ManageEngine EventLog ਐਨਾਲਾਈਜ਼ਰ ਨੂੰ ਸਥਾਪਿਤ ਕਰੋ

ਸਰਵਰ ਨੂੰ ਪਹਿਲਾਂ ਤਿਆਰ ਕਰੋ

EventLog ਐਨਾਲਾਈਜ਼ਰ ManageEngine ਤੋਂ ਇੱਕ ਲੌਗ ਪ੍ਰਬੰਧਨ ਅਤੇ SIEM-ਸ਼ੈਲੀ ਵਾਲਾ ਟੂਲ ਹੈ। ਇਹ ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗਸ ਨੂੰ ਬਿਨਾਂ ਏਜੰਟ ਜਾਂ ਏਜੰਟਾਂ ਰਾਹੀਂ ਇਕੱਠਾ ਕਰਦਾ ਹੈ, ਫਾਇਰਵਾਲਾਂ, ਰਾਊਟਰਾਂ, ਸਵਿੱਚਾਂ ਅਤੇ ਲੀਨਕਸ ਮਸ਼ੀਨਾਂ ਤੋਂ ਸਿਸਲੌਗ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸ ਸਭ ਨੂੰ ਖੋਜਣਯੋਗ ਰਿਕਾਰਡਾਂ, ਰਿਪੋਰਟਾਂ ਅਤੇ ਰੀਅਲ-ਟਾਈਮ ਅਲਰਟ ਵਿੱਚ ਬਦਲ ਦਿੰਦਾ ਹੈ। ਇਸ ਬਾਰੇ ਸਪੱਸ਼ਟ ਰਹੋ ਕਿ ਇਹ ਕੀ ਨਹੀਂ ਹੈ: ਇਹ ਪੀਸੀ ਦਾ ਪ੍ਰਬੰਧਨ ਨਹੀਂ ਕਰਦਾ, ਸੌਫਟਵੇਅਰ ਤਾਇਨਾਤ ਨਹੀਂ ਕਰਦਾ ਜਾਂ ਕੁਝ ਵੀ ਪੈਚ ਨਹੀਂ ਕਰਦਾ। ਇਸਦਾ ਇੱਕ ਕੰਮ ਸਬੂਤ ਹੈ — ਇੱਕ ਕੇਂਦਰੀ, ਖੋਜਣਯੋਗ ਇਤਿਹਾਸ ਜਿਸ ਨੇ ਤੁਹਾਡੇ ਨੈੱਟਵਰਕ 'ਤੇ ਕੀ ਕੀਤਾ।

ਇਸ ਨੂੰ ਇੱਕ ਇਮਾਨਦਾਰ ਘਰ ਦਿਓ: ਇੱਕ ਵਿੰਡੋਜ਼ ਸਰਵਰ (ਜਾਂ ਇੱਕ ਠੋਸ ਵਿੰਡੋਜ਼ ਮਸ਼ੀਨ) ਜੋ ਸਾਰਾ ਦਿਨ ਰਹਿੰਦਾ ਹੈ, ਇੱਕ ਤੇਜ਼ ਡਰਾਈਵ ਤੇ ਸਟੋਰੇਜ ਅਤੇ ਵਧਣ ਲਈ ਕਮਰੇ ਦੇ ਨਾਲ। ਇੱਕ ਲੌਗ ਸਰਵਰ ਇੱਕ ਵਧ ਰਿਹਾ ਡੇਟਾਬੇਸ ਹੈ, ਇੱਕ ਮੁਕੰਮਲ ