ManageEngine EventLog അനലൈസർ ഇൻസ്റ്റാൾ ചെയ്യുക

ആദ്യം സെർവർ തയ്യാറാക്കുക

EventLog അനലൈസർ എന്നത് ManageEngine-ൽ നിന്നുള്ള ഒരു ലോഗ് മാനേജ്‌മെൻ്റും SIEM-സ്റ്റൈൽ ടൂളുമാണ്. ഇത് വിൻഡോസ് ഇവൻ്റ് ലോഗുകൾ ഏജൻ്റുമാരായോ ഏജൻ്റുമാർ മുഖേനയോ ശേഖരിക്കുന്നു, ഫയർവാളുകൾ, റൂട്ടറുകൾ, സ്വിച്ചുകൾ, ലിനക്സ് മെഷീനുകൾ എന്നിവയിൽ നിന്ന് സിസ്‌ലോഗ് സ്വീകരിക്കുന്നു, കൂടാതെ അതെല്ലാം തിരയാവുന്ന റെക്കോർഡുകൾ, റിപ്പോർട്ടുകൾ, തത്സമയ അലേർട്ടുകൾ എന്നിവ ആക്കി മാറ്റുന്നു. അതെന്താണെന്ന് വ്യക്തമാക്കുക: ഇത് പിസികൾ നിയന്ത്രിക്കുകയോ സോഫ്റ്റ്‌വെയർ വിന്യസിക്കുകയോ ഒന്നും പാച്ച് ചെയ്യുകയോ ചെയ്യുന്നില്ല. അതിൻ്റെ ഒരു ജോലി തെളിവാണ് — നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ ആരാണ് എന്താണ് ചെയ്തത് എന്നതിൻ്റെ കേന്ദ്രീകൃതവും തിരയാവുന്നതുമായ ചരിത്രം.

ഇതിന് സത്യസന്ധമായ ഒരു വീട് നൽകുക: ഒരു വിൻഡോസ് സെർവർ (അല്ലെങ്കിൽ ഒരു സോളിഡ് വിൻഡോസ് മെഷീൻ) ദിവസം മുഴുവൻ തങ്ങിനിൽക്കുന്നു, ഫാസ്റ്റ് ഡ്രൈവിൽ സ്റ്റോറേജും വളരാനുള്ള ഇടവും. ലോഗ് സെർവർ വളരുന്ന ഒരു ഡാറ്റാബേസാണ്, പൂർത്തിയായ പ്രോഗ്രാമല്ല - ഇൻഡെക്‌സ് ചെയ്‌ത ഡാറ്റയും ആർക്കൈവുകളും നിലനിർത്തൽ ഓണാകുന്നിടത്തോളം കാലം ഡിസ്‌ക് കഴിക്കുന്നത് തുടരും. നിങ്ങൾ സജ്ജീകരണം പ്രവർത്തിപ്പിക്കുന്നതിന് മുമ്പ് മൂന്ന് പരിശോധനകൾ: മെഷീൻ്റെ ക്ലോക്ക് സമന്വയിപ്പിച്ചിരിക്കുന്നു (NTP സമന്വയമില്ലാത്ത ലോഗ് ടൈംസ്റ്റാമ്പുകൾ ഫിക്ഷൻ ആണ്), ചുവടെയുള്ള പോർട്ടുകൾ സൗജന്യമാണ്, കൂടാതെ Windows ലോഗ് ശേഖരണത്തിനായി നിങ്ങൾക്ക് ഒരു സമർപ്പിത ഡൊമെയ്ൻ സേവന അക്കൗണ്ട് തയ്യാറാണ് - നിങ്ങളുടെ സ്വകാര്യ അഡ്മിൻ ലോഗിൻ അല്ല, അതിനാൽ ഒരു ദിവസം പാസ്‌വേഡ് മാറ്റം നിശബ്ദമായി ശേഖരണം നിർത്തില്ല.

