Jeder Windows-Server, jede Firewall und jeder Switch in Ihrem Büro führt ein Tagebuch mit Anmeldungen, Fehlern und Änderungen. EventLog Analyzer sammelt diese Tagebücher an einem Ort, sodass Sie sie tatsächlich lesen können. Hier ist die Installation, in der richtigen Reihenfolge durchgeführt, mit den Überprüfungen, die beweisen, dass sie funktioniert.
Wenn in einem Netzwerk etwas schief geht, ist die erste Frage immer dieselbe: Wer hat sich von wo aus angemeldet und was hat sich geändert? Die Antworten sind bereits vorhanden und in der Ereignisanzeige auf jedem Computer verteilt. EventLog Analyzer zieht Windows-Ereignisprotokolle und Syslog aus Ihrem gesamten Netzwerk in eine durchsuchbare Konsole. In diesem Leitfaden wird der gesamte erste Durchlauf behandelt: Planen Sie den Server, installieren Sie ihn als Dienst, fügen Sie zuerst die richtigen Quellen hinzu und prüfen Sie, ob die Protokolle fließen, bevor Sie es als erledigt bezeichnen. Die komplette Live-Komplettlösung finden Sie im Video oben.
EventLog Analyzer ist ein Protokollverwaltungs- und SIEM-ähnliches Tool von ManageEngine. Es sammelt agentenlos oder über Agents Windows-Ereignisprotokolle, empfängt Syslogs von Firewalls, Routern, Switches und Linux-Maschinen an den Ports 513 und 514 und wandelt alles in durchsuchbare Datensätze, Berichte und Echtzeitwarnungen um. Im Lieferumfang sind vordefinierte Berichte enthalten, einschließlich Compliance-Vorlagen für Standards wie PCI DSS, HIPAA, SOX und DSGVO.
Machen Sie sich klar, was es nicht ist. Es verwaltet keine PCs, stellt keine Software bereit und patcht nichts. Geschwister-Tools erledigen das. Seine einzige Aufgabe besteht darin, Beweise zu liefern: eine zentrale, durchsuchbare Historie darüber, wer was in Ihrem Netzwerk getan hat. Wenn Sie bei der Installation zwei oder drei echte Fragen im Hinterkopf haben, etwa fehlgeschlagene Anmeldeversuche und Kontosperrungen, werden die folgenden Setup-Entscheidungen einfacher.
Das Installationsprogramm selbst ist einfach, aber ein Protokollserver ist eine wachsende Datenbank und kein fertiges Programm. Platzieren Sie EventLog Analyzer auf einem Windows-Server (oder einem soliden Windows-Rechner), der den ganzen Tag läuft, mit Speicher auf einem schnellen Laufwerk und Platz zum Erweitern. Von jeder Quelle, die Sie hinzufügen, kommen jede Sekunde Protokolle an, und die indizierten Daten und Archive verbrauchen weiterhin Speicherplatz, solange Sie die Aufbewahrung aktiviert lassen.
Drei Überprüfungen, bevor Sie das Setup ausführen: Die Uhr des Computers ist synchronisiert (siehe Anleitung zur Zeitsynchronisierung in dieser Serie), die Ports 8400, 513, 514 und 33335 sind frei und Sie verfügen über ein Domänendienstkonto, das für die Windows-Protokollerfassung bereit ist. Die Verwendung eines dedizierten Dienstkontos anstelle Ihres persönlichen Administrator-Logins ist ein kleiner Schritt, der einen sehr schlechten Tag verhindert, wenn sich ein Passwort ändert.
ManageEngine_EventLogAnalyzer_64bit.exe als Administrator auf dem ausgewählten Server aus.8400 ändern.Die Serviceauswahl ist wichtiger als es aussieht. Da es sich um eine einfache Anwendung handelt, stoppt die Erfassung, sobald sich jemand abmeldet oder der Server für Aktualisierungen neu startet, und Ihr Protokollverlauf weist genau dann stille Lücken auf, wenn Vorfälle auftreten. Als Dienst beginnt er beim Betriebssystem und sammelt rund um die Uhr, was den Sinn und Zweck eines Protokollservers ausmacht.
Öffnen Sie einen Browser, gehen Sie zu http://server-name:8400 und melden Sie sich mit dem Standardadministratorkonto an. Ändern Sie dann zunächst das Kennwort. Das Hinzufügen von Windows-Maschinen erfolgt über Einstellungen, dann Protokollquellenkonfiguration und dann Geräte. Fügen Sie Ihre Domäne zuerst unter „Domänen und Arbeitsgruppen“ mit dem Dienstkonto hinzu, lassen Sie die Geräteliste füllen und wählen Sie dann die zu überwachenden Computer aus.
