મેનેજ એન્જીન ઇવેન્ટલોગ વિશ્લેષક ઇન્સ્ટોલ કરો

સર્વરને પહેલા તૈયાર કરો

EventLog વિશ્લેષક એ ManageEngine તરફથી લોગ મેનેજમેન્ટ અને SIEM-શૈલીનું સાધન છે. તે વિન્ડોઝ ઇવેન્ટ લોગને એજન્ટ વગર અથવા એજન્ટો દ્વારા એકત્રિત કરે છે, ફાયરવોલ, રાઉટર્સ, સ્વીચો અને Linux મશીનોમાંથી syslog મેળવે છે અને તે બધાને શોધી શકાય તેવા રેકોર્ડ્સ, રિપોર્ટ્સ અને રીઅલ-ટાઇમ ચેતવણીઓમાં ફેરવે છે. તે શું નથી તેના વિશે સ્પષ્ટ રહો: ​​તે પીસીનું સંચાલન કરતું નથી, સોફ્ટવેરનો ઉપયોગ કરતું નથી અથવા કંઈપણ પેચ કરતું નથી. તેનું એક કાર્ય પુરાવા છે — તમારા નેટવર્ક પર કોણે શું કર્યું તેનો કેન્દ્રિય, શોધી શકાય એવો ઇતિહાસ.

તેને પ્રામાણિક ઘર આપો: વિન્ડોઝ સર્વર (અથવા નક્કર વિન્ડોઝ મશીન) જે આખો દિવસ ચાલુ રહે છે, ઝડપી ડ્રાઇવ પર સ્ટોરેજ અને વધવા માટે જગ્યા સાથે. લોગ સર્વર એ વધતો જતો ડેટાબેઝ છે, સમાપ્ત થયેલ પ્રોગ્રામ નથી — અનુક્રમિત ડેટા વત્તા આર્કાઇવ્સ જ્યાં સુધી રીટેન્શન ચાલુ છે ત્યાં સુધી ડિસ્ક ખાવાનું ચાલુ રાખશે. તમે સેટઅપ ચલાવો તે પહેલાં ત્રણ તપાસો: મશીનની ઘડિયાળ સમન્વયિત છે (NTP સમન્વયન વિના લોગ ટાઇમસ્ટેમ્પ કાલ્પનિક છે), નીચે આપેલા પોર્ટ્સ મફત છે, અને તમારી પાસે Windows લોગ સંગ્રહ માટે એક સમર્પિત ડોમેન સેવા ખાતું તૈયાર છે — તમારું વ્યક્તિગત એડમિન લોગિન નહીં, તેથી એક દિવસ પાસવર્ડ બદલવાથી ચૂપચાપ સંગ્રહ બંધ થતો નથી.

આ સર્વરને જે પોર્ટની જરૂર છે તે મફતમાં: 8400 તમે બ્રાઉઝરમાં ખોલો છો તે વેબ કન્સોલ માટે, syslog સાંભળનાર (ફાયરવૉલ્સ, Linux અને નેટવર્ક ઉપકરણો) માટે 513 અને 514 અને બંડલ કરેલ PostgreSQL/MySQL ડેટા માટે 33335. તે ડેટાબેઝ પોર્ટ આંતરિક છે અને લોકલહોસ્ટ સાથે બંધાયેલ છે, તેથી તેને ફાયરવોલમાં ખોલવાની જરૂર નથી.

ઇન્સ્ટોલર ડાઉનલોડ કરો અને ચલાવો

ફક્ત ManageEngineની અધિકૃત વેબસાઇટ પરથી ઇવેન્ટલોગ વિશ્લેષક ડાઉનલોડ કરો અને પસંદ કરેલા સર્વર પર વ્યવસ્થાપક તરીકે ManageEngine_EventLogAnalyzer_64bit.exe ચલાવો. ડિફૉલ્ટ સ્વીકારો સિવાય કે તમારે વેબ કન્સોલ પોર્ટ 8400 બદલવાની જરૂર છે — તે પસંદગી ઇન્સ્ટોલેશન દરમિયાન આપવામાં આવે છે.

તેને Windows સેવા તરીકે ઇન્સ્ટોલ કરો

જ્યારે સેટઅપ પૂછે છે કે ઉત્પાદન કેવી રીતે ચાલવું જોઈએ, ત્યારે તેને Windows સેવા તરીકે ઇન્સ્ટોલ કરવાનું પસંદ કરો. વિઝાર્ડ સમાપ્ત કરો અને સેવા શરૂ થવા દો.

આ પસંદગી જે દેખાય છે તેના કરતાં વધુ મહત્વની છે. સાદા એપ્લિકેશન તરીકે, જ્યારે કોઈ વ્યક્તિ લોગ ઓફ કરે અથવા અપડેટ્સ માટે સર્વર રીબૂટ થાય ત્યારે સંગ્રહ અટકે છે — અને જ્યારે ઘટનાઓ બનવાનું વલણ ધરાવે છે ત્યારે તમારો લોગ હિસ્ટ્રી સાયલન્ટ ગેપ્સ મેળવે છે. સેવા તરીકે તે OS થી શરૂ થાય છે અને ચોવીસે કલાક એકત્રિત થાય છે, જે લોગ સર્વરનો સંપૂર્ણ બિંદુ છે.

