התקן את ManageEngine EventLog Analyzer

הכן תחילה את השרת

EventLog Analyzer הוא כלי לניהול יומנים וכלי בסגנון SIEM מ-ManageEngine. הוא אוסף יומני אירועי Windows ללא סוכנים או דרך סוכנים, מקבל Syslog מחומת אש, נתבים, מתגים ומכונות לינוקס, והופך את כל זה לרשומות, דוחות והתראות בזמן אמת שניתן לחפש בהן. היה ברור מה זה לא: הוא לא מנהל מחשבים אישיים, פורס תוכנה או מתקן שום דבר. התפקיד היחיד שלו הוא ראיה - היסטוריה מרכזית וניתנת לחיפוש של מי עשה מה ברשת שלך.

תן לו בית ישר: שרת Windows (או מכונת Windows מוצקה) שנשאר דולק כל היום, עם אחסון בכונן מהיר ומקום לגדול. שרת יומן הוא מסד נתונים הולך וגדל, לא תוכנית גמורה - הנתונים המאונדקסים בתוספת הארכיונים ימשיכו לאכול דיסק כל עוד השמירה מופעלת. שלוש בדיקות לפני שתפעיל את ההגדרה: השעון של המחשב מסונכרן (חותמות זמן של יומן ללא סנכרון NTP הן בדיות), היציאות למטה הן בחינם, ויש לך חשבון שירות דומיין ייעודי מוכן לאיסוף יומני Windows - לא ההתחברות האישית שלך למנהל המערכת, כך ששינוי סיסמה יום אחד לא מפסיק את האיסוף בשקט.

היציאות שהשרת הזה צריך בחינם: 8400 עבור קונסולת האינטרנט שאתה פותח בדפדפן, 513 ו-514 עבור מאזין ה-syslog (חומת אש, לינוקס והתקני רשת), ו-33335 עבור מסד הנתונים PostgreSQL/MySQL המצורף. יציאת מסד הנתונים היא פנימית ומחוברת ל-localhost, ולכן אין צורך לפתוח אותה בחומת האש.

הורד והפעל את תוכנית ההתקנה

הורד את EventLog Analyzer מהאתר הרשמי של ManageEngine בלבד, והפעל את ManageEngine_EventLogAnalyzer_64bit.exe כמנהל בשרת הנבחר. קבל את ברירת המחדל אלא אם כן עליך לשנות את יציאת 8400 של מסוף האינטרנט - אפשרות זו מוצעת במהלך ההתקנה.

התקן אותו כשירות Windows

כאשר ההגדרה שואלת כיצד המוצר אמור לפעול, בחר להתקין אותו כשירות Windows. סיים את האשף ואפשר לשירות להתחיל.

בחירה זו חשובה יותר ממה שהיא נראית. כאפליקציה רגילה, האיסוף מפסיק ברגע שמישהו מתנתק או שהשרת מאתחל לעדכונים - והיסטוריית היומן שלך מקבלת פערים שקטים בדיוק כאשר תקריות נוטות לקרות. כשירות הוא מתחיל במערכת ההפעלה ונאסף מסביב לשעון, וזה כל הנקודה של שרת יומן.

כניסה ראשונה — שנה את סיסמת ברירת המחדל

פתח דפדפן ועבור למסוף על שם השרת והיציאה 8400, ולאחר מכן היכנס עם חשבון מנהל ברירת המחדל:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

הוסף תחילה את בקרי הדומיין שלך

כמעט כל חקירה ברשת Windows היא באמת שאלת זהות - איזה חשבון, מאיזה מכונה, באיזו שעה - ובקרי תחום מחזיקים את התשובות הללו: הצלחות וכישלונות בכניסה, נעילת חשבונות, שינויים בקבוצה ושינויי מדיניות כולם נוחתים ב-DCs תחילה. הוספת מחשבי Windows מתבצעת מהגדרות → תצורת מקור יומן → התקנים. הוסף את הדומיין שלך תחילה תחת דומיינים וקבוצות עבודה באמצעות חשבון השירות, תן לרשימת המכשירים להתאכלס ולאחר מכן בחר את בקרי הדומיין למעקב.

במצב ללא סוכן, האספן בשרת EventLog Analyzer מגיע לכל מחשב Windows באמצעות WMI ו-RPC, אשר משתמש ביציאות 135, 445 ו-139 בתוספת יציאות RPC דינמיות במכונות היעד. אם מכשיר מסרב להתחבר, זה כמעט תמיד אחד משלושה דברים: חומת האש של המחשב הזה, האישורים או שירותי Windows שבו תלוי WMI. תקן אותם לפני שאתה חושד במוצר.

כוונו אליה את חומת האש ולינוקס באמצעות Syslog

התקני רשת אינם יכולים להפעיל סוכן, אז הם מדברים syslog במקום זאת. בחומת האש שלך, הגדר את יעד ה-syslog לכתובת ה-IP של שרת EventLog Analyzer ביציאה 514. חומת האש שלך היא העדה היחידה לכל מה שנכנס ויוצא מהרשת - כניסה ל-VPN מהבית, ניסיונות חיבור חסומים, תעבורה ליעדים חשודים - והיא מתחילה לדווח תוך דקות, ללא סוכן וללא אישורים לניהול.

במארח לינוקס שמריץ rsyslog, שורה אחת בתצורה עושה את אותה עבודה:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

וודא שהיומנים באמת זורמים

אל תסיים במסך ההתקנה; לסיים על ראיות. בחר שלוש בדיקות: כניסה שנכשלה שזה עתה גרמת לתחנת עבודה אמורה להופיע בחיפוש תוך דקה או שתיים; לוח המחוונים צריך להראות את ספירת האירועים של היום מטפסת; וכל מקור שנוסף צריך להציג יומן אחרון שהתקבל טרי - לא רק סימון ירוק מהרגע שהוספת אותו. אם מקור כלשהו שותק, השעון, האישורים או כללי חומת האש שלו הם החשודים, לפי הסדר הזה.

אז גדל בסדר הנכון: אחר כך שרתי קבצים ויישומים, כי זה המקום שבו הנתונים חיים; שרתים והתקני רשת אחרים לאחר מכן; תחנות עבודה נמשכות - הן באמת שימושיות לאיתור מחשב נפרץ, אבל הן המקורות הרועשים ביותר שבבעלותך, והוספת 150 מחשבים ביום הראשון קונה בעיקר שימוש בדיסק ורעש התראה. שכבה אחת בכל פעם, בהפרש של כמה ימים, היא הדרך שבה פרויקט יומן שורד.