ഈ സെർവറിന് സൗജന്യമായി ആവശ്യമായ പോർട്ടുകൾ: നിങ്ങൾ ബ്രൗസറിൽ തുറക്കുന്ന വെബ് കൺസോളിനായി 8400, syslog ശ്രോതാവിന് (ഫയർവാളുകൾ, ലിനക്സ്, നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ) 513, 514, ബണ്ടിൽ ചെയ്‌ത PostgreSQL/MySQL ഡാറ്റാബേയ്‌ക്ക് 33335 ആ ഡാറ്റാബേസ് പോർട്ട് ആന്തരികവും ലോക്കൽഹോസ്റ്റുമായി ബന്ധിതവുമാണ്, അതിനാൽ ഇത് ഫയർവാളിൽ തുറക്കേണ്ടതില്ല.

ഇൻസ്റ്റാളർ ഡൗൺലോഡ് ചെയ്ത് പ്രവർത്തിപ്പിക്കുക

ManageEngine-ൻ്റെ ഔദ്യോഗിക വെബ്‌സൈറ്റിൽ നിന്ന് മാത്രം EventLog അനലൈസർ ഡൗൺലോഡ് ചെയ്യുക, തിരഞ്ഞെടുത്ത സെർവറിൽ അഡ്മിനിസ്ട്രേറ്ററായി ManageEngine_EventLogAnalyzer_64bit.exe റൺ ചെയ്യുക. നിങ്ങൾ വെബ് കൺസോൾ പോർട്ട് 8400 മാറ്റേണ്ടതില്ലെങ്കിൽ ഡിഫോൾട്ടുകൾ സ്വീകരിക്കുക — ഇൻസ്റ്റലേഷൻ സമയത്ത് ആ ചോയ്സ് വാഗ്ദാനം ചെയ്യുന്നു.

ഇത് ഒരു വിൻഡോസ് സേവനമായി ഇൻസ്റ്റാൾ ചെയ്യുക

ഉൽപ്പന്നം എങ്ങനെ പ്രവർത്തിക്കണമെന്ന് സജ്ജീകരണം ചോദിക്കുമ്പോൾ, അത് ഒരു Windows സേവനമായി ഇൻസ്റ്റാൾ ചെയ്യാൻ തിരഞ്ഞെടുക്കുക. വിസാർഡ് പൂർത്തിയാക്കി സേവനം ആരംഭിക്കാൻ അനുവദിക്കുക.

ഈ ചോയ്‌സ് കാണുന്നതിനേക്കാൾ പ്രധാനമാണ്. ഒരു പ്ലെയിൻ ആപ്ലിക്കേഷൻ എന്ന നിലയിൽ, ആരെങ്കിലും ലോഗ് ഓഫ് ചെയ്യുമ്പോഴോ സെർവർ അപ്‌ഡേറ്റുകൾക്കായി റീബൂട്ട് ചെയ്യുമ്പോഴോ ശേഖരണം നിർത്തുന്നു - സംഭവങ്ങൾ സംഭവിക്കുമ്പോൾ കൃത്യമായി നിങ്ങളുടെ ലോഗ് ചരിത്രത്തിന് നിശബ്ദ വിടവുകൾ ലഭിക്കും. ഒരു സേവനമെന്ന നിലയിൽ ഇത് OS-ൽ ആരംഭിക്കുകയും മുഴുവൻ സമയവും ശേഖരിക്കുകയും ചെയ്യുന്നു, ഇത് ഒരു ലോഗ് സെർവറിൻ്റെ മുഴുവൻ പോയിൻ്റാണ്.

ആദ്യ ലോഗിൻ - ഡിഫോൾട്ട് പാസ്‌വേഡ് മാറ്റുക

ഒരു ബ്രൗസർ തുറന്ന് സെർവറിൻ്റെ പേരും പോർട്ട് 8400-ലും ഉള്ള കൺസോളിലേക്ക് പോകുക, തുടർന്ന് ഡിഫോൾട്ട് അഡ്മിനിസ്ട്രേറ്റർ അക്കൗണ്ട് ഉപയോഗിച്ച് സൈൻ ഇൻ ചെയ്യുക:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

