Asenna ManageEngine EventLog Analyzer

Valmista palvelin ensin

EventLog Analyzer on ManageEnginen lokinhallinta- ja SIEM-tyylinen työkalu. Se kerää Windowsin tapahtumalokeja ilman agenttia tai agenttien kautta, vastaanottaa syslogeja palomuureista, reitittimistä, kytkimistä ja Linux-koneista ja muuttaa ne kaikki haettavissa oleviksi tietueiksi, raporteiksi ja reaaliaikaisiksi hälytyksiksi. Tee selväksi, mitä se ei ole: se ei hallitse tietokoneita, asenna ohjelmistoja tai korjaa mitään. Sen yksi tehtävä on todiste – keskeinen, haettavissa oleva historia siitä, kuka teki mitä verkossasi.

Anna sille rehellinen koti: Windows Server (tai vakaa Windows-kone), joka pysyy päällä koko päivän, tallennustilaa nopealla asemalla ja tilaa kasvaa. Lokipalvelin on kasvava tietokanta, ei valmis ohjelma – indeksoidut tiedot ja arkistot syövät levyä niin kauan kuin säilytys on päällä. Kolme tarkistusta ennen asennuksen suorittamista: koneen kello on synkronoitu (lokin aikaleimat ilman NTP-synkronointia ovat fiktiota), alla olevat portit ovat vapaita ja sinulla on erillinen verkkotunnuspalvelutili, joka on valmis Windows-lokien keräämistä varten – ei henkilökohtaista järjestelmänvalvojan kirjautumista, joten salasanan vaihtaminen jonain päivänä ei pysäytä keräämistä hiljaa.

Palvelimen tarvitsemat portit ilmaiseksi: 8400 selaimessa avattavalle verkkokonsolille, 513 ja 514 syslog-kuuntelijalle (palomuurit, Linux ja verkkolaitteet) ja 33335 niputettua PostgreSQL/MySQL-tietokantaa varten. Tämä tietokantaportti on sisäinen ja sidottu localhostiin, joten sitä ei tarvitse avata palomuurissa.

Lataa ja suorita asennusohjelma

Lataa EventLog Analyzer vain ManageEnginen viralliselta verkkosivustolta ja suorita ManageEngine_EventLogAnalyzer_64bit.exe järjestelmänvalvojana valitussa palvelimessa. Hyväksy oletusasetukset, ellet joudu muuttamaan verkkokonsolin porttia 8400 – tämä vaihtoehto on tarjolla asennuksen aikana.

Asenna se Windows-palveluna

Kun asennus kysyy, miten tuotteen pitäisi toimia, valitse se Windows-palveluna. Viimeistele ohjattu toiminto ja anna palvelun käynnistyä.

Tällä valinnalla on enemmän merkitystä kuin miltä se näyttää. Tavallisena sovelluksena kerääminen pysähtyy heti, kun joku kirjautuu ulos tai palvelin käynnistyy uudelleen päivityksiä varten – ja lokihistoriaasi tulee hiljaisia ​​aukkoja juuri silloin, kun tapauksia yleensä tapahtuu. Palveluna se alkaa käyttöjärjestelmästä ja kerää tietoja kellon ympäri, mikä on lokipalvelimen koko ydin.

Ensimmäinen kirjautuminen – Vaihda oletussalasana

Avaa selain ja siirry konsoliin palvelimen nimellä ja portilla 8400 ja kirjaudu sitten sisään oletusjärjestelmänvalvojatilillä:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Lisää ensin verkkotunnuksesi ohjaimet

Melkein jokainen Windows-verkon tutkimus on identiteettikysymys – millä tilillä, mistä koneesta, mihin aikaan – ja toimialueen ohjaimissa on nämä vastaukset: kirjautumisen onnistumiset ja epäonnistumiset, tilien sulkemiset, ryhmämuutokset ja käytäntömuutokset tulevat ensin DC:ihin. Windows-koneiden lisääminen tapahtuu kohdasta Asetukset → Lokilähteen asetukset → Laitteet. Lisää verkkotunnuksesi ensin kohtaan Domains and Workgroups käyttämällä palvelutiliä, anna laiteluettelon täyttyä ja valitse sitten valvottavat toimialueen ohjaimet.

Agenttittomassa tilassa EventLog Analyzer -palvelimen kerääjä ottaa yhteyttä jokaiseen Windows-koneeseen WMI:n ja RPC:n kautta, joka käyttää portteja 135, 445 ja 139 sekä dynaamisia RPC-portteja kohdekoneissa. Jos laite kieltäytyy muodostamasta yhteyttä, se on melkein aina yksi kolmesta asiasta: koneen palomuuri, tunnistetiedot tai Windows-palvelujen WMI riippuu. Korjaa ne ennen kuin epäilet tuotetta.

Osoita palomuuri ja Linux siihen Syslogin avulla

Verkkolaitteet eivät voi suorittaa agenttia, joten ne puhuvat sen sijaan syslogia. Aseta palomuurin syslokin kohteeksi EventLog Analyzer -palvelimen IP-osoite portissa 514. Palomuurisi on ainoa todistaja kaikesta verkkoon saapuvasta ja siitä poistuvasta kaikesta – VPN-kirjautumisista kotoa, estyneistä yhteysyrityksistä, liikenteestä epäilyttäviin kohteisiin – ja se alkaa raportoida muutamassa minuutissa ilman agenttia tai hallittavia valtuustietoja.

Rsyslogia käyttävässä Linux-isännässä yksi määrityksen rivi tekee saman työn:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

Varmista, että lokit todella virtaavat

Älä lopeta asennusnäytössä. lopeta todisteilla. Valitse kolme tarkistusta: epäonnistuneen kirjautumisen, jonka juuri aiheutit työasemaan, pitäisi ilmestyä haussa minuutin tai kahden sisällä; kojelaudan pitäisi näyttää tämän päivän tapahtuman kiipeilymäärät; ja jokaisen lisätyn lähteen tulee näyttää tuore viimeisen lokin vastaanoton aika – ei vain vihreää rastia lisäyshetkestä lähtien. Jos jokin lähde on hiljaa, sen kello, tunnistetiedot tai palomuurisäännöt ovat epäiltyjä tässä järjestyksessä.

Kasvata sitten oikeassa järjestyksessä: seuraavaksi tiedosto- ja sovelluspalvelimet, koska siellä tiedot elävät; muut palvelimet ja verkkolaitteet sen jälkeen; työasemat kestävät – ne ovat todella hyödyllisiä vaarantuneen tietokoneen havaitsemisessa, mutta ne ovat meluisimpia omistamiasi lähteitä, ja kun lisäät 150 PC:tä ensimmäisenä päivänä, ostat enimmäkseen levyn käyttöä ja hälytyskohinaa. Kerros kerrallaan, muutaman päivän välein, kuinka hirsiprojekti selviää.