I-install ang ManageEngine EventLog Analyzer

Ihanda muna ang Server

Ang EventLog Analyzer ay isang log management at SIEM-style na tool mula sa ManageEngine. Kinokolekta nito ang mga log ng kaganapan sa Windows nang walang ahente o sa pamamagitan ng mga ahente, tumatanggap ng syslog mula sa mga firewall, router, switch at Linux machine, at ginagawa ang lahat ng ito sa mga mahahanap na tala, ulat at real-time na alerto. Maging malinaw tungkol sa kung ano ito ay hindi: hindi ito namamahala ng mga PC, mag-deploy ng software o mag-patch ng kahit ano. Ang isang trabaho nito ay katibayan — isang sentro, mahahanap na kasaysayan ng kung sino ang gumawa ng kung ano sa iyong network.

Bigyan ito ng isang tapat na tahanan: isang Windows Server (o isang solidong Windows machine) na nananatili sa buong araw, na may storage sa isang mabilis na drive at silid na lumago. Ang isang log server ay isang lumalagong database, hindi isang tapos na programa — ang naka-index na data at mga archive ay patuloy na kumakain ng disk hangga't naka-on ang pagpapanatili. Tatlong pagsusuri bago ka magpatakbo ng setup: ang orasan ng makina ay naka-sync (ang mga timestamp ng log na walang NTP sync ay kathang-isip lamang), ang mga port sa ibaba ay libre, at mayroon kang nakalaang domain service account na handa para sa Windows log collection — hindi ang iyong personal na admin login, kaya ang pagbabago ng password isang araw ay hindi tahimik na huminto sa pagkolekta.

Ang mga port na kailangan ng server na ito ay libre: 8400 para sa web console na binuksan mo sa isang browser, 513 at 514 para sa tagapakinig ng syslog (mga firewall, Linux at network device), at 33335 para sa naka-bundle na PostgreSQL/MySQL database. Ang database port na iyon ay panloob at nakatali sa localhost, kaya hindi ito kailangang buksan sa firewall.

I-download at Patakbuhin ang Installer

I-download ang EventLog Analyzer mula sa opisyal na website ng ManageEngine lamang, at patakbuhin ang ManageEngine_EventLogAnalyzer_64bit.exe bilang administrator sa napiling server. Tanggapin ang mga default maliban kung kailangan mong baguhin ang web console port 8400 — ang pagpipiliang iyon ay inaalok sa panahon ng pag-install.

I-install Ito bilang Serbisyo ng Windows

Kapag tinanong ng setup kung paano dapat tumakbo ang produkto, piliing i-install ito bilang isang serbisyo ng Windows. Tapusin ang wizard at hayaang magsimula ang serbisyo.

Mas mahalaga ang pagpipiliang ito kaysa sa hitsura nito. Bilang isang simpleng application, hihinto ang koleksyon sa sandaling mag-log off ang isang tao o mag-reboot ang server para sa mga update — at ang iyong kasaysayan ng log ay nakakakuha ng mga tahimik na gaps nang eksakto kung kailan may posibilidad na mangyari ang mga insidente. Bilang isang serbisyo, nagsisimula ito sa OS at nangongolekta sa buong orasan, na siyang buong punto ng isang log server.

Unang Pag-login — Baguhin ang Default na Password

Magbukas ng browser at pumunta sa console sa pangalan ng server at port 8400, pagkatapos ay mag-sign in gamit ang default na administrator account:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Idagdag muna ang Iyong Mga Kontroler ng Domain

Halos lahat ng pagsisiyasat sa isang network ng Windows ay talagang isang tanong sa pagkakakilanlan — kung aling account, mula sa aling machine, sa anong oras — at ang mga controller ng domain ang may hawak ng mga sagot na iyon: mga tagumpay at pagkabigo sa pag-logon, pag-lock ng account, pagbabago ng grupo at pagbabago ng patakaran sa lahat ng nasa DC. Ang pagdaragdag ng mga Windows machine ay ginagawa mula sa Mga Setting → Log Source Configuration → Mga Device. Idagdag muna ang iyong domain sa ilalim ng Mga Domain at Workgroup gamit ang account ng serbisyo, hayaang mapuno ang listahan ng device, pagkatapos ay piliin ang mga controller ng domain na susubaybayan.

Sa mode na walang ahente, inaabot ng kolektor sa server ng EventLog Analyzer ang bawat Windows machine sa pamamagitan ng WMI at RPC, na gumagamit ng mga port 135, 445 at 139 kasama ang mga dynamic na RPC port sa mga target na machine. Kung ang isang device ay tumangging kumonekta, ito ay halos palaging isa sa tatlong bagay: ang firewall sa machine na iyon, ang mga kredensyal, o ang mga serbisyo ng Windows na WMI ay nakasalalay. Ayusin ang mga iyon bago mo pinaghihinalaan ang produkto.

Ituro ang Firewall at Linux dito ng Syslog

Hindi maaaring magpatakbo ng ahente ang mga network device, kaya nagsasalita na lang sila ng syslog. Sa iyong firewall, itakda ang patutunguhan ng syslog sa IP address ng server ng EventLog Analyzer sa port 514. Ang iyong firewall ang tanging saksi sa lahat ng pumapasok at umaalis sa network — mga pag-logon ng VPN mula sa bahay, mga naka-block na pagtatangka sa koneksyon, trapiko sa mga kahina-hinalang destinasyon — at magsisimula itong mag-ulat sa loob ng ilang minuto, na walang ahente at walang kredensyal na mamamahala.

Sa isang Linux host na nagpapatakbo ng rsyslog, isang linya sa configuration ang gumagawa ng parehong trabaho:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

I-verify na Talagang Dumadaloy ang Mga Log

Huwag tapusin sa screen ng pag-install; tapusin sa ebidensya. Pumili ng tatlong tseke: ang isang nabigong logon na kakagawa mo lang sa isang workstation ay dapat na lumabas sa paghahanap sa loob ng isa o dalawa; dapat ipakita ng dashboard ang mga bilang ng kaganapan ngayon sa pag-akyat; at bawat idinagdag na pinagmulan ay dapat magpakita ng bagong huling log na natanggap oras — hindi lamang isang berdeng tik mula sa sandaling idinagdag mo ito. Kung tahimik ang anumang pinagmulan, ang orasan, mga kredensyal o mga panuntunan ng firewall nito ang pinaghihinalaan, sa ganoong pagkakasunud-sunod.

Pagkatapos ay lumago sa tamang pagkakasunud-sunod: susunod na mga server ng file at application, dahil doon nakatira ang data; iba pang mga server at network device pagkatapos nito; huling mga workstation — talagang kapaki-pakinabang ang mga ito para makita ang isang nakompromisong PC, ngunit sila ang pinakamaingay na pinagmumulan na pagmamay-ari mo, at ang pagdaragdag ng 150 PC sa unang araw ay kadalasang bumibili ng paggamit ng disk at ingay ng alerto. Isang layer sa isang pagkakataon, ilang araw na pagitan, ay kung paano nabubuhay ang isang log project.