પ્રથમ લૉગિન — ડિફૉલ્ટ પાસવર્ડ બદલો

બ્રાઉઝર ખોલો અને સર્વરના નામ અને પોર્ટ 8400 પરના કન્સોલ પર જાઓ, પછી ડિફોલ્ટ એડમિનિસ્ટ્રેટર એકાઉન્ટ વડે સાઇન ઇન કરો:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

તમારા ડોમેન નિયંત્રકોને પહેલા ઉમેરો

વિન્ડોઝ નેટવર્કમાં લગભગ દરેક તપાસ ખરેખર એક ઓળખનો પ્રશ્ન છે — કયું ખાતું, કયા મશીનમાંથી, કયા સમયે — અને ડોમેન નિયંત્રકો તે જવાબો ધરાવે છે: લોગોન સફળતાઓ અને નિષ્ફળતાઓ, એકાઉન્ટ લૉકઆઉટ્સ, જૂથ ફેરફારો અને નીતિમાં ફેરફાર બધા પહેલા DC પર આવે છે. વિન્ડોઝ મશીનો ઉમેરવાનું સેટિંગ્સ → લોગ સોર્સ કન્ફિગરેશન → ઉપકરણોમાંથી થાય છે. સેવા ખાતાનો ઉપયોગ કરીને પહેલા તમારા ડોમેનને ડોમેન્સ અને વર્કગ્રુપ્સ હેઠળ ઉમેરો, ઉપકરણ સૂચિને પોપ્યુલેટ થવા દો, પછી મોનિટર કરવા માટે ડોમેન નિયંત્રકો પસંદ કરો.

એજન્ટલેસ મોડમાં, ઇવેન્ટલોગ એનાલાઇઝર સર્વર પરનો કલેક્ટર WMI અને RPC પર દરેક વિન્ડોઝ મશીન સુધી પહોંચે છે, જે લક્ષ્ય મશીનો પર પોર્ટ 135, 445 અને 139 વત્તા ડાયનેમિક RPC પોર્ટનો ઉપયોગ કરે છે. જો કોઈ ઉપકરણ કનેક્ટ થવાનો ઇનકાર કરે છે, તો તે લગભગ હંમેશા ત્રણ વસ્તુઓમાંથી એક છે: તે મશીન પરની ફાયરવોલ, ઓળખપત્રો અથવા Windows સેવાઓ WMI પર આધાર રાખે છે. તમે ઉત્પાદન પર શંકા કરો તે પહેલાં તેને ઠીક કરો.

Syslog દ્વારા ફાયરવોલ અને લિનક્સને તેના પર નિર્દેશ કરો

નેટવર્ક ઉપકરણો એજન્ટ ચલાવી શકતા નથી, તેથી તેઓ તેના બદલે syslog બોલે છે. તમારી ફાયરવોલ પર, પોર્ટ 514 પર ઇવેન્ટલૉગ વિશ્લેષક સર્વરના IP સરનામાં પર syslog ગંતવ્ય સેટ કરો. તમારી ફાયરવૉલ નેટવર્કમાં પ્રવેશતી અને બહાર નીકળતી દરેક વસ્તુનો એકમાત્ર સાક્ષી છે — ઘરમાંથી VPN લોગન્સ, કનેક્શનના પ્રયાસો, શંકાસ્પદ સ્થળો પર ટ્રાફિક — અને તે મિનિટોમાં જાણ કરવાનું શરૂ કરે છે, જેમાં કોઈ એજન્ટ અને મેનેજ કરવા માટે કોઈ ઓળખપત્ર નથી.

Rsyslog ચલાવતા Linux હોસ્ટ પર, રૂપરેખાંકનમાં એક લીટી સમાન કામ કરે છે:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

ચકાસો કે લોગ ખરેખર વહેતા હોય છે

ઇન્સ્ટોલ સ્ક્રીન પર સમાપ્ત કરશો નહીં; પુરાવા પર સમાપ્ત કરો. ત્રણ તપાસો ચૂંટો: તમે હમણાં જ વર્કસ્ટેશન પર કરેલ નિષ્ફળ લોગોન શોધમાં એક કે બે મિનિટમાં દેખાવા જોઈએ; ડેશબોર્ડમાં આજની ઇવેન્ટની સંખ્યા ચઢતી દેખાડવી જોઈએ; અને ઉમેરાયેલ દરેક સ્ત્રોતે તાજો છેલ્લો લોગ મેળવેલ સમય બતાવવો જોઈએ — તમે તેને ઉમેર્યાની ક્ષણથી માત્ર લીલી ટિક જ નહીં. જો કોઈપણ સ્ત્રોત શાંત હોય, તો તે ક્રમમાં તેની ઘડિયાળ, ઓળખપત્ર અથવા ફાયરવોલ નિયમો શંકાસ્પદ છે.

પછી યોગ્ય ક્રમમાં વધો: આગળ ફાઇલ અને એપ્લિકેશન સર્વર્સ, કારણ કે તે તે છે જ્યાં ડેટા રહે છે; તે પછી અન્ય સર્વર્સ અને નેટવર્ક ઉપકરણો; વર્કસ્ટેશન છેલ્લું છે - તેઓ ચેડા થયેલા પીસીને જોવા માટે ખરેખર ઉપયોગી છે, પરંતુ તે તમારી માલિકીના સૌથી વધુ ઘોંઘાટીયા સ્ત્રોત છે અને પ્રથમ દિવસે 150 પીસી ઉમેરવાથી મોટાભાગે ડિસ્ક વપરાશ અને ચેતવણીનો અવાજ ખરીદે છે. એક સમયે એક સ્તર, થોડા દિવસોના અંતરે, લોગ પ્રોજેક્ટ કેવી રીતે ટકી રહે છે.