ആദ്യം നിങ്ങളുടെ ഡൊമെയ്ൻ കൺട്രോളറുകൾ ചേർക്കുക

Windows നെറ്റ്‌വർക്കിലെ മിക്കവാറും എല്ലാ അന്വേഷണവും യഥാർത്ഥത്തിൽ ഒരു ഐഡൻ്റിറ്റി ചോദ്യമാണ് - ഏത് അക്കൗണ്ട്, ഏത് മെഷീനിൽ നിന്ന്, ഏത് സമയത്താണ് - കൂടാതെ ഡൊമെയ്ൻ കൺട്രോളറുകൾ ആ ഉത്തരങ്ങൾ സൂക്ഷിക്കുന്നു: ലോഗിൻ വിജയങ്ങളും പരാജയങ്ങളും, അക്കൗണ്ട് ലോക്കൗട്ടുകൾ, ഗ്രൂപ്പ് മാറ്റങ്ങൾ, നയ മാറ്റങ്ങൾ എന്നിവ ഡിസികളിൽ ആദ്യം. വിൻഡോസ് മെഷീനുകൾ ചേർക്കുന്നത് ക്രമീകരണങ്ങൾ → ലോഗ് സോഴ്സ് കോൺഫിഗറേഷൻ → ഡിവൈസുകൾ എന്നതിൽ നിന്നാണ്. സേവന അക്കൗണ്ട് ഉപയോഗിച്ച് ഡൊമെയ്‌നുകളും വർക്ക്‌ഗ്രൂപ്പുകളും എന്നതിന് കീഴിൽ ആദ്യം നിങ്ങളുടെ ഡൊമെയ്ൻ ചേർക്കുക, ഉപകരണ ലിസ്‌റ്റ് പോപ്പുലേറ്റ് ചെയ്യാൻ അനുവദിക്കുക, തുടർന്ന് നിരീക്ഷിക്കാൻ ഡൊമെയ്ൻ കൺട്രോളറുകൾ തിരഞ്ഞെടുക്കുക.

ഏജൻ്റ്‌ലെസ് മോഡിൽ, ഇവൻ്റ്‌ലോഗ് അനലൈസർ സെർവറിലെ കളക്ടർ, ഡബ്ല്യുഎംഐ, ആർപിസി എന്നിവയിലൂടെ ഓരോ വിൻഡോസ് മെഷീനിലേക്കും എത്തുന്നു, ഇത് ടാർഗെറ്റ് മെഷീനുകളിൽ 135, 445, 139 പ്ലസ് ഡൈനാമിക് ആർപിസി പോർട്ടുകൾ ഉപയോഗിക്കുന്നു. ഒരു ഉപകരണം ബന്ധിപ്പിക്കാൻ വിസമ്മതിക്കുകയാണെങ്കിൽ, അത് മിക്കവാറും എല്ലായ്‌പ്പോഴും മൂന്ന് കാര്യങ്ങളിൽ ഒന്നാണ്: ആ മെഷീനിലെ ഫയർവാൾ, ക്രെഡൻഷ്യലുകൾ അല്ലെങ്കിൽ Windows സേവനങ്ങൾ WMI എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു. ഉൽപ്പന്നത്തെ സംശയിക്കുന്നതിന് മുമ്പ് അവ പരിഹരിക്കുക.

Syslog മുഖേന ഫയർവാളും ലിനക്സും ഇതിലേക്ക് പോയിൻ്റ് ചെയ്യുക

നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾക്ക് ഒരു ഏജൻ്റിനെ പ്രവർത്തിപ്പിക്കാൻ കഴിയില്ല, അതിനാൽ അവ പകരം syslog സംസാരിക്കുന്നു. നിങ്ങളുടെ ഫയർവാളിൽ, 514 എന്ന പോർട്ടിലെ EventLog അനലൈസർ സെർവറിൻ്റെ IP വിലാസത്തിലേക്ക് syslog ലക്ഷ്യസ്ഥാനം സജ്ജമാക്കുക. നെറ്റ്‌വർക്കിൽ പ്രവേശിക്കുകയും പുറത്തുപോകുകയും ചെയ്യുന്ന എല്ലാത്തിനും നിങ്ങളുടെ ഫയർവാൾ മാത്രമാണ് സാക്ഷി - വീട്ടിൽ നിന്നുള്ള VPN ലോഗണുകൾ, ബ്ലോക്ക് ചെയ്‌ത കണക്ഷൻ ശ്രമങ്ങൾ, സംശയാസ്‌പദമായ ലക്ഷ്യസ്ഥാനങ്ങളിലേക്കുള്ള ട്രാഫിക് - കൂടാതെ ഇത് മിനിറ്റുകൾക്കുള്ളിൽ റിപ്പോർട്ട് ചെയ്യാൻ തുടങ്ങുന്നു, ഒരു ഏജൻ്റും കൂടാതെ മാനേജ് ചെയ്യാൻ ക്രെഡൻഷ്യലുകളും ഇല്ല.

