ManageEngine EventLog Analyzer را نصب کنید

ابتدا سرور را آماده کنید

EventLog Analyzer یک ابزار مدیریت گزارش و سبک SIEM از ManageEngine است. گزارش‌های رویدادهای ویندوز را بدون عامل یا از طریق نمایندگان جمع‌آوری می‌کند، syslog را از فایروال‌ها، روترها، سوئیچ‌ها و ماشین‌های لینوکس دریافت می‌کند و همه آن‌ها را به سوابق، گزارش‌ها و هشدارهای هم‌زمان قابل جستجو تبدیل می‌کند. در مورد آنچه که نیست واضح باشید: رایانه‌های شخصی را مدیریت نمی‌کند، نرم‌افزار را نصب نمی‌کند یا چیزی را اصلاح نمی‌کند. یک کار آن شواهد است - یک تاریخچه مرکزی و قابل جستجو از اینکه چه کسی در شبکه شما چه کاری انجام داده است.

به آن خانه صادقانه بدهید: یک سرور ویندوز (یا یک دستگاه ویندوز محکم) که در تمام طول روز روشن می‌ماند، با فضای ذخیره‌سازی در یک درایو سریع و فضایی برای رشد. یک سرور گزارش یک پایگاه داده در حال رشد است، نه یک برنامه تمام شده - داده های نمایه شده به همراه آرشیو تا زمانی که ذخیره سازی روشن است، دیسک را می خورد. قبل از اجرای راه‌اندازی، سه بررسی کنید: ساعت دستگاه همگام‌سازی شده است (مهرهای زمانی ثبت بدون همگام‌سازی NTP تخیلی هستند)، درگاه‌های زیر رایگان هستند، و شما یک حساب سرویس دامنه اختصاصی آماده برای جمع‌آوری گزارش‌های Windows دارید - نه ورود به سیستم مدیریت شخصی‌تان، بنابراین یک روز تغییر رمز عبور، جمع‌آوری را بی‌صدا متوقف نمی‌کند.

پورت‌هایی که این سرور به آن نیاز دارد رایگان است: 8400 برای کنسول وب که در مرورگر باز می‌کنید، 513 و 514 برای شنونده سیستم ثبت (فایروال‌ها، لینوکس و دستگاه‌های شبکه) و 33335 برای پایگاه داده همراه PostgreSQL/MySQL. آن پورت پایگاه داده داخلی است و به لوکال هاست متصل است، بنابراین نیازی به باز کردن آن در فایروال نیست.

نصب کننده را دانلود و اجرا کنید

EventLog Analyzer را فقط از وب‌سایت رسمی ManageEngine دانلود کنید و ManageEngine_EventLogAnalyzer_64bit.exe را به‌عنوان سرپرست در سرور انتخابی اجرا کنید. پیش‌فرض‌ها را بپذیرید مگر اینکه مجبور باشید پورت کنسول وب 8400 را تغییر دهید — این انتخاب در حین نصب ارائه می‌شود.

آن را به عنوان سرویس ویندوز نصب کنید

وقتی راه‌اندازی از شما می‌پرسد که محصول چگونه باید اجرا شود، نصب آن را به‌عنوان یک سرویس ویندوز انتخاب کنید. جادوگر را تمام کنید و اجازه دهید سرویس شروع شود.

این انتخاب بیشتر از آنچه به نظر می رسد اهمیت دارد. به عنوان یک برنامه ساده، مجموعه از لحظه‌ای که شخصی از سیستم خارج می‌شود یا سرور برای به‌روزرسانی راه‌اندازی مجدد می‌شود، متوقف می‌شود - و تاریخچه گزارش شما دقیقاً زمانی که حوادثی اتفاق می‌افتد، شکاف‌های بی‌صدا می‌گیرد. به عنوان یک سرویس با سیستم عامل شروع می شود و در تمام ساعات شبانه روز جمع آوری می شود، که تمام نقطه یک سرور گزارش است.

