدة بيانات متنامية، وليس برنامجًا نهائيًا. ضع EventLog Analyzer على خادم يعمل بنظام التشغيل Windows (أو جهاز يعمل بنظام التشغيل Windows) يبقى قيد التشغيل طوال اليوم، مع مساحة تخزين على محرك أقراص سريع ومساحة للنمو. تصل السجلات كل ثانية من كل مصدر تضيفه، وستستمر البيانات المفهرسة بالإضافة إلى الأرشيفات في استهلاك القرص طالما استمر الاحتفاظ قيد التشغيل.
ثلاث عمليات تحقق قبل تشغيل الإعداد: تتم مزامنة ساعة الجهاز (مغطاة في دليل مزامنة الوقت في هذه السلسلة)، والمنافذ 8400، و513، و514، و33335 مجانية، ولديك حساب خدمة مجال جاهز لجمع سجلات Windows. يعد استخدام حساب خدمة مخصص بدلاً من تسجيل دخول المسؤول الشخصي الخاص بك خطوة صغيرة تمنع حدوث يوم سيء للغاية عند تغيير كلمة المرور.
ManageEngine_EventLogAnalyzer_64bit.exe كمسؤول على الخادم المختار.8400.إن اختيار الخدمة يهم أكثر مما يبدو. كتطبيق عادي، تتوقف عملية التجميع في اللحظة التي يقوم فيها شخص ما بتسجيل الخروج أو إعادة تشغيل الخادم للحصول على التحديثات، ويحصل سجل السجل الخاص بك على فجوات صامتة بالضبط عندما تميل الحوادث إلى الحدوث. كخدمة، فإنها تبدأ بنظام التشغيل ويتم تجميعها على مدار الساعة، وهو الهدف الكامل لخادم السجل.
افتح المتصفح وانتقل إلى http://server-name:8400 وقم بتسجيل الدخول باستخدام حساب المسؤول الافتراضي، ثم قم بتغيير كلمة المرور الخاصة به قبل أي شيء آخر. تتم إضافة أجهزة Windows من الإعدادات، ثم تكوين مصدر السجل، ثم الأجهزة. أضف المجال الخاص بك أولاً ضمن المجالات ومجموعات العمل باستخدام حساب الخدمة، ثم اسمح بملء قائمة الأجهزة، ثم حدد الأجهزة المراد مراقبتها.
في الوضع بدون وكيل، يصل المجمع الموجود على خادم EventLog Analyzer إلى كل جهاز يعمل بنظام Windows عبر WMI وRPC، والذي يستخدم المنافذ 135 و445 و139 بالإضافة إلى منافذ RPC الديناميكية. إذا رفض أحد الأجهزة الاتصال، يكون ذلك دائمًا واحدًا من ثلاثة أشياء: جدار الحماية الموجود على هذا الجهاز، أو بيانات الاعتماد، أو خدمات Windows التي يعتمد عليها WMI. قم بإصلاحها قبل أن تشك في المنتج.
لا تستطيع أجهزة الشبكة تشغيل وكيل، لذا فهي تتحدث سجل النظام بدلاً من ذلك. على جدار الحماية أو خادم Linux، قم بتعيين وجهة سجل النظام إلى عنوان IP الخاص بخادم EventLog Analyzer على المنفذ 514. على مضيف Linux الذي يقوم بتشغيل rsyslog، سطر واحد في التكوين يقوم بذلك:
*.* @192.0.2.10:514
استبدل العنوان بعنوان IP الحقيقي لخادمك، وأعد تشغيل خدمة rsyslog، وأنشئ حدث اختبار واحدًا، مثل فشل تسجيل الدخول إلى SSH. وفي غضون لحظات، يظهر الجهاز في وحدة التحكم ويصبح الحدث قابلاً للبحث. في اللحظة التي تصل فيها سجلات جدار الحماية إلى نفس وحدة التحكم مثل سجلات وحدات التحكم بالمجال، تبدأ الأداة في دفع تكاليفها بنفسها: يمكن لبحث واحد أن يتتبع المستخدم من باب VPN إلى خادم الملفات.
لا تنتهي على شاشة التثبيت؛ الانتهاء من الأدلة. اختر ثلاثة اختبارات: يجب أن تظهر عملية تسجيل الدخول الفاشلة التي قمت بها للتو على محطة العمل في البحث خلال دقيقة أو دقيقتين؛ يجب أن تظهر لوحة المعلومات ارتفاع أعداد أحداث اليوم؛ ويجب أن يُظهر كل مصدر مضاف آخر وقت جديد تم استلامه فيه. إذا كان أي مصدر صامتًا، فإن الساعة أو بيانات الاعتماد أو قواعد جدار الحماية الخاصة به هي المشتبه بها، بهذا الترتيب.
تحذير واحد صادق يجب إغلاقه: يقوم EventLog Analyzer بجمع كل ما تم تكوين المصادر لتسجيله. إذا تم إيقاف تدقيق Windows على الخادم، فلن تتمكن أي أداة من استعادة الأحداث التي لم تتم كتابتها مطلقًا. يعد تشغيل سياسات التدقيق الصحيحة جزءًا من الإعداد، ويوضح دليل التقارير في هذه السلسلة السياسات المهمة.
التثبيت الكامل لـ EventLog Analyzer، مع عرض شاشات وحدة التحكم وإضافة الأجهزة مباشرةً، موجود في الفيديو الكامل.
▶️ Watch Full Videoهناك إصدار تجريبي مدته 30 يومًا يعمل بكامل طاقته، وإصدار مجاني يستمر مع ما يصل إلى خمسة مصادر للسجلات. علاوة على ذلك، يتم حساب الترخيص من خلال عدد مصادر السجل التي تراقبها، وليس من خلال كمية بيانات السجل التي تنتجها. تحقق من صفحة الترخيص الحالية في المنتج قبل إعداد الميزانية، لأن الإصدارات والشروط تتغير.
افتراضيًا، تستخدم وحدة تحكم الويب المنفذ 8400، ويستخدم مستمعو سجل النظام 513 و514، وتستخدم قاعدة البيانات المجمعة 33335. بالنسبة لمجموعة Windows بدون وكيل، تحتاج الأجهزة المستهدفة إلى إمكانية الوصول إلى WMI وRPC، مما يعني أن المنافذ 135 و445 و139 بالإضافة إلى منافذ RPC الديناميكية. تعد جدران الحماية بين الخادم والمصدر السبب الأكثر شيوعًا لبقاء الجهاز صامتًا.
كخدمة، دائما. تبدأ الخدمة مع Windows وتستمر في التجميع عندما لا يقوم أحد بتسجيل الدخول، بما في ذلك بعد إعادة تشغيل التصحيح في الساعة 3 صباحًا. عند تثبيته كتطبيق، يتوقف التجميع بصمت عند انتهاء الجلسة، وعادةً ما تكون الساعات المفقودة هي الساعات التي تحتاجها لاحقًا.