rsyslog പ്രവർത്തിക്കുന്ന ഒരു Linux ഹോസ്റ്റിൽ, കോൺഫിഗറേഷനിലെ ഒരു വരി ഇതേ ജോലി ചെയ്യുന്നു:

ലോഗുകൾ ശരിക്കും ഒഴുകുന്നുണ്ടോയെന്ന് പരിശോധിക്കുക

ഇൻസ്റ്റാൾ സ്ക്രീനിൽ പൂർത്തിയാക്കരുത്; തെളിവിൽ അവസാനിപ്പിക്കുക. മൂന്ന് ചെക്കുകൾ തിരഞ്ഞെടുക്കുക: ഒരു വർക്ക്സ്റ്റേഷനിൽ നിങ്ങൾ വരുത്തിയ ഒരു പരാജയപ്പെട്ട ലോഗൺ ഒന്നോ രണ്ടോ മിനിറ്റിനുള്ളിൽ തിരയലിൽ ദൃശ്യമാകും; ഡാഷ്‌ബോർഡ് ഇന്നത്തെ ഇവൻ്റ് കൗണ്ടുകൾ കയറ്റം കാണിക്കണം; കൂടാതെ ചേർത്ത ഓരോ ഉറവിടവും ഒരു പുതിയ അവസാനം ലഭിച്ച ലോഗ് സമയം കാണിക്കണം - നിങ്ങൾ അത് ചേർത്ത നിമിഷത്തിൽ നിന്നുള്ള പച്ച ടിക്ക് മാത്രമല്ല. ഏതെങ്കിലും ഉറവിടം നിശബ്ദമാണെങ്കിൽ, അതിൻ്റെ ക്ലോക്ക്, ക്രെഡൻഷ്യലുകൾ അല്ലെങ്കിൽ ഫയർവാൾ നിയമങ്ങൾ ആ ക്രമത്തിൽ സംശയിക്കപ്പെടുന്നു.

പിന്നെ ശരിയായ ക്രമത്തിൽ വളരുക: ഫയലുകളും ആപ്ലിക്കേഷൻ സെർവറുകളും അടുത്തത്, കാരണം അവിടെയാണ് ഡാറ്റ ജീവിക്കുന്നത്; അതിനുശേഷം മറ്റ് സെർവറുകളും നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളും; വർക്ക്സ്റ്റേഷനുകൾ അവസാനത്തേതാണ് - ഒരു വിട്ടുവീഴ്ച ചെയ്ത പിസി കണ്ടെത്തുന്നതിന് അവ യഥാർത്ഥത്തിൽ ഉപയോഗപ്രദമാണ്, എന്നാൽ അവ നിങ്ങളുടെ ഉടമസ്ഥതയിലുള്ള ഏറ്റവും ശബ്ദായമാനമായ ഉറവിടങ്ങളാണ്, കൂടാതെ ആദ്യ ദിവസം തന്നെ 150 പിസികൾ ചേർക്കുന്നത് ഡിസ്ക് ഉപയോഗവും അലേർട്ട് നോയിസും വാങ്ങുന്നു. ഒരു സമയം ഒരു ലെയർ, കുറച്ച് ദിവസങ്ങളുടെ ഇടവേളയിൽ, ഒരു ലോഗ് പ്രോജക്റ്റ് എങ്ങനെ നിലനിൽക്കുന്നു എന്നതാണ്.