Installer ManageEngine EventLog Analyzer

Forbered serveren først

EventLog Analyzer er et verktøy for loggadministrasjon og SIEM-stil fra ManageEngine. Den samler inn Windows-hendelseslogger uten agenter eller via agenter, mottar syslog fra brannmurer, rutere, svitsjer og Linux-maskiner, og gjør alt om til søkbare poster, rapporter og sanntidsvarsler. Vær tydelig på hva det ikke er: det administrerer ikke PC-er, distribuerer programvare eller lapper noe. Den ene jobben er bevis – en sentral, søkbar historie om hvem som gjorde hva på nettverket ditt.

Gi den et ærlig hjem: en Windows-server (eller en solid Windows-maskin) som står på hele dagen, med lagring på en rask stasjon og plass til å vokse. En loggserver er en voksende database, ikke et ferdig program - de indekserte dataene pluss arkiver vil fortsette å spise disk så lenge oppbevaring er slått på. Tre kontroller før du kjører oppsettet: maskinens klokke er synkronisert (loggtidsstempler uten NTP-synkronisering er fiksjon), portene nedenfor er gratis, og du har en dedikert domenetjenestekonto klar for innsamling av Windows-logger – ikke din personlige administratorpålogging, så en passordendring en dag stopper ikke innsamlingen stille.

Portene denne serveren trenger ledige: 8400 for nettkonsollen du åpner i en nettleser, 513 og 514 for syslog-lytteren (brannmurer, Linux og nettverksenheter), og 33335 for den medfølgende PostgreSQL/MySQL-databasen. Den databaseporten er intern og bundet til localhost, så den trenger ikke å åpnes i brannmuren.

Last ned og kjør installasjonsprogrammet

Last ned EventLog Analyzer kun fra ManageEngines offisielle nettsted, og kjør ManageEngine_EventLogAnalyzer_64bit.exe som administrator på den valgte serveren. Godta standardinnstillingene med mindre du må endre nettkonsollporten 8400 – dette valget tilbys under installasjonen.

Installer det som en Windows-tjeneste

Når oppsettet spør hvordan produktet skal kjøre, velger du å installere det som en Windows-tjeneste. Fullfør veiviseren og la tjenesten starte.

Dette valget betyr mer enn det ser ut. Som en vanlig applikasjon stopper innsamlingen i det øyeblikket noen logger av eller serveren starter på nytt for oppdateringer – og loggloggen din får stille hull akkurat når hendelser har en tendens til å skje. Som en tjeneste starter den med operativsystemet og samles døgnet rundt, som er hele poenget med en loggserver.

Første pålogging — Endre standardpassordet

Åpne en nettleser og gå til konsollen på serverens navn og port 8400, og logg deretter på med standard administratorkonto:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Legg til domenekontrollerne først

Nesten hver undersøkelse i et Windows-nettverk er egentlig et identitetsspørsmål – hvilken konto, fra hvilken maskin, til hvilken tid – og domenekontrollere har disse svarene: påloggingssuksesser og -feil, kontosperringer, gruppeendringer og policyendringer lander først på DC-ene. Å legge til Windows-maskiner gjøres fra Innstillinger → Loggkildekonfigurasjon → Enheter. Legg først til domenet ditt under Domener og arbeidsgrupper ved å bruke tjenestekontoen, la enhetslisten fylles ut, og velg deretter domenekontrollerne som skal overvåkes.

I agentløs modus når samleren på EventLog Analyzer-serveren ut til hver Windows-maskin over WMI og RPC, som bruker portene 135, 445 og 139 pluss dynamiske RPC-porter på målmaskinene. Hvis en enhet nekter å koble til, er det nesten alltid en av tre ting: brannmuren på den maskinen, legitimasjonen eller Windows-tjenestene WMI avhenger av. Fiks disse før du mistenker produktet.

Pekk brannmuren og Linux mot det av Syslog

Nettverksenheter kan ikke kjøre en agent, så de snakker syslog i stedet. På brannmuren angir du syslog-destinasjonen til EventLog Analyzer-serverens IP-adresse på port 514. Brannmuren din er det eneste vitnet til alt som kommer inn og ut av nettverket – VPN-pålogginger hjemmefra, blokkerte tilkoblingsforsøk, trafikk til mistenkelige destinasjoner – og den begynner å rapportere i løpet av minutter, uten agent og ingen legitimasjon å administrere.

På en Linux-vert som kjører rsyslog, gjør én linje i konfigurasjonen den samme jobben:

Bekreft at loggene virkelig flyter

Ikke fullfør på installasjonsskjermen; avslutte på bevis. Velg tre kontroller: en mislykket pålogging du nettopp forårsaket på en arbeidsstasjon skal vises i søk innen et minutt eller to; dashbordet skal vise dagens begivenhetstall som stiger; og hver lagt til kilde skal vise en ny siste logg mottatt tid – ikke bare en grønn hake fra øyeblikket du la den til. Hvis en kilde er stille, er dens klokke, legitimasjon eller brannmurregler mistenkt, i den rekkefølgen.

Voks deretter i riktig rekkefølge: fil- og applikasjonsservere neste, fordi det er der dataene bor; andre servere og nettverksenheter etter det; arbeidsstasjoner varer — de er virkelig nyttige for å oppdage en kompromittert PC, men de er de mest støyende kildene du eier, og å legge til 150 PC-er på dag én kjøper for det meste diskbruk og varslingsstøy. Ett lag om gangen, med noen dagers mellomrom, er hvordan et loggprosjekt overlever.