Εγκαταστήστε το ManageEngine EventLog Analyzer

Πρώτα προετοιμάστε τον διακομιστή

Το EventLog Analyzer είναι ένα εργαλείο διαχείρισης αρχείων καταγραφής και στυλ SIEM από το ManageEngine. Συλλέγει αρχεία καταγραφής συμβάντων των Windows χωρίς πράκτορα ή μέσω αντιπροσώπων, λαμβάνει το σύστημα καταγραφής από τείχη προστασίας, δρομολογητές, διακόπτες και μηχανές Linux και τα μετατρέπει όλα σε αρχεία με δυνατότητα αναζήτησης, αναφορές και ειδοποιήσεις σε πραγματικό χρόνο. Να είστε σαφείς σχετικά με το τι δεν είναι: δεν διαχειρίζεται υπολογιστές, δεν αναπτύσσει λογισμικό ή δεν επιδιορθώνει οτιδήποτε. Η μοναδική του δουλειά είναι η απόδειξη — ένα κεντρικό ιστορικό με δυνατότητα αναζήτησης για το ποιος έκανε τι στο δίκτυό σας.

Δώστε του ένα ειλικρινές σπίτι: έναν Windows Server (ή ένα σταθερό μηχάνημα Windows) που παραμένει ανοιχτός όλη την ημέρα, με αποθηκευτικό χώρο σε μια γρήγορη μονάδα δίσκου και χώρο για ανάπτυξη. Ένας διακομιστής καταγραφής είναι μια αναπτυσσόμενη βάση δεδομένων, όχι ένα ολοκληρωμένο πρόγραμμα — τα δεδομένα με ευρετήριο και τα αρχεία θα συνεχίσουν να τρώνε τον δίσκο για όσο διάστημα είναι ενεργοποιημένη η διατήρηση. Τρεις έλεγχοι πριν εκτελέσετε τη ρύθμιση: το ρολόι του μηχανήματος είναι συγχρονισμένο (οι χρονικές σημάνσεις καταγραφής χωρίς συγχρονισμό NTP είναι φανταστικές), οι παρακάτω θύρες είναι δωρεάν και διαθέτετε έναν αποκλειστικό λογαριασμό υπηρεσίας τομέα έτοιμο για τη συλλογή αρχείων καταγραφής των Windows — όχι την προσωπική σας σύνδεση διαχειριστή, επομένως μια αλλαγή κωδικού πρόσβασης μια μέρα δεν διακόπτει τη συλλογή σιωπηλά.

Οι θύρες που χρειάζεται αυτός ο διακομιστής δωρεάν: 8400 για την κονσόλα Ιστού που ανοίγετε σε ένα πρόγραμμα περιήγησης, 513 και 514 για το πρόγραμμα ακρόασης syslog (τείχη προστασίας, Linux και συσκευές δικτύου) και 33335 για τη ομαδοποιημένη βάση δεδομένων PostgreSQL/MySQL. Αυτή η θύρα βάσης δεδομένων είναι εσωτερική και δεσμεύεται στον localhost, επομένως δεν χρειάζεται να ανοίξει στο τείχος προστασίας.

Λήψη και εκτέλεση του προγράμματος εγκατάστασης

Κατεβάστε το EventLog Analyzer μόνο από τον επίσημο ιστότοπο του ManageEngine και εκτελέστε το ManageEngine_EventLogAnalyzer_64bit.exe ως διαχειριστή στον επιλεγμένο διακομιστή. Αποδεχτείτε τις προεπιλογές εκτός εάν πρέπει να αλλάξετε τη θύρα 8400 της κονσόλας Ιστού — αυτή η επιλογή προσφέρεται κατά την εγκατάσταση.

Εγκατάσταση ως υπηρεσία Windows

Όταν η εγκατάσταση ρωτά πώς θα λειτουργεί το προϊόν, επιλέξτε να το εγκαταστήσετε ως υπηρεσία Windows. Ολοκληρώστε τον οδηγό και αφήστε την υπηρεσία να ξεκινήσει.

Αυτή η επιλογή έχει μεγαλύτερη σημασία από όσο φαίνεται. Ως απλή εφαρμογή, η συλλογή σταματά τη στιγμή που κάποιος αποσυνδέεται ή ο διακομιστής επανεκκινείται για ενημερώσεις — και το ιστορικό καταγραφής σας παρουσιάζει σιωπηλά κενά ακριβώς όταν τείνουν να συμβαίνουν περιστατικά. Ως υπηρεσία ξεκινά με το λειτουργικό σύστημα και συλλέγεται όλο το εικοσιτετράωρο, που είναι ολόκληρο το σημείο ενός διακομιστή καταγραφής.

