Installer l'analyseur de journaux d'événements ManageEngine

Préparez d'abord le serveur

EventLog Analyzer est un outil de gestion des journaux et de style SIEM de ManageEngine. Il collecte les journaux d'événements Windows sans agent ou via des agents, reçoit les journaux système des pare-feu, des routeurs, des commutateurs et des machines Linux, et transforme le tout en enregistrements, rapports et alertes en temps réel consultables. Soyez clair sur ce qu'il n'est pas : il ne gère pas les PC, ne déploie pas de logiciels et ne corrige rien. Sa seule tâche est de fournir des preuves : un historique central et consultable de qui a fait quoi sur votre réseau.

Donnez-lui un environnement honnête : un serveur Windows (ou une machine Windows solide) qui reste opérationnel toute la journée, avec un stockage sur un disque rapide et une marge de croissance. Un serveur de journaux est une base de données en pleine croissance, pas un programme fini : les données indexées et les archives continueront à consommer du disque aussi longtemps que la rétention est activée. Trois vérifications avant d'exécuter l'installation : l'horloge de la machine est synchronisée (les horodatages des journaux sans synchronisation NTP sont une fiction), les ports ci-dessous sont gratuits et vous disposez d'un compte de service de domaine dédié prêt pour la collecte des journaux Windows - pas de votre connexion d'administrateur personnel, donc un changement de mot de passe un jour n'arrête pas silencieusement la collecte.

Les ports dont ce serveur a besoin gratuitement : 8 400 pour la console Web que vous ouvrez dans un navigateur, 513 et 514 pour l'écouteur syslog (pare-feu, Linux et périphériques réseau) et 33335 pour la base de données PostgreSQL/MySQL fournie. Ce port de base de données est interne et lié à localhost, il n'a donc pas besoin d'être ouvert dans le pare-feu.

Téléchargez et exécutez le programme d'installation

Téléchargez EventLog Analyzer uniquement depuis le site officiel de ManageEngine et exécutez ManageEngine_EventLogAnalyzer_64bit.exe en tant qu'administrateur sur le serveur choisi. Acceptez les valeurs par défaut, sauf si vous devez modifier le port 8400 de la console Web : ce choix est proposé lors de l'installation.

Installez-le en tant que service Windows

Lorsque le programme d'installation vous demande comment le produit doit fonctionner, choisissez de l'installer en tant que service Windows. Terminez l'assistant et laissez le service démarrer.

Ce choix compte plus qu'il n'y paraît. En tant qu'application simple, la collecte s'arrête au moment où quelqu'un se déconnecte ou que le serveur redémarre pour les mises à jour - et votre historique de journaux obtient des interruptions silencieuses exactement au moment où les incidents ont tendance à se produire. En tant que service, il démarre avec le système d'exploitation et collecte 24 heures sur 24, ce qui est tout l'intérêt d'un serveur de journaux.

Première connexion – Modifier le mot de passe par défaut

Ouvrez un navigateur et accédez à la console sur le nom du serveur et le port 8400, puis connectez-vous avec le compte administrateur par défaut :

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Pointez le pare-feu et Linux dessus par Syslog

Les périphériques réseau ne peuvent pas exécuter d'agent, ils parlent donc syslog à la place. Sur votre pare-feu, définissez la destination Syslog sur l'adresse IP du serveur EventLog Analyzer sur le port 514. Votre pare-feu est le seul témoin de tout ce qui entre et sort du réseau : connexions VPN depuis votre domicile, tentatives de connexion bloquées, trafic vers des destinations suspectes - et il commence à générer des rapports en quelques minutes, sans agent ni informations d'identification à gérer.

Sur un hôte Linux exécutant rsyslog, une ligne de la configuration fait le même travail :

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.