Cada servidor, firewall y conmutador de Windows de su oficina escribe un diario de inicios de sesión, fallas y cambios. EventLog Analyzer recopila esos diarios en un solo lugar para que puedas leerlos. Aquí está la instalación, realizada en el orden correcto, con las comprobaciones que demuestran que funciona.
Cuando algo sale mal en una red, la primera pregunta es siempre la misma: ¿quién inició sesión, desde dónde y qué cambió? Las respuestas ya existen, dispersas en el Visor de eventos de cada máquina. EventLog Analyzer extrae registros de eventos de Windows y syslog de toda su red en una consola con capacidad de búsqueda. Esta guía cubre la primera ejecución completa: planifique el servidor, instálelo como un servicio, agregue las fuentes correctas primero y demuestre que los registros fluyen antes de dar por terminado. El recorrido completo en vivo se encuentra en el video de arriba.
EventLog Analyzer es una herramienta de gestión de registros y estilo SIEM de ManageEngine. Recopila registros de eventos de Windows sin agentes o a través de agentes, recibe syslog de firewalls, enrutadores, conmutadores y máquinas Linux en los puertos 513 y 514, y los convierte en registros, informes y alertas en tiempo real con capacidad de búsqueda. Se entrega con informes predefinidos, incluidas plantillas de cumplimiento para estándares como PCI DSS, HIPAA, SOX y GDPR.
Sea claro sobre lo que no es. No administra PC, no implementa software ni parchea nada; las herramientas hermanas hacen eso. Su única función es la evidencia: un historial central y con capacidad de búsqueda de quién hizo qué en su red. Si lo instala con dos o tres preguntas reales en mente, como intentos fallidos de inicio de sesión y bloqueos de cuentas, las siguientes decisiones de configuración se vuelven fáciles.
El instalador en sí es liviano, pero un servidor de registros es una base de datos en crecimiento, no un programa terminado. Coloque EventLog Analyzer en un servidor Windows (o en una máquina sólida con Windows) que permanezca encendido todo el día, con almacenamiento en un disco rápido y espacio para crecer. Los registros llegan cada segundo de cada fuente que agregue, y los datos indexados y los archivos seguirán consumiendo el disco mientras mantenga activada la retención.
Tres comprobaciones antes de ejecutar la instalación: el reloj de la máquina está sincronizado (se trata en la guía de sincronización de hora de esta serie), los puertos 8400, 513, 514 y 33335 son gratuitos y tiene una cuenta de servicio de dominio lista para la recopilación de registros de Windows. Usar una cuenta de servicio dedicada en lugar de su inicio de sesión de administrador personal es un pequeño paso que evita un día muy malo cuando cambia una contraseña.
ManageEngine_EventLogAnalyzer_64bit.exe como administrador en el servidor elegido.8400.La elección del servicio importa más de lo que parece. Como una aplicación simple, la recopilación se detiene en el momento en que alguien cierra la sesión o el servidor se reinicia para obtener actualizaciones, y su historial de registros guarda espacios silenciosos exactamente cuando los incidentes tienden a ocurrir. Como servicio, comienza con el sistema operativo y se recopila las 24 horas del día, que es el objetivo de un servidor de registros.
Abra un navegador y vaya a http://server-name:8400 e inicie sesión con la cuenta de administrador predeterminada, luego cambie su contraseña antes que nada. La adición de máquinas Windows se realiza desde Configuración, luego Configuración de origen de registro y luego Dispositivos. Primero agregue su dominio en Dominios y grupos de trabajo usando la cuenta de servicio, deje que se complete la lista de dispositivos y luego seleccione las máquinas para monitorear.
En el modo sin agente, el recopilador del servidor EventLog Analyzer llega a cada máquina Windows a través de WMI y RPC, que utiliza los puertos 135, 445 y 139 además de puertos RPC dinámicos. Si un dispositivo se niega a conectarse, casi siempre es una de tres cosas: el firewall de esa máquina, las credenciales o los servicios de Windows de los que depende WMI. Arréglelos antes de sospechar del producto.
Los dispositivos de red no pueden ejecutar un agente, por lo que en su lugar hablan syslog. En su firewall o servidor Linux, configure el destino de syslog en la IP del servidor EventLog Analyzer en el puerto 514. En un host Linux que ejecuta rsyslog, una línea en la configuración lo hace:
*.* @192.0.2.10:514
Reemplace la dirección con la IP real de su servidor, reinicie el servicio rsyslog y genere un evento de prueba, como un inicio de sesión SSH fallido. En unos momentos, el dispositivo aparece en la consola y el evento se puede buscar. En el momento en que los registros de un firewall llegan a la misma consola que los registros de sus controladores de dominio, la herramienta comienza a pagarse por sí sola: una búsqueda puede seguir a un usuario desde la puerta de la VPN hasta el servidor de archivos.
No termine en la pantalla de instalación; terminar con las pruebas. Elija tres comprobaciones: un inicio de sesión fallido que acaba de provocar en una estación de trabajo debería aparecer en la búsqueda en uno o dos minutos; el panel debería mostrar el aumento del recuento de eventos de hoy; y cada fuente agregada debe mostrar una nueva hora de última recepción. Si alguna fuente guarda silencio, su reloj, credenciales o reglas de firewall son los sospechosos, en ese orden.
Una advertencia honesta para cerrar: EventLog Analyzer recopila las fuentes que están configuradas para registrar. Si la auditoría de Windows está desactivada en un servidor, ninguna herramienta puede recuperar eventos que nunca se escribieron. Activar las políticas de auditoría adecuadas es parte de la configuración, y la guía de informes de esta serie muestra cuáles son importantes.
La instalación completa de EventLog Analyzer, con las pantallas de la consola y el dispositivo agregado mostrado en vivo, se encuentra en el video completo.
▶️ Watch Full VideoHay una prueba de 30 días que es completamente funcional y una edición gratuita que continúa con hasta cinco fuentes de registro. Más allá de eso, las licencias se cuentan por la cantidad de fuentes de registros que monitorea, no por la cantidad de datos de registros que producen. Consulte la página de licencia actual del producto antes de realizar un presupuesto, porque las ediciones y los términos cambian.
De forma predeterminada, la consola web usa el puerto 8400, los oyentes de syslog usan 513 y 514, y la base de datos incluida usa 33335. Para la recopilación de Windows sin agente, las máquinas de destino necesitan que se pueda acceder a WMI y RPC, lo que significa que los puertos 135, 445 y 139 más puertos RPC dinámicos. Los firewalls entre el servidor y una fuente son la razón más común por la que un dispositivo permanece en silencio.
Como servicio, siempre. Un servicio se inicia con Windows y continúa recopilando cuando nadie ha iniciado sesión, incluso después de que se reinicia el parche a las 3 a.m. Instalada como una aplicación, la recopilación se detiene silenciosamente cuando finaliza la sesión y las horas que faltan suelen ser las que necesitas más adelante.