ورود اول — رمز عبور پیش فرض را تغییر دهید

مرورگر را باز کنید و به کنسول در نام سرور و پورت 8400 بروید، سپس با حساب سرپرست پیش فرض وارد شوید:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

ابتدا کنترل کننده های دامنه خود را اضافه کنید

تقریباً هر تحقیق در یک شبکه ویندوز واقعاً یک سؤال هویتی است - کدام حساب، از کدام ماشین، در چه زمانی - و کنترل‌کننده‌های دامنه این پاسخ‌ها را دارند: موفقیت‌ها و شکست‌های ورود، قفل کردن حساب، تغییرات گروهی و تغییرات سیاست، همه ابتدا روی DCها قرار می‌گیرند. افزودن ماشین‌های Windows از تنظیمات → پیکربندی منبع گزارش → دستگاه‌ها انجام می‌شود. ابتدا دامنه خود را در دامنه ها و گروه های کاری با استفاده از حساب سرویس اضافه کنید، اجازه دهید لیست دستگاه ها پر شود، سپس کنترل کننده های دامنه را برای نظارت انتخاب کنید.

در حالت بدون عامل، گردآورنده در سرور EventLog Analyzer از طریق WMI و RPC به هر دستگاه ویندوز دسترسی پیدا می‌کند که از پورت‌های 135، 445 و 139 به‌علاوه پورت‌های RPC پویا در ماشین‌های هدف استفاده می‌کند. اگر دستگاهی از اتصال امتناع کند، تقریباً همیشه یکی از سه چیز است: دیوار آتش در آن دستگاه، اعتبار، یا WMI خدمات ویندوز به آن بستگی دارد. قبل از اینکه به محصول مشکوک شوید، موارد را برطرف کنید.

فایروال و لینوکس را با Syslog به آن نشان دهید

دستگاه‌های شبکه نمی‌توانند عاملی را اجرا کنند، بنابراین به جای آن، syslog صحبت می‌کنند. در فایروال خود، مقصد syslog را روی آدرس IP سرور EventLog Analyzer در پورت 514 تنظیم کنید. فایروال شما تنها شاهد همه چیزهایی است که وارد شبکه می شوند و از آن خارج می شوند - ورود به سیستم VPN از خانه، تلاش برای اتصال مسدود شده، ترافیک به مقاصد مشکوک - و در عرض چند دقیقه شروع به گزارش دادن می کند، بدون نماینده و هیچ اعتباری برای مدیریت.

در یک هاست لینوکس که rsyslog را اجرا می کند، یک خط در پیکربندی کار مشابهی را انجام می دهد:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

بررسی کنید که گزارش‌ها واقعا جریان دارند

در صفحه نصب تمام نشود. بر اساس شواهد تمام شود سه بررسی را انتخاب کنید: ورود ناموفقی که به تازگی در یک ایستگاه کاری ایجاد کرده اید باید در عرض یک یا دو دقیقه در جستجو ظاهر شود. داشبورد باید تعداد رویدادهای امروز را در حال صعود نشان دهد. و هر منبع اضافه شده باید زمان آخرین گزارش دریافتی را نشان دهد - نه فقط یک تیک سبز از لحظه ای که آن را اضافه کردید. اگر منبعی بی صدا باشد، ساعت، اعتبارنامه یا قوانین فایروال آن به ترتیب مظنون هستند.

سپس به ترتیب درست رشد کنید: سرورهای فایل و برنامه بعدی، زیرا داده ها در آنجا زندگی می کنند. سایر سرورها و دستگاه های شبکه پس از آن؛ ایستگاه‌های کاری دوام می‌آورند – آنها واقعاً برای شناسایی رایانه‌های شخصی آسیب‌دیده مفید هستند، اما آنها پر سر و صداترین منابعی هستند که در اختیار دارید، و اضافه کردن 150 رایانه شخصی در روز اول عمدتاً مصرف دیسک و نویز هشدار را خریداری می‌کند. یک لایه در یک زمان، با فاصله چند روز، نحوه بقای یک پروژه گزارش است.