आपके कार्यालय का प्रत्येक विंडोज़ सर्वर, फ़ायरवॉल और स्विच लॉगऑन, विफलताओं और परिवर्तनों की एक डायरी लिख रहा है। इवेंटलॉग एनालाइज़र उन डायरियों को एक स्थान पर एकत्र करता है ताकि आप वास्तव में उन्हें पढ़ सकें। यहां इंस्टॉलेशन सही क्रम में किया गया है, जांच के साथ जो साबित करता है कि यह काम करता है।
जब किसी नेटवर्क में कुछ गलत होता है, तो पहला प्रश्न हमेशा एक ही होता है: किसने लॉग इन किया, कहां से, और क्या बदल गया? उत्तर पहले से ही मौजूद हैं, प्रत्येक मशीन पर इवेंट व्यूअर में बिखरे हुए हैं। इवेंटलॉग एनालाइज़र आपके पूरे नेटवर्क से विंडोज़ इवेंट लॉग और सिसलॉग को एक खोजने योग्य कंसोल में खींचता है। यह मार्गदर्शिका पूर्ण प्रथम रन को कवर करती है: सर्वर की योजना बनाएं, इसे एक सेवा के रूप में स्थापित करें, पहले सही स्रोत जोड़ें, और इसे पूरा करने से पहले साबित करें कि लॉग प्रवाहित हो रहे हैं। पूरा लाइव वॉकथ्रू ऊपर दिए गए वीडियो में है।
इवेंटलॉग एनालाइज़र ManageEngine का एक लॉग प्रबंधन और सिएम-शैली टूल है। यह एजेंट रहित या एजेंटों के माध्यम से विंडोज इवेंट लॉग एकत्र करता है, पोर्ट 513 और 514 पर फ़ायरवॉल, राउटर, स्विच और लिनक्स मशीनों से syslog प्राप्त करता है, और इसे सभी को खोजने योग्य रिकॉर्ड, रिपोर्ट और वास्तविक समय अलर्ट में बदल देता है। यह पूर्वनिर्धारित रिपोर्टों के साथ आता है, जिसमें पीसीआई डीएसएस, एचआईपीएए, एसओएक्स और जीडीपीआर जैसे मानकों के लिए अनुपालन टेम्पलेट शामिल हैं।
यह क्या नहीं है इसके बारे में स्पष्ट रहें। यह पीसी का प्रबंधन नहीं करता, सॉफ्टवेयर तैनात नहीं करता या कुछ भी पैच नहीं करता; सहोदर उपकरण ऐसा करते हैं। इसका एक काम साक्ष्य है: आपके नेटवर्क पर किसने क्या किया इसका एक केंद्रीय, खोजने योग्य इतिहास। यदि आप इसे असफल लॉगऑन प्रयासों और खाता लॉकआउट जैसे दो या तीन वास्तविक प्रश्नों को ध्यान में रखते हुए स्थापित करते हैं, तो नीचे दिए गए सेटअप निर्णय आसान हो जाते हैं।
इंस्टॉलर स्वयं हल्का है, लेकिन लॉग सर्वर एक बढ़ता हुआ डेटाबेस है, एक तैयार प्रोग्राम नहीं। इवेंटलॉग एनालाइज़र को विंडोज़ सर्वर (या एक ठोस विंडोज़ मशीन) पर रखें जो पूरे दिन चालू रहता है, जिसमें स्टोरेज तेज़ ड्राइव पर होता है और बढ़ने की जगह होती है। आपके द्वारा जोड़े गए प्रत्येक स्रोत से हर सेकंड लॉग आते हैं, और जब तक आप रिटेंशन चालू रखते हैं, तब तक अनुक्रमित डेटा और संग्रह डिस्क खाते रहेंगे।
सेटअप चलाने से पहले तीन जाँचें: मशीन की घड़ी सिंक हो गई है (इस श्रृंखला में टाइम-सिंक गाइड में शामिल है), पोर्ट 8400, 513, 514 और 33335 मुफ़्त हैं, और आपके पास Windows लॉग संग्रह के लिए एक डोमेन सेवा खाता तैयार है। अपने व्यक्तिगत व्यवस्थापक लॉगिन के बजाय एक समर्पित सेवा खाते का उपयोग करना एक छोटा कदम है जो पासवर्ड बदलने पर बहुत बुरे दिन को रोकता है।
ManageEngine_EventLogAnalyzer_64bit.exe चलाएँ।8400 नहीं बदलना पड़े।सेवा का चयन दिखने से कहीं अधिक मायने रखता है। एक सादे एप्लिकेशन के रूप में, संग्रह उस समय बंद हो जाता है जब कोई लॉग ऑफ करता है या सर्वर अपडेट के लिए रीबूट होता है, और आपके लॉग इतिहास में ठीक उसी समय मौन अंतराल हो जाता है जब घटनाएं घटित होती हैं। एक सेवा के रूप में यह ओएस से शुरू होती है और चौबीसों घंटे एकत्रित होती है, जो एक लॉग सर्वर का संपूर्ण बिंदु है।
एक ब्राउज़र खोलें और http://server-name:8400 पर जाएं और डिफ़ॉल्ट व्यवस्थापक खाते से साइन इन करें, फिर कुछ भी करने से पहले उसका पासवर्ड बदलें। विंडोज़ मशीनें जोड़ना सेटिंग्स, फिर लॉग सोर्स कॉन्फ़िगरेशन, फिर डिवाइसेस से किया जाता है। सेवा खाते का उपयोग करके पहले डोमेन और कार्यसमूह के अंतर्गत अपना डोमेन जोड़ें, डिवाइस सूची को पॉप्युलेट होने दें, फिर मॉनिटर करने के लिए मशीनों का चयन करें।