Im agentenlosen Modus greift der Collector auf dem EventLog Analyzer-Server über WMI und RPC auf jeden Windows-Computer zu, der die Ports 135, 445 und 139 sowie dynamische RPC-Ports verwendet. Wenn ein Gerät die Verbindung verweigert, liegt das fast immer an einer von drei Ursachen: der Firewall auf diesem Computer, den Anmeldeinformationen oder den Windows-Diensten, von denen WMI abhängt. Beheben Sie diese, bevor Sie das Produkt vermuten.
Netzwerkgeräte können keinen Agenten ausführen, daher sprechen sie stattdessen Syslog. Legen Sie auf Ihrer Firewall oder Ihrem Linux-Server das Syslog-Ziel auf die IP des EventLog Analyzer-Servers an Port 514 fest. Auf einem Linux-Host, auf dem rsyslog ausgeführt wird, erledigt eine Zeile in der Konfiguration Folgendes:
*.* @192.0.2.10:514
Ersetzen Sie die Adresse durch die echte IP Ihres Servers, starten Sie den rsyslog-Dienst neu und generieren Sie ein Testereignis, wie z. B. eine fehlgeschlagene SSH-Anmeldung. Innerhalb weniger Augenblicke erscheint das Gerät in der Konsole und das Ereignis kann durchsucht werden. Sobald die Protokolle einer Firewall in derselben Konsole landen wie die Protokolle Ihrer Domänencontroller, zahlt sich das Tool aus: Eine Suche kann einem Benutzer von der VPN-Tür bis zum Dateiserver folgen.
Beenden Sie den Vorgang nicht auf dem Installationsbildschirm. Schluss mit Beweisen. Wählen Sie drei Prüfungen aus: Eine fehlgeschlagene Anmeldung, die Sie gerade auf einer Workstation verursacht haben, sollte innerhalb von ein oder zwei Minuten in der Suche erscheinen; Das Dashboard sollte einen Anstieg der heutigen Veranstaltungszahlen anzeigen. und jede hinzugefügte Quelle sollte eine neue, zuletzt empfangene Zeit anzeigen. Wenn eine Quelle schweigt, sind ihre Uhr, Anmeldeinformationen oder Firewall-Regeln in dieser Reihenfolge die Verdächtigen.
Eine ehrliche Warnung zum Schließen: EventLog Analyzer sammelt alles, was die Quellen für die Protokollierung konfiguriert haben. Wenn die Windows-Überwachung auf einem Server ausgeschaltet ist, kann kein Tool Ereignisse wiederherstellen, die nie geschrieben wurden. Das Aktivieren der richtigen Überwachungsrichtlinien ist Teil der Einrichtung, und der Berichtsleitfaden in dieser Serie zeigt, welche davon wichtig sind.
Die vollständige EventLog-Analyzer-Installation mit den Live-Anzeigen der Konsolenbildschirme und dem Hinzufügen von Geräten finden Sie im vollständigen Video.
▶️ Watch Full VideoEs gibt eine 30-Tage-Testversion mit vollem Funktionsumfang und eine kostenlose Version, die mit bis zu fünf Protokollquellen weiterläuft. Darüber hinaus wird die Lizenzierung nach der Anzahl der von Ihnen überwachten Protokollquellen berechnet, nicht nach der Menge der Protokolldaten, die sie erzeugen. Überprüfen Sie vor der Budgetierung die aktuelle Lizenzseite im Produkt, da sich Editionen und Bedingungen ändern.
Standardmäßig verwendet die Webkonsole Port 8400, die Syslog-Listener 513 und 514 und die gebündelte Datenbank 33335. Für die agentenlose Windows-Erfassung müssen die Zielmaschinen über WMI und RPC erreichbar sein, d. h. die Ports 135, 445 und 139 sowie dynamische RPC-Ports. Firewalls zwischen dem Server und einer Quelle sind der häufigste Grund, warum ein Gerät stumm bleibt.
Als Service, immer. Ein Dienst startet mit Windows und sammelt weiterhin Daten, wenn niemand angemeldet ist, auch nach Patch-Neustarts um 3 Uhr morgens. Als Anwendung installiert, stoppt die Erfassung stillschweigend, wenn die Sitzung endet, und die fehlenden Stunden sind in der Regel diejenigen, die Sie später benötigen.