Πρώτη σύνδεση — Αλλάξτε τον προεπιλεγμένο κωδικό πρόσβασης

Ανοίξτε ένα πρόγραμμα περιήγησης και μεταβείτε στην κονσόλα στο όνομα του διακομιστή και στη θύρα 8400 και, στη συνέχεια, συνδεθείτε με τον προεπιλεγμένο λογαριασμό διαχειριστή:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Πρώτα προσθέστε τους ελεγκτές τομέα σας

Σχεδόν κάθε έρευνα σε ένα δίκτυο Windows είναι πραγματικά μια ερώτηση ταυτότητας — ποιος λογαριασμός, από ποιο μηχάνημα, σε ποια ώρα — και οι ελεγκτές τομέα διατηρούν αυτές τις απαντήσεις: επιτυχίες και αποτυχίες σύνδεσης, κλειδώματα λογαριασμών, αλλαγές ομάδας και αλλαγές πολιτικής, όλα προσγειώνονται πρώτα στα DC. Η προσθήκη μηχανών Windows γίνεται από τις Ρυθμίσεις → Διαμόρφωση πηγής καταγραφής → Συσκευές. Προσθέστε τον τομέα σας πρώτα στην περιοχή Τομείς και ομάδες εργασίας χρησιμοποιώντας τον λογαριασμό υπηρεσίας, αφήστε τη λίστα συσκευών να συμπληρωθεί και, στη συνέχεια, επιλέξτε τους ελεγκτές τομέα προς παρακολούθηση.

Στη λειτουργία χωρίς πράκτορα, ο συλλέκτης στον διακομιστή EventLog Analyzer προσεγγίζει κάθε υπολογιστή Windows μέσω WMI και RPC, το οποίο χρησιμοποιεί τις θύρες 135, 445 και 139 συν τις θύρες δυναμικού RPC στα μηχανήματα προορισμού. Εάν μια συσκευή αρνείται να συνδεθεί, είναι σχεδόν πάντα ένα από τα τρία πράγματα: το τείχος προστασίας σε αυτό το μηχάνημα, τα διαπιστευτήρια ή οι υπηρεσίες των Windows εξαρτάται από το WMI. Διορθώστε τα προτού υποπτευθείτε το προϊόν.

Τοποθετήστε το τείχος προστασίας και το Linux σε It by Syslog

Οι συσκευές δικτύου δεν μπορούν να εκτελέσουν έναν πράκτορα, επομένως μιλούν το σύστημα καταγραφής. Στο τείχος προστασίας σας, ορίστε τον προορισμό του συστήματος καταγραφής στη διεύθυνση IP του διακομιστή EventLog Analyzer στη θύρα 514. Το τείχος προστασίας σας είναι ο μόνος μάρτυρας για οτιδήποτε εισέρχεται και εξέρχεται από το δίκτυο — συνδέσεις VPN από το σπίτι, αποκλεισμένες προσπάθειες σύνδεσης, κίνηση προς ύποπτους προορισμούς — και αρχίζει να αναφέρει μέσα σε λίγα λεπτά, χωρίς αντιπρόσωπο και διαπιστευτήρια για διαχείριση.

Σε έναν κεντρικό υπολογιστή Linux που εκτελεί το rsyslog, μία γραμμή στη διαμόρφωση κάνει την ίδια δουλειά:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

Επαληθεύστε ότι τα αρχεία καταγραφής ρέουν πραγματικά

Μην ολοκληρώσετε την οθόνη εγκατάστασης. τελειώνουμε με στοιχεία. Επιλέξτε τρεις ελέγχους: μια αποτυχημένη σύνδεση που μόλις προκαλέσατε σε έναν σταθμό εργασίας θα πρέπει να εμφανιστεί στην αναζήτηση μέσα σε ένα ή δύο λεπτά. ο πίνακας οργάνων θα πρέπει να δείχνει ότι η σημερινή εκδήλωση μετράει αναρρίχηση. και κάθε πηγή που προστίθεται θα πρέπει να εμφανίζει μια νέα ώρα λήψης τελευταίας καταγραφής — όχι απλώς ένα πράσινο σημάδι από τη στιγμή που το προσθέσατε. Εάν οποιαδήποτε πηγή είναι σιωπηλή, οι κανόνες του ρολογιού, των διαπιστευτηρίων ή του τείχους προστασίας είναι οι ύποπτοι, με αυτή τη σειρά.

Στη συνέχεια, αναπτύξτε με τη σωστή σειρά: οι διακομιστές αρχείων και εφαρμογών στη συνέχεια, επειδή εκεί ζουν τα δεδομένα. άλλους διακομιστές και συσκευές δικτύου μετά από αυτό. Οι σταθμοί εργασίας διαρκούν — είναι πραγματικά χρήσιμοι για τον εντοπισμό ενός παραβιασμένου υπολογιστή, αλλά είναι οι πιο θορυβώδεις πηγές που διαθέτετε και η προσθήκη 150 υπολογιστών την πρώτη ημέρα αγοράζει κυρίως χρήση δίσκου και θόρυβο ειδοποίησης. Ένα επίπεδο κάθε φορά, με διαφορά λίγων ημερών, είναι ο τρόπος με τον οποίο επιβιώνει ένα έργο καταγραφής.