Nainstalujte ManageEngine EventLog Analyzer

Nejprve připravte server

EventLog Analyzer je nástroj pro správu protokolů a nástroj ve stylu SIEM od ManageEngine. Shromažďuje protokoly událostí Windows bez agenta nebo prostřednictvím agentů, přijímá syslog z firewallů, směrovačů, přepínačů a počítačů se systémem Linux a přeměňuje to vše na prohledávatelné záznamy, zprávy a výstrahy v reálném čase. Ujasněte si, co to není: nespravuje počítače, nenasazuje software ani nic neopravuje. Jeho jedinou úlohou je důkaz – centrální, prohledávatelná historie toho, kdo co ve vaší síti udělal.

Dejte mu poctivý domov: Windows Server (nebo pevný počítač s Windows), který zůstane zapnutý celý den, s úložištěm na rychlém disku a prostorem pro růst. Log server je rostoucí databáze, nikoli hotový program – indexovaná data a archivy budou žrát disk tak dlouho, dokud je zapnuto uchovávání. Tři kontroly před spuštěním nastavení: hodiny počítače jsou synchronizovány (časová razítka protokolu bez synchronizace NTP jsou fikcí), níže uvedené porty jsou zdarma a máte vyhrazený účet služby domény připravený pro shromažďování protokolů Windows – nikoli vaše osobní přihlašovací údaje správce, takže změna hesla jednoho dne tiše nezastaví shromažďování.

Porty, které tento server potřebuje zdarma: 8400 pro webovou konzoli, kterou otevřete v prohlížeči, 513 a 514 pro posluchače syslog (firewally, Linux a síťová zařízení) a 33335 pro přibalenou databázi PostgreSQL/MySQL. Tento databázový port je interní a navázaný na localhost, takže jej není nutné otevírat ve firewallu.

Stáhněte a spusťte instalační program

Stáhněte si EventLog Analyzer pouze z oficiálních stránek ManageEngine a spusťte ManageEngine_EventLogAnalyzer_64bit.exe jako správce na zvoleném serveru. Přijměte výchozí hodnoty, pokud nemusíte změnit port webové konzoly 8400 – tato volba je nabízena během instalace.

Instalovat jako službu Windows

Když se instalační program zeptá, jak má produkt běžet, zvolte jej nainstalovat jako službu systému Windows. Dokončete průvodce a nechte službu spustit.

Na této volbě záleží víc, než se zdá. Jako obyčejná aplikace se shromažďování zastaví v okamžiku, kdy se někdo odhlásí nebo se server restartuje kvůli aktualizacím – a vaše historie protokolů dostane tiché mezery přesně ve chvíli, kdy k incidentům obvykle dochází. Jako služba začíná operačním systémem a shromažďuje 24 hodin denně, což je celý smysl logovacího serveru.

První přihlášení – Změňte výchozí heslo

Otevřete prohlížeč a přejděte do konzole na serveru se jménem a portem 8400, poté se přihlaste pomocí výchozího účtu správce:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Nejprve přidejte své řadiče domény

Téměř každé vyšetřování v síti Windows je ve skutečnosti otázkou identity – který účet, z kterého počítače a v jakou dobu – a řadiče domény tyto odpovědi uchovávají: úspěchy a selhání přihlášení, uzamčení účtů, změny skupin a změny zásad, to vše se nejprve objeví na řadičích domény. Přidání počítačů se systémem Windows se provádí z Nastavení → Konfigurace zdroje protokolu → Zařízení. Nejprve přidejte svou doménu pod Domény a pracovní skupiny pomocí servisního účtu, nechte naplnit seznam zařízení a poté vyberte řadiče domény, které chcete sledovat.

V režimu bez agenta se kolektor na serveru EventLog Analyzer dostane ke každému počítači se systémem Windows přes WMI a RPC, který používá porty 135, 445 a 139 plus dynamické porty RPC na cílových počítačích. Pokud se zařízení odmítne připojit, je to téměř vždy jedna ze tří věcí: závisí na firewallu na tomto počítači, přihlašovacích údajích nebo na WMI služeb Windows. Opravte je dříve, než budete mít podezření na produkt.

Nasměrujte firewall a Linux na to pomocí Syslog

Síťová zařízení nemohou spustit agenta, takže místo toho mluví syslog. Na bráně firewall nastavte cíl syslog na IP adresu serveru EventLog Analyzer na portu 514. Váš firewall je jediným svědkem všeho, co vstupuje do sítě a opouští ji – přihlášení k VPN z domova, zablokované pokusy o připojení, provoz do podezřelých cílů – a začne hlásit během několika minut, bez agenta a bez pověření ke správě.

Na hostiteli Linuxu, na kterém běží rsyslog, dělá jeden řádek v konfiguraci stejnou práci:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

Ověřte, že protokoly skutečně tečou

Nedokončete na instalační obrazovce; skončit na důkazech. Vyberte tři kontroly: neúspěšné přihlášení, které jste právě způsobili na pracovní stanici, by se mělo objevit ve vyhledávání během minuty nebo dvou; na palubní desce by se měl zobrazovat počet dnešních událostí stoupání; a každý přidaný zdroj by měl ukazovat čerstvý poslední přijatý protokol – nejen zelené zaškrtnutí od okamžiku, kdy jste jej přidali. Pokud některý zdroj mlčí, jsou podezřelými jeho hodiny, přihlašovací údaje nebo pravidla brány firewall, v tomto pořadí.

Pak růst ve správném pořadí: na řadě jsou souborové a aplikační servery, protože tam data žijí; další servery a síťová zařízení poté; pracovní stanice vydrží – jsou skutečně užitečné pro odhalení kompromitovaného počítače, ale jsou to nejhlučnější zdroje, které vlastníte, a přidání 150 počítačů v první den většinou kupuje využití disku a hluk výstrah. Protokolový projekt přežije jedna vrstva po druhé, několik dní od sebe.