Installieren Sie ManageEngine EventLog Analyzer

Bereiten Sie zuerst den Server vor

EventLog Analyzer ist ein Protokollverwaltungs- und SIEM-ähnliches Tool von ManageEngine. Es sammelt agentenlos oder über Agenten Windows-Ereignisprotokolle, empfängt Syslogs von Firewalls, Routern, Switches und Linux-Maschinen und wandelt alles in durchsuchbare Datensätze, Berichte und Echtzeitwarnungen um. Machen Sie sich klar, was es nicht ist: Es verwaltet keine PCs, stellt keine Software bereit und patcht nichts. Seine einzige Aufgabe besteht darin, Beweise zu liefern – eine zentrale, durchsuchbare Historie darüber, wer was in Ihrem Netzwerk getan hat.

Geben Sie ihm ein ehrliches Zuhause: einen Windows-Server (oder eine solide Windows-Maschine), der den ganzen Tag läuft, mit Speicher auf einem schnellen Laufwerk und Platz zum Erweitern. Ein Protokollserver ist eine wachsende Datenbank, kein fertiges Programm – die indizierten Daten und Archive verbrauchen weiterhin Speicherplatz, solange die Aufbewahrung aktiviert ist. Drei Überprüfungen, bevor Sie das Setup ausführen: Die Uhr des Computers ist synchronisiert (Protokollzeitstempel ohne NTP-Synchronisierung sind Fiktion), die folgenden Ports sind frei und Sie verfügen über ein dediziertes Domänendienstkonto, das für die Windows-Protokollerfassung bereit ist – nicht Ihr persönliches Administrator-Login, sodass eine Kennwortänderung eines Tages die Erfassung nicht stillschweigend stoppt.

Die Ports, die dieser Server frei benötigt: 8400 für die Webkonsole, die Sie in einem Browser öffnen, 513 und 514 für den Syslog-Listener (Firewalls, Linux und Netzwerkgeräte) und 33335 für die gebündelte PostgreSQL/MySQL-Datenbank. Dieser Datenbankport ist intern und an localhost gebunden, sodass er nicht in der Firewall geöffnet werden muss.

Laden Sie das Installationsprogramm herunter und führen Sie es aus

Laden Sie EventLog Analyzer nur von der offiziellen Website von ManageEngine herunter und führen Sie ManageEngine_EventLogAnalyzer_64bit.exe als Administrator auf dem ausgewählten Server aus. Akzeptieren Sie die Standardeinstellungen, es sei denn, Sie müssen den Webkonsolen-Port 8400 ändern – diese Auswahl wird während der Installation angeboten.

Installieren Sie es als Windows-Dienst

Wenn Sie beim Setup gefragt werden, wie das Produkt ausgeführt werden soll, wählen Sie die Installation als Windows-Dienst. Beenden Sie den Assistenten und lassen Sie den Dienst starten.

Diese Wahl ist wichtiger als sie aussieht. Da es sich um eine einfache Anwendung handelt, stoppt die Erfassung, sobald sich jemand abmeldet oder der Server für Aktualisierungen neu startet – und Ihr Protokollverlauf weist genau dann stille Lücken auf, wenn Vorfälle auftreten. Als Dienst beginnt er beim Betriebssystem und sammelt rund um die Uhr, was den Sinn und Zweck eines Protokollservers ausmacht.

Erste Anmeldung – Ändern Sie das Standardkennwort

Öffnen Sie einen Browser und rufen Sie die Konsole mit dem Namen und Port 8400 des Servers auf. Melden Sie sich dann mit dem Standardadministratorkonto an:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Fügen Sie zuerst Ihre Domänencontroller hinzu

Fast jede Untersuchung in einem Windows-Netzwerk ist eigentlich eine Identitätsfrage – welches Konto, von welchem Computer, zu welcher Zeit – und Domänencontroller speichern diese Antworten: Erfolgreiche und fehlgeschlagene Anmeldungen, Kontosperrungen, Gruppenänderungen und Richtlinienänderungen landen alle zuerst auf den Domänencontrollern. Das Hinzufügen von Windows-Maschinen erfolgt über Einstellungen → Protokollquellenkonfiguration → Geräte. Fügen Sie Ihre Domäne zuerst unter Domänen und Arbeitsgruppen mit dem Dienstkonto hinzu, lassen Sie die Geräteliste füllen und wählen Sie dann die zu überwachenden Domänencontroller aus.

Im agentenlosen Modus greift der Collector auf dem EventLog Analyzer-Server über WMI und RPC auf jeden Windows-Computer zu, der die Ports 135, 445 und 139 sowie dynamische RPC-Ports auf den Zielcomputern verwendet. Wenn ein Gerät die Verbindung verweigert, liegt das fast immer an einer von drei Ursachen: der Firewall auf diesem Computer, den Anmeldeinformationen oder den Windows-Diensten, von denen WMI abhängt. Beheben Sie diese, bevor Sie das Produkt vermuten.

Richten Sie die Firewall und Linux per Syslog darauf aus

Netzwerkgeräte können keinen Agenten ausführen, daher sprechen sie stattdessen Syslog. Legen Sie in Ihrer Firewall das Syslog-Ziel auf die IP-Adresse des EventLog Analyzer-Servers an Port 514 fest. Ihre Firewall ist der einzige Zeuge für alles, was in das Netzwerk eindringt und es verlässt – VPN-Anmeldungen von zu Hause, blockierte Verbindungsversuche, Datenverkehr zu verdächtigen Zielen – und sie beginnt innerhalb von Minuten mit der Meldung, ohne dass ein Agent und keine Anmeldeinformationen verwaltet werden müssen.

Auf einem Linux-Host, auf dem rsyslog ausgeführt wird, erfüllt eine Zeile in der Konfiguration dieselbe Aufgabe:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

Überprüfen Sie, ob die Protokolle tatsächlich fließen

Beenden Sie den Vorgang nicht auf dem Installationsbildschirm. Schluss mit Beweisen. Wählen Sie drei Prüfungen aus: Eine fehlgeschlagene Anmeldung, die Sie gerade auf einer Workstation verursacht haben, sollte innerhalb von ein oder zwei Minuten in der Suche erscheinen; Das Dashboard sollte einen Anstieg der heutigen Veranstaltungszahlen anzeigen. und jede hinzugefügte Quelle sollte einen neuen Zeitpunkt des letzten empfangenen Protokolls anzeigen – nicht nur ein grünes Häkchen ab dem Moment, als Sie sie hinzugefügt haben. Wenn eine Quelle schweigt, sind ihre Uhr, Anmeldeinformationen oder Firewall-Regeln in dieser Reihenfolge die Verdächtigen.

Dann wachsen Sie in der richtigen Reihenfolge: als nächstes Datei- und Anwendungsserver, denn dort befinden sich die Daten; danach andere Server und Netzwerkgeräte; Workstations halten an – sie sind wirklich nützlich, um einen kompromittierten PC zu erkennen, aber sie sind die lautesten Quellen, die Sie besitzen, und das Hinzufügen von 150 PCs am ersten Tag erkauft in erster Linie die Festplattennutzung und das Alarmgeräusch. Eine Schicht nach der anderen, im Abstand von ein paar Tagen, ist die Art und Weise, wie ein Protokollprojekt überlebt.