Chaque serveur, pare-feu et commutateur Windows de votre bureau rédige un journal des connexions, des échecs et des modifications. EventLog Analyzer collecte ces journaux en un seul endroit afin que vous puissiez réellement les lire. Voici l'installation, effectuée dans le bon ordre, avec les vérifications qui prouvent qu'elle fonctionne.
Lorsqu'un problème survient sur un réseau, la première question est toujours la même : qui s'est connecté, depuis où et qu'est-ce qui a changé ? Les réponses existent déjà, dispersées dans l'Observateur d'événements sur chaque machine. EventLog Analyzer extrait les journaux d'événements Windows et le syslog de l'ensemble de votre réseau dans une seule console consultable. Ce guide couvre la première exécution complète : planifiez le serveur, installez-le en tant que service, ajoutez d'abord les bonnes sources et prouvez que les journaux circulent avant de terminer. La procédure complète en direct se trouve dans la vidéo ci-dessus.
EventLog Analyzer est un outil de gestion des journaux et de style SIEM de ManageEngine. Il collecte les journaux d'événements Windows sans agent ou via des agents, reçoit les journaux système des pare-feu, des routeurs, des commutateurs et des machines Linux sur les ports 513 et 514, et transforme le tout en enregistrements, rapports et alertes en temps réel consultables. Il est livré avec des rapports prédéfinis, notamment des modèles de conformité pour des normes telles que PCI DSS, HIPAA, SOX et GDPR.
Soyez clair sur ce que ce n’est pas. Il ne gère pas les PC, ne déploie pas de logiciels et ne corrige rien ; les outils frères et sœurs font cela. Sa seule tâche est de fournir des preuves : un historique central et consultable de qui a fait quoi sur votre réseau. Si vous l'installez en gardant à l'esprit deux ou trois vraies questions, comme les tentatives de connexion infructueuses et les verrouillages de compte, les décisions de configuration ci-dessous deviennent faciles.
Le programme d'installation lui-même est léger, mais un serveur de journaux est une base de données en pleine croissance, pas un programme fini. Installez EventLog Analyzer sur un serveur Windows (ou une machine Windows solide) qui reste allumé toute la journée, avec un stockage sur un disque rapide et une marge de croissance. Les journaux arrivent chaque seconde de chaque source que vous ajoutez, et les données indexées ainsi que les archives continueront à consommer du disque aussi longtemps que la rétention sera activée.
Trois vérifications avant d'exécuter l'installation : l'horloge de la machine est synchronisée (couverte dans le guide de synchronisation temporelle de cette série), les ports 8400, 513, 514 et 33335 sont gratuits et vous disposez d'un compte de service de domaine prêt pour la collecte des journaux Windows. Utiliser un compte de service dédié au lieu de votre connexion administrateur personnel est une petite étape qui évite une très mauvaise journée en cas de changement de mot de passe.
ManageEngine_EventLogAnalyzer_64bit.exe en tant qu'administrateur sur le serveur choisi.8400.Le choix du service compte plus qu’il n’y paraît. En tant qu'application simple, la collecte s'arrête au moment où quelqu'un se déconnecte ou que le serveur redémarre pour les mises à jour, et votre historique de journaux obtient des lacunes silencieuses exactement au moment où les incidents ont tendance à se produire. En tant que service, il démarre avec le système d'exploitation et collecte 24 heures sur 24, ce qui est tout l'intérêt d'un serveur de journaux.
Ouvrez un navigateur et accédez à http://server-name:8400 et connectez-vous avec le compte administrateur par défaut, puis modifiez son mot de passe avant toute autre chose. L'ajout de machines Windows s'effectue depuis Paramètres, puis Configuration de la source de journal, puis Périphériques. Ajoutez d'abord votre domaine sous Domaines et groupes de travail à l'aide du compte de service, laissez la liste des appareils se remplir, puis sélectionnez les machines à surveiller.
En mode sans agent, le collecteur sur le serveur EventLog Analyzer atteint chaque machine Windows via WMI et RPC, qui utilise les ports 135, 445 et 139 ainsi que les ports RPC dynamiques. Si un appareil refuse de se connecter, c'est presque toujours l'une des trois choses suivantes : le pare-feu sur cette machine, les informations d'identification ou les services Windows dont dépend WMI. Corrigez-les avant de soupçonner le produit.
Les périphériques réseau ne peuvent pas exécuter d'agent, ils parlent donc syslog à la place. Sur votre pare-feu ou votre serveur Linux, définissez la destination Syslog sur l'adresse IP du serveur EventLog Analyzer sur le port 514. Sur un hôte Linux exécutant rsyslog, une ligne de la configuration le fait :
*.* @192.0.2.10:514
Remplacez l'adresse par la véritable adresse IP de votre serveur, redémarrez le service rsyslog et générez un événement de test, comme un échec de connexion SSH. En quelques instants, l'appareil apparaît dans la console et l'événement devient consultable. Dès que les journaux d'un pare-feu arrivent dans la même console que les journaux de vos contrôleurs de domaine, l'outil commence à s'autofinancer : une recherche peut suivre un utilisateur depuis la porte VPN jusqu'au serveur de fichiers.
Ne terminez pas sur l'écran d'installation ; terminer sur des preuves. Choisissez trois vérifications : un échec de connexion que vous venez de provoquer sur un poste de travail devrait apparaître dans la recherche dans une minute ou deux ; le tableau de bord devrait montrer que le nombre d'événements d'aujourd'hui augmente ; et chaque source ajoutée doit afficher une nouvelle heure de dernière réception. Si une source est silencieuse, son horloge, ses informations d'identification ou ses règles de pare-feu sont suspectes, dans cet ordre.
Un avertissement honnête pour conclure : EventLog Analyzer collecte tout ce que les sources sont configurées pour enregistrer. Si l'audit Windows est désactivé sur un serveur, aucun outil ne peut récupérer des événements qui n'ont jamais été écrits. L'activation des bonnes politiques d'audit fait partie de la configuration, et le guide des rapports de cette série montre celles qui sont importantes.
L'installation complète d'EventLog Analyzer, avec les écrans de la console et l'ajout de périphériques montrés en direct, se trouve dans la vidéo complète.
▶️ Watch Full VideoIl existe un essai de 30 jours entièrement fonctionnel et une édition gratuite qui continue avec jusqu'à cinq sources de journaux. Au-delà de cela, les licences sont comptabilisées en fonction du nombre de sources de journaux que vous surveillez, et non en fonction de la quantité de données de journaux qu'elles produisent. Vérifiez la page de licence actuelle du produit avant de budgétiser, car les éditions et les conditions changent.
Par défaut, la console Web utilise le port 8400, les écouteurs Syslog utilisent les ports 513 et 514 et la base de données intégrée utilise le port 33335. Pour la collecte Windows sans agent, les machines cibles doivent être accessibles via WMI et RPC, ce qui signifie les ports 135, 445 et 139 ainsi que les ports RPC dynamiques. Les pare-feu entre le serveur et une source sont la raison la plus courante pour laquelle un appareil reste silencieux.
En tant que service, toujours. Un service démarre avec Windows et continue de collecter lorsque personne n'est connecté, y compris après le redémarrage du correctif à 3 heures du matin. Installée en tant qu'application, la collecte s'arrête silencieusement à la fin de la session et les heures manquantes sont généralement celles dont vous aurez besoin plus tard.