Instal Penganalisis EventLog ManageEngine

Siapkan Servernya Terlebih Dahulu

EventLog Analyzer adalah manajemen log dan alat bergaya SIEM dari ManageEngine. Ia mengumpulkan log peristiwa Windows tanpa agen atau melalui agen, menerima syslog dari firewall, router, switch, dan mesin Linux, dan mengubah semuanya menjadi catatan, laporan, dan peringatan real-time yang dapat dicari. Perjelas apa yang bukan: ia tidak mengelola PC, menyebarkan perangkat lunak, atau menambal apa pun. Fungsinya adalah sebagai bukti — riwayat terpusat dan dapat ditelusuri tentang siapa yang melakukan apa di jaringan Anda.

Berikan rumah yang nyaman: Server Windows (atau mesin Windows yang solid) yang dapat digunakan sepanjang hari, dengan penyimpanan pada drive cepat dan ruang untuk berkembang. Server log adalah database yang berkembang, bukan program yang sudah selesai — data yang diindeks ditambah arsip akan terus memakan disk selama penyimpanan diaktifkan. Tiga pemeriksaan sebelum Anda menjalankan penyiapan: jam mesin telah disinkronkan (stempel waktu log tanpa sinkronisasi NTP adalah fiksi), port di bawah ini gratis, dan Anda memiliki akun layanan domain khusus yang siap untuk pengumpulan log Windows — bukan login admin pribadi Anda, jadi perubahan sandi suatu hari tidak akan menghentikan pengumpulan log secara diam-diam.

Port gratis yang dibutuhkan server ini: 8400 untuk konsol web yang Anda buka di browser, 513 dan 514 untuk pendengar syslog (firewall, Linux, dan perangkat jaringan), dan 33335 untuk paket database PostgreSQL/MySQL. Port database tersebut bersifat internal dan terikat pada localhost, sehingga tidak perlu dibuka di firewall.

Unduh dan Jalankan Penginstal

Unduh EventLog Analyzer hanya dari situs web resmi ManageEngine, dan jalankan ManageEngine_EventLogAnalyzer_64bit.exe sebagai administrator di server yang dipilih. Terima defaultnya kecuali Anda harus mengubah port konsol web 8400 — pilihan itu ditawarkan selama instalasi.

Instal sebagai Layanan Windows

Saat pengaturan menanyakan bagaimana produk harus dijalankan, pilih untuk menginstalnya sebagai layanan Windows. Selesaikan wizard dan biarkan layanan dimulai.

Pilihan ini lebih penting daripada yang terlihat. Sebagai aplikasi biasa, pengumpulan berhenti saat seseorang logout atau server melakukan boot ulang untuk mendapatkan pembaruan — dan riwayat log Anda mendapatkan celah diam tepat ketika insiden cenderung terjadi. Sebagai sebuah layanan, layanan ini dimulai dengan OS dan dikumpulkan sepanjang waktu, yang merupakan keseluruhan inti dari server log.

Login Pertama — Mengubah Kata Sandi Default

Buka browser dan buka konsol pada nama server dan port 8400, lalu masuk dengan akun administrator default:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Arahkan Firewall dan Linux ke sana dengan Syslog

Perangkat jaringan tidak dapat menjalankan agen, jadi mereka menggunakan syslog. Di firewall Anda, tetapkan tujuan syslog ke alamat IP server EventLog Analyzer pada port 514. Firewall Anda adalah satu-satunya saksi atas segala sesuatu yang masuk dan keluar dari jaringan — login VPN dari rumah, upaya koneksi yang diblokir, lalu lintas ke tujuan yang mencurigakan — dan firewall mulai melaporkan dalam hitungan menit, tanpa agen dan kredensial untuk dikelola.

Pada host Linux yang menjalankan rsyslog, satu baris dalam konfigurasi melakukan pekerjaan yang sama:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.