ManageEngine ইভেন্টলগ বিশ্লেষক ইনস্টল করুন

প্রথমে সার্ভার প্রস্তুত করুন

ইভেন্টলগ বিশ্লেষক হল একটি লগ ম্যানেজমেন্ট এবং SIEM-স্টাইলের টুল ManageEngine থেকে। এটি এজেন্ট ছাড়াই বা এজেন্টের মাধ্যমে উইন্ডোজ ইভেন্ট লগ সংগ্রহ করে, ফায়ারওয়াল, রাউটার, সুইচ এবং লিনাক্স মেশিন থেকে সিসলগ গ্রহণ করে এবং এটিকে সার্চযোগ্য রেকর্ড, রিপোর্ট এবং রিয়েল-টাইম সতর্কতায় পরিণত করে। এটি কী নয় সে সম্পর্কে পরিষ্কার হোন: এটি পিসি পরিচালনা করে না, সফ্টওয়্যার স্থাপন করে না বা কিছু প্যাচ করে না। এটির একটি কাজ হল প্রমাণ — আপনার নেটওয়ার্কে কে কী করেছে তার একটি কেন্দ্রীয়, অনুসন্ধানযোগ্য ইতিহাস৷

এটিকে একটি সৎ বাড়ি দিন: একটি উইন্ডোজ সার্ভার (বা একটি শক্ত উইন্ডোজ মেশিন) যা সারাদিন থাকে, দ্রুত ড্রাইভে স্টোরেজ এবং বাড়তে রুম সহ। একটি লগ সার্ভার একটি ক্রমবর্ধমান ডাটাবেস, একটি সমাপ্ত প্রোগ্রাম নয় - সূচীকৃত ডেটা প্লাস আর্কাইভগুলি যতক্ষণ ধরে রাখা চালু থাকবে ততক্ষণ পর্যন্ত ডিস্ক খেতে থাকবে। আপনি সেটআপ চালানোর আগে তিনটি চেক করুন: মেশিনের ঘড়ি সিঙ্ক করা হয়েছে (এনটিপি সিঙ্ক ছাড়া লগ টাইমস্ট্যাম্পগুলি কাল্পনিক), নীচের পোর্টগুলি বিনামূল্যে, এবং আপনার কাছে উইন্ডোজ লগ সংগ্রহের জন্য একটি ডেডিকেটেড ডোমেন পরিষেবা অ্যাকাউন্ট প্রস্তুত রয়েছে - আপনার ব্যক্তিগত অ্যাডমিন লগইন নয়, তাই পাসওয়ার্ড পরিবর্তন একদিন নীরবে সংগ্রহ বন্ধ করে না৷

এই সার্ভারের যে পোর্টগুলি বিনামূল্যে প্রয়োজন: 8400 আপনি একটি ব্রাউজারে খোলা ওয়েব কনসোলের জন্য, সিসলগ শ্রোতার জন্য (ফায়ারওয়াল, লিনাক্স এবং নেটওয়ার্ক ডিভাইস) 513 এবং 514 এবং বান্ডিল PostgreSQL/MySQLba ডেটার জন্য 33335৷ সেই ডাটাবেস পোর্টটি অভ্যন্তরীণ এবং লোকালহোস্টের সাথে আবদ্ধ, তাই এটি ফায়ারওয়ালে খোলার প্রয়োজন নেই৷

ইনস্টলারটি ডাউনলোড করুন এবং চালান

শুধুমাত্র ManageEngine-এর অফিসিয়াল ওয়েবসাইট থেকে ইভেন্টলগ বিশ্লেষক ডাউনলোড করুন এবং নির্বাচিত সার্ভারে প্রশাসক হিসাবে ManageEngine_EventLogAnalyzer_64bit.exe চালান। ডিফল্টগুলি গ্রহণ করুন যদি না আপনি অবশ্যই ওয়েব কনসোল পোর্ট 8400 পরিবর্তন করেন — এই পছন্দটি ইনস্টলেশনের সময় দেওয়া হয়৷

এটি একটি উইন্ডোজ পরিষেবা হিসাবে ইনস্টল করুন

যখন সেটআপ জিজ্ঞাসা করে যে পণ্যটি কীভাবে চালানো উচিত, এটিকে একটি উইন্ডোজ পরিষেবা হিসাবে ইনস্টল করতে বেছে নিন। উইজার্ড শেষ করুন এবং পরিষেবা শুরু করুন৷

এই পছন্দটি যা দেখায় তার চেয়ে বেশি গুরুত্বপূর্ণ। একটি সাধারণ অ্যাপ্লিকেশন হিসাবে, কেউ লগ অফ করার মুহুর্তে সংগ্রহ বন্ধ করে দেয় বা আপডেটের জন্য সার্ভার রিবুট করে — এবং আপনার লগ ইতিহাস ঠিক যখন ঘটনা ঘটতে থাকে তখন নীরব ফাঁক হয়ে যায়। একটি পরিষেবা হিসাবে এটি OS দিয়ে শুরু হয় এবং ঘড়ির চারপাশে সংগ্রহ করে, যা একটি লগ সার্ভারের সম্পূর্ণ বিন্দু৷

প্রথম লগইন — ডিফল্ট পাসওয়ার্ড পরিবর্তন করুন

একটি ব্রাউজার খুলুন এবং সার্ভারের নাম এবং পোর্ট 8400-এর কনসোলে যান, তারপর ডিফল্ট অ্যাডমিনিস্ট্রেটর অ্যাকাউন্ট দিয়ে সাইন ইন করুন:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

