Installer ManageEngine EventLog Analyzer

Forbered serveren først

EventLog Analyzer er et værktøj til logstyring og SIEM-stil fra ManageEngine. Den indsamler Windows-hændelseslogfiler uden agenter eller gennem agenter, modtager syslog fra firewalls, routere, switches og Linux-maskiner og omdanner det hele til søgbare poster, rapporter og alarmer i realtid. Vær klar over, hvad det ikke er: det administrerer ikke pc'er, implementerer software eller patcher noget. Dets ene job er bevis – en central, søgbar historie om, hvem der gjorde hvad på dit netværk.

Giv den et ærligt hjem: en Windows Server (eller en solid Windows-maskine), der forbliver tændt hele dagen, med lagerplads på et hurtigt drev og plads til at vokse. En logserver er en voksende database, ikke et færdigt program - de indekserede data plus arkiver vil blive ved med at spise disk, så længe opbevaring er slået til. Tre kontroller, før du kører opsætningen: Maskinens ur er synkroniseret (logtidsstempler uden NTP-synkronisering er fiktion), portene nedenfor er gratis, og du har en dedikeret domæneservicekonto klar til Windows-logindsamling - ikke dit personlige administratorlogin, så en adgangskodeændring en dag stopper ikke indsamlingen stille.

De porte, denne server har brug for ledige: 8400 til den webkonsol, du åbner i en browser, 513 og 514 til syslog-lytteren (firewalls, Linux og netværksenheder) og 33335 til den medfølgende PostgreSQL/MySQL-database. Denne databaseport er intern og bundet til localhost, så den behøver ikke at blive åbnet i firewallen.

Download og kør installationsprogrammet

Download kun EventLog Analyzer fra ManageEngines officielle hjemmeside, og kør ManageEngine_EventLogAnalyzer_64bit.exe som administrator på den valgte server. Accepter standardindstillingerne, medmindre du skal ændre webkonsolporten 8400 - det valg tilbydes under installationen.

Installer det som en Windows-tjeneste

Når opsætningen spørger, hvordan produktet skal køre, skal du vælge at installere det som en Windows-tjeneste. Afslut guiden, og lad tjenesten starte.

Dette valg betyder mere, end det ser ud. Som en almindelig applikation stopper indsamlingen i det øjeblik, nogen logger af, eller serveren genstarter for opdateringer - og din loghistorik får tavse huller, præcis når hændelser plejer at ske. Som en tjeneste starter den med operativsystemet og samles døgnet rundt, hvilket er hele pointen med en logserver.

Første login — Skift standardadgangskoden

Åbn en browser, og gå til konsollen på serverens navn og port 8400, og log derefter ind med standardadministratorkontoen:

Peg firewallen og Linux mod det af Syslog

Netværksenheder kan ikke køre en agent, så de taler syslog i stedet. På din firewall skal du indstille syslog-destinationen til EventLog Analyzer-serverens IP-adresse på port 514. Din firewall er det eneste vidne til alt, der kommer ind og forlader netværket - VPN-logon hjemmefra, blokerede forbindelsesforsøg, trafik til mistænkelige destinationer - og den begynder at rapportere inden for få minutter, uden agent og ingen legitimationsoplysninger at administrere.

På en Linux-vært, der kører rsyslog, udfører én linje i konfigurationen det samme job: