Instalar el analizador ManageEngine EventLog

Prepare el servidor primero

EventLog Analyzer es una herramienta de gestión de registros y estilo SIEM de ManageEngine. Recopila registros de eventos de Windows sin agentes o a través de agentes, recibe syslog de firewalls, enrutadores, conmutadores y máquinas Linux, y los convierte en registros, informes y alertas en tiempo real con capacidad de búsqueda. Tenga claro lo que no es: no administra PC, no implementa software ni parchea nada. Su única función es la de evidencia: un historial central y con capacidad de búsqueda de quién hizo qué en su red.

Dale un hogar honesto: un servidor Windows (o una máquina sólida con Windows) que permanezca encendido todo el día, con almacenamiento en un disco rápido y espacio para crecer. Un servidor de registro es una base de datos en crecimiento, no un programa terminado: los datos indexados y los archivos seguirán consumiendo disco mientras la retención esté activada. Tres comprobaciones antes de ejecutar la configuración: el reloj de la máquina está sincronizado (las marcas de tiempo de los registros sin sincronización NTP son ficticias), los puertos siguientes son gratuitos y tiene una cuenta de servicio de dominio dedicada lista para la recopilación de registros de Windows, no su inicio de sesión de administrador personal, por lo que un cambio de contraseña un día no detiene la recopilación silenciosamente.

Los puertos que este servidor necesita son gratuitos: 8400 para la consola web que abre en un navegador, 513 y 514 para el escucha syslog (firewalls, Linux y dispositivos de red) y 33335 para la base de datos PostgreSQL/MySQL incluida. Ese puerto de base de datos es interno y está vinculado al host local, por lo que no es necesario abrirlo en el firewall.

Descargar y ejecutar el instalador

Descargue EventLog Analyzer únicamente desde el sitio web oficial de ManageEngine y ejecute ManageEngine_EventLogAnalyzer_64bit.exe como administrador en el servidor elegido. Acepte los valores predeterminados a menos que deba cambiar el puerto 8400 de la consola web; esa opción se ofrece durante la instalación.

Instálelo como un servicio de Windows

Cuando la instalación le pregunte cómo debe ejecutarse el producto, elija instalarlo como un servicio de Windows. Finalice el asistente y deje que se inicie el servicio.

Esta elección importa más de lo que parece. Como una aplicación simple, la recopilación se detiene en el momento en que alguien cierra la sesión o el servidor se reinicia para obtener actualizaciones, y su historial de registros guarda espacios silenciosos exactamente cuando los incidentes tienden a ocurrir. Como servicio, comienza con el sistema operativo y se recopila las 24 horas del día, que es el objetivo de un servidor de registros.

Primer inicio de sesión: cambiar la contraseña predeterminada

Abra un navegador y vaya a la consola con el nombre del servidor y el puerto 8400, luego inicie sesión con la cuenta de administrador predeterminada:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Apunte el Firewall y Linux hacia él mediante Syslog

Los dispositivos de red no pueden ejecutar un agente, por lo que hablan syslog. En su firewall, configure el destino de syslog en la dirección IP del servidor EventLog Analyzer en el puerto 514. Su firewall es el único testigo de todo lo que entra y sale de la red (inicios de sesión de VPN desde casa, intentos de conexión bloqueados, tráfico a destinos sospechosos) y comienza a informar en cuestión de minutos, sin agente ni credenciales que administrar.

En un host Linux que ejecuta rsyslog, una línea en la configuración hace el mismo trabajo:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.