एजेंट रहित मोड में, इवेंटलॉग एनालाइज़र सर्वर पर कलेक्टर WMI और RPC पर प्रत्येक विंडोज मशीन तक पहुंचता है, जो पोर्ट 135, 445 और 139 प्लस डायनेमिक RPC पोर्ट का उपयोग करता है। यदि कोई डिवाइस कनेक्ट करने से इंकार करता है, तो यह लगभग हमेशा तीन चीजों में से एक है: उस मशीन पर फ़ायरवॉल, क्रेडेंशियल्स, या विंडोज़ सेवाएं WMI पर निर्भर करती हैं। उत्पाद पर संदेह करने से पहले उन्हें ठीक कर लें।
नेटवर्क डिवाइस किसी एजेंट को नहीं चला सकते, इसलिए वे इसके बजाय syslog बोलते हैं। अपने फ़ायरवॉल या लिनक्स सर्वर पर, पोर्ट 514 पर इवेंटलॉग एनालाइज़र सर्वर के आईपी पर syslog गंतव्य सेट करें। लिनक्स होस्ट पर rsyslog चल रहा है, कॉन्फ़िगरेशन में एक पंक्ति यह करती है:
*.* @192.0.2.10:514
पते को अपने सर्वर के वास्तविक आईपी से बदलें, rsyslog सेवा को पुनरारंभ करें, और विफल SSH लॉगिन की तरह एक परीक्षण ईवेंट उत्पन्न करें। कुछ ही क्षणों में डिवाइस कंसोल में दिखाई देता है और ईवेंट खोजने योग्य हो जाता है। जिस क्षण फ़ायरवॉल का लॉग आपके डोमेन नियंत्रकों के लॉग के समान कंसोल में आता है, टूल स्वयं के लिए भुगतान करना शुरू कर देता है: एक खोज वीपीएन दरवाजे से फ़ाइल सर्वर तक उपयोगकर्ता का अनुसरण कर सकती है।
इंस्टॉल स्क्रीन पर समाप्त न करें; साक्ष्य पर समाप्त करें. तीन जाँचें चुनें: आपके द्वारा वर्कस्टेशन पर किया गया विफल लॉगऑन एक या दो मिनट के भीतर खोज में दिखाई देना चाहिए; डैशबोर्ड को आज की घटना की बढ़ती संख्या दिखानी चाहिए; और प्रत्येक जोड़े गए स्रोत को ताज़ा अंतिम-प्राप्त समय दिखाना चाहिए। यदि कोई स्रोत मौन है, तो उसकी घड़ी, क्रेडेंशियल्स या फ़ायरवॉल नियम उसी क्रम में संदिग्ध हैं।
बंद करने के लिए एक ईमानदार चेतावनी: इवेंटलॉग एनालाइज़र उन सभी स्रोतों को एकत्र करता है जिन्हें लॉग करने के लिए कॉन्फ़िगर किया गया है। यदि सर्वर पर विंडोज़ ऑडिटिंग बंद है, तो कोई भी टूल उन घटनाओं को पुनर्प्राप्त नहीं कर सकता है जो कभी लिखी ही नहीं गईं। सही ऑडिट नीतियों को चालू करना सेटअप का हिस्सा है, और इस श्रृंखला में रिपोर्ट गाइड से पता चलता है कि कौन सी नीतियां मायने रखती हैं।
संपूर्ण इवेंटलॉग एनालाइज़र इंस्टॉलेशन, कंसोल स्क्रीन और डिवाइस को लाइव दिखाए जाने के साथ, पूरे वीडियो में है।
▶️ Watch Full Videoएक 30-दिवसीय परीक्षण है जो पूरी तरह कार्यात्मक है, और एक निःशुल्क संस्करण है जो अधिकतम पांच लॉग स्रोतों के साथ जारी है। इसके अलावा, लाइसेंसिंग की गणना आपके द्वारा मॉनिटर किए जाने वाले लॉग स्रोतों की संख्या से की जाती है, न कि इससे कि वे कितना लॉग डेटा उत्पन्न करते हैं। बजट बनाने से पहले उत्पाद में वर्तमान लाइसेंसिंग पृष्ठ की जाँच करें, क्योंकि संस्करण और शर्तें बदलती रहती हैं।
डिफ़ॉल्ट रूप से वेब कंसोल पोर्ट 8400 का उपयोग करता है, सिसलॉग श्रोता 513 और 514 का उपयोग करते हैं, और बंडल डेटाबेस 33335 का उपयोग करते हैं। एजेंट रहित विंडोज़ संग्रह के लिए, लक्ष्य मशीनों को WMI और RPC पहुंच योग्य की आवश्यकता होती है, जिसका अर्थ है पोर्ट 135, 445 और 139 प्लस डायनेमिक आरपीसी पोर्ट। सर्वर और स्रोत के बीच फ़ायरवॉल डिवाइस के चुप रहने का सबसे आम कारण है।
एक सेवा के रूप में, हमेशा. एक सेवा विंडोज़ से शुरू होती है और जब कोई भी लॉग इन नहीं होता है तो एकत्रित होती रहती है, जिसमें सुबह 3 बजे पैच रीबूट के बाद भी शामिल है। एक एप्लिकेशन के रूप में स्थापित, सत्र समाप्त होने पर संग्रह चुपचाप बंद हो जाता है, और छूटे हुए घंटे आमतौर पर वही होते हैं जिनकी आपको बाद में आवश्यकता होती है।