প্রথমে আপনার ডোমেন কন্ট্রোলার যোগ করুন

Windows নেটওয়ার্কের প্রায় প্রতিটি তদন্তই আসলে একটি পরিচয় প্রশ্ন — কোন অ্যাকাউন্ট, কোন মেশিন থেকে, কোন সময়ে — এবং ডোমেন কন্ট্রোলাররা এই উত্তরগুলি ধরে রাখে: লগইন সাফল্য এবং ব্যর্থতা, অ্যাকাউন্ট লকআউট, গ্রুপ পরিবর্তন এবং নীতির পরিবর্তনগুলি প্রথমে DC-তে আসে৷ উইন্ডোজ মেশিন যোগ করা সেটিংস → লগ সোর্স কনফিগারেশন → ডিভাইস থেকে করা হয়। পরিষেবা অ্যাকাউন্ট ব্যবহার করে প্রথমে ডোমেন এবং ওয়ার্কগ্রুপস-এর অধীনে আপনার ডোমেন যোগ করুন, ডিভাইসের তালিকাটি পপুলেট হতে দিন, তারপর নিরীক্ষণের জন্য ডোমেন কন্ট্রোলার নির্বাচন করুন।

এজেন্টলেস মোডে, ইভেন্টলগ অ্যানালাইজার সার্ভারের সংগ্রাহক WMI এবং RPC এর মাধ্যমে প্রতিটি উইন্ডোজ মেশিনে পৌঁছায়, যা লক্ষ্য মেশিনে পোর্ট 135, 445 এবং 139 প্লাস ডায়নামিক RPC পোর্ট ব্যবহার করে। যদি একটি ডিভাইস সংযোগ করতে অস্বীকার করে, এটি প্রায় সবসময় তিনটি জিনিসের মধ্যে একটি: সেই মেশিনের ফায়ারওয়াল, শংসাপত্র, বা Windows পরিষেবাগুলি WMI এর উপর নির্ভর করে৷ পণ্যের সন্দেহ হওয়ার আগে সেগুলি ঠিক করুন৷

Syslog দ্বারা ফায়ারওয়াল এবং লিনাক্সকে নির্দেশ করুন

নেটওয়ার্ক ডিভাইসগুলি এজেন্ট চালাতে পারে না, তাই তারা পরিবর্তে syslog কথা বলে। আপনার ফায়ারওয়ালে, পোর্ট 514 এ ইভেন্টলগ বিশ্লেষক সার্ভারের IP ঠিকানায় syslog গন্তব্য সেট করুন। আপনার ফায়ারওয়াল হল নেটওয়ার্কে প্রবেশ করা এবং ছেড়ে যাওয়া সবকিছুর একমাত্র সাক্ষী — বাড়ি থেকে ভিপিএন লগন, সংযোগের প্রচেষ্টা ব্লক করা, সন্দেহজনক গন্তব্যে ট্র্যাফিক — এবং এটি মিনিটের মধ্যে রিপোর্ট করা শুরু করে, কোনও এজেন্ট এবং পরিচালনা করার কোনও প্রমাণপত্র ছাড়াই৷

Rsyslog চলমান একটি Linux হোস্টে, কনফিগারেশনের একটি লাইন একই কাজ করে:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

লগগুলি সত্যই প্রবাহিত হচ্ছে তা যাচাই করুন

ইনস্টল স্ক্রিনে শেষ করবেন না; প্রমাণের উপর শেষ করুন। তিনটি চেক বাছাই করুন: একটি ব্যর্থ লগইন যা আপনি একটি ওয়ার্কস্টেশনে করেছেন তা এক বা দুই মিনিটের মধ্যে অনুসন্ধানে উপস্থিত হওয়া উচিত; ড্যাশবোর্ডে আজকের ইভেন্টের সংখ্যা আরোহণ দেখানো উচিত; এবং প্রতিটি যোগ করা উত্স একটি তাজা শেষ লগ প্রাপ্তির সময় দেখাতে হবে - শুধুমাত্র আপনি এটি যোগ করার মুহুর্ত থেকে একটি সবুজ টিক নয়। যদি কোনো উৎস নীরব থাকে, তার ঘড়ি, শংসাপত্র বা ফায়ারওয়াল নিয়ম সেই ক্রমে সন্দেহভাজন হয়৷

তারপরে সঠিক ক্রমে বেড়ে উঠুন: ফাইল এবং অ্যাপ্লিকেশন সার্ভার পরবর্তী, কারণ সেখানেই ডেটা বাস করে; তার পরে অন্যান্য সার্ভার এবং নেটওয়ার্ক ডিভাইস; ওয়ার্কস্টেশনগুলি শেষ হয় — এগুলি একটি আপস করা পিসিকে চিহ্নিত করার জন্য সত্যিকারের উপযোগী, তবে সেগুলি আপনার মালিকানাধীন সবচেয়ে শোরগোল উত্স, এবং প্রথম দিনে 150 পিসি যোগ করলে বেশিরভাগই ডিস্কের ব্যবহার এবং সতর্কতার শব্দ কেনা হয়৷ একটি সময়ে একটি স্তর, কয়েক দিনের ব্যবধানে, কীভাবে একটি লগ প্রকল্প বেঁচে থাকে৷