ManageEngine EventLog विश्लेषक स्थापना गर्नुहोस्

सर्भर पहिले तयार गर्नुहोस्

EventLog विश्लेषक एक लग व्यवस्थापन र ManageEngine बाट SIEM-शैली उपकरण हो। यसले विन्डोज घटना लगहरू एजेन्ट बिना वा एजेन्टहरू मार्फत सङ्कलन गर्दछ, फायरवालहरू, राउटरहरू, स्विचहरू र लिनक्स मेसिनहरूबाट syslog प्राप्त गर्दछ, र सबैलाई खोजी योग्य रेकर्डहरू, रिपोर्टहरू र वास्तविक-समय अलर्टहरूमा परिणत गर्दछ। यो के होईन भन्ने बारे स्पष्ट हुनुहोस्: यसले पीसीहरू प्रबन्ध गर्दैन, सफ्टवेयर प्रयोग गर्दैन वा केहि पनि प्याच गर्दैन। यसको एउटा काम प्रमाण हो — तपाईंको नेटवर्कमा कसले के गर्यो भन्ने केन्द्रीय, खोजीयोग्य इतिहास।

यसलाई इमानदार घर दिनुहोस्: एउटा विन्डोज सर्भर (वा ठोस विन्डोज मेसिन) जुन दिनभर रहन्छ, छिटो ड्राइभमा भण्डारण र बढ्नको लागि कोठा। लग सर्भर एक बढ्दो डाटाबेस हो, समाप्त कार्यक्रम होइन - अनुक्रमणिका डाटा प्लस अभिलेखहरूले डिस्क खाइरहनेछ जबसम्म प्रतिधारण सक्रिय हुन्छ। तपाईंले सेटअप चलाउनु अघि तीन जाँचहरू: मेसिनको घडी सिंक गरिएको छ (NTP सिंक बिना लग टाइमस्ट्याम्पहरू काल्पनिक हुन्), तलका पोर्टहरू नि:शुल्क छन्, र तपाईंसँग Windows लग सङ्कलनका लागि समर्पित डोमेन सेवा खाता तयार छ — तपाईंको व्यक्तिगत प्रशासक लगइन होइन, त्यसैले पासवर्ड परिवर्तनले एक दिन चुपचाप सङ्कलन रोक्दैन।

यस सर्भरलाई नि:शुल्क चाहिने पोर्टहरू: 8400 तपाईंले ब्राउजरमा खोल्नुहुने वेब कन्सोलको लागि, 513 र 514 syslog श्रोता (फायरवालहरू, लिनक्स र नेटवर्क उपकरणहरू), र 33335 बन्डल गरिएको PostgreSQL/MySQLba डेटाको लागि। त्यो डाटाबेस पोर्ट आन्तरिक छ र लोकलहोस्टमा बाँधिएको छ, त्यसैले यसलाई फायरवालमा खोल्न आवश्यक छैन।

डाउनलोड गर्नुहोस् र स्थापनाकर्ता चलाउनुहोस्

EventLog विश्लेषक ManageEngine को आधिकारिक वेबसाइटबाट मात्र डाउनलोड गर्नुहोस्, र चयन गरिएको सर्भरमा प्रशासकको रूपमा ManageEngine_EventLogAnalyzer_64bit.exe चलाउनुहोस्। पूर्वनिर्धारितहरू स्वीकार गर्नुहोस् जबसम्म तपाईंले वेब कन्सोल पोर्ट 8400 परिवर्तन गर्नु पर्दैन — त्यो छनोट स्थापनाको बेला प्रस्ताव गरिन्छ।

विन्डोज सेवाको रूपमा स्थापना गर्नुहोस्

जब सेटअपले उत्पादन कसरी चल्ने भनेर सोध्छ, यसलाई Windows सेवाको रूपमा स्थापना गर्ने छनौट गर्नुहोस्। विजार्ड समाप्त गर्नुहोस् र सेवा सुरु गर्न दिनुहोस्।

यो छनोट यो देखिन्छ भन्दा बढी महत्त्वपूर्ण छ। एक सादा अनुप्रयोगको रूपमा, सङ्कलनले कसैले लग अफ गर्दा वा अद्यावधिकहरूको लागि सर्भर रिबुट हुने क्षणलाई रोक्छ — र घटनाहरू हुने क्रममा तपाईंको लग इतिहासले मौन अन्तरहरू प्राप्त गर्दछ। सेवाको रूपमा यो OS बाट सुरु हुन्छ र घडी वरिपरि सङ्कलन हुन्छ, जुन लग सर्भरको सम्पूर्ण बिन्दु हो।

पहिलो लगइन - पूर्वनिर्धारित पासवर्ड परिवर्तन गर्नुहोस्

ब्राउजर खोल्नुहोस् र सर्भरको नाम र पोर्ट 8400 मा रहेको कन्सोलमा जानुहोस्, त्यसपछि पूर्वनिर्धारित प्रशासक खाताबाट साइन इन गर्नुहोस्:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

पहिले आफ्नो डोमेन नियन्त्रकहरू थप्नुहोस्

विन्डोज नेटवर्कमा लगभग हरेक अनुसन्धान वास्तवमै पहिचान प्रश्न हो — कुन खाता, कुन मेसिनबाट, कुन समयमा — र डोमेन नियन्त्रकहरूले ती जवाफहरू राख्छन्: लगइन सफलताहरू र असफलताहरू, खाता लकआउटहरू, समूह परिवर्तनहरू र नीतिहरू परिवर्तनहरू सबै DC मा पहिले। Windows मेशिनहरू थप्ने काम सेटिङहरू → लग स्रोत कन्फिगरेसन → उपकरणहरू बाट गरिन्छ। सेवा खाता प्रयोग गरेर पहिले डोमेन र कार्यसमूहहरू अन्तर्गत आफ्नो डोमेन थप्नुहोस्, उपकरण सूची भर्न दिनुहोस्, त्यसपछि निगरानी गर्न डोमेन नियन्त्रकहरू चयन गर्नुहोस्।

एजेन्टलेस मोडमा, EventLog विश्लेषक सर्भरमा रहेको कलेक्टरले WMI र RPC मार्फत प्रत्येक Windows मेसिनमा पुग्छ, जसले लक्षित मेसिनहरूमा 135, 445 र 139 प्लस डायनामिक RPC पोर्टहरू प्रयोग गर्दछ। यदि कुनै उपकरणले जडान गर्न अस्वीकार गर्छ भने, यो लगभग सधैं तीन चीजहरू मध्ये एक हो: त्यो मेसिनमा फायरवाल, प्रमाणहरू, वा Windows सेवाहरू WMI मा निर्भर गर्दछ। तपाईंले उत्पादनलाई शंका गर्नु अघि तिनीहरूलाई ठीक गर्नुहोस्।

Syslog द्वारा फायरवाल र लिनक्सलाई इंगित गर्नुहोस्

नेटवर्क यन्त्रहरूले एजेन्ट चलाउन सक्दैनन्, त्यसैले तिनीहरू बरु syslog बोल्छन्। तपाईंको फायरवालमा, पोर्ट 514 मा EventLog विश्लेषक सर्भरको IP ठेगानामा syslog गन्तव्य सेट गर्नुहोस्। तपाईको फायरवाल नेटवर्कमा प्रवेश गर्ने र छोड्ने सबै कुराको एक मात्र साक्षी हो - घरबाट VPN लगनहरू, जडान प्रयासहरू, संदिग्ध गन्तव्यहरूमा ट्राफिक - र यसले कुनै एजेन्ट र व्यवस्थापन गर्न कुनै प्रमाणहरू बिना मिनेटमा रिपोर्ट गर्न थाल्छ।

rsyslog चलिरहेको Linux होस्टमा, कन्फिगरेसनमा एउटा लाइनले उही काम गर्छ:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

लगहरू साँच्चै प्रवाहित छन् भनी प्रमाणित गर्नुहोस्

स्थापना स्क्रिनमा समाप्त नगर्नुहोस्; प्रमाण मा समाप्त। तीन जाँचहरू छान्नुहोस्: तपाईंले भर्खरै वर्कस्टेशनमा गरेको असफल लगइन एक वा दुई मिनेट भित्र खोजीमा देखा पर्नेछ; ड्यासबोर्डले आजको घटना गणना चढाई देखाउनुपर्छ; र प्रत्येक थपिएको स्रोतले नयाँ अन्तिम लग प्राप्त गरेको समय देखाउनुपर्छ — तपाईंले थपेको क्षणबाट हरियो टिक मात्र होइन। यदि कुनै स्रोत मौन छ भने, त्यस क्रममा यसको घडी, प्रमाणहरू वा फायरवाल नियमहरू संदिग्ध हुन्।

त्यसपछि सही क्रममा बढ्नुहोस्: फाइल र एप्लिकेसन सर्भरहरू अर्को, किनभने त्यहाँ डाटा रहन्छ; त्यस पछि अन्य सर्भर र नेटवर्क उपकरणहरू; वर्कस्टेशनहरू अन्तिममा - तिनीहरू एक सम्झौता गरिएको पीसी भेट्टाउनको लागि साँच्चै उपयोगी छन्, तर तिनीहरू तपाईंको स्वामित्वमा रहेका सबैभन्दा शोर स्रोतहरू हुन्, र पहिलो दिनमा 150 पीसीहरू थप्दा प्राय: डिस्क प्रयोग र चेतावनी आवाज खरिद गर्दछ। एक पटकमा एक तह, केही दिनको दूरीमा, लग परियोजना कसरी जीवित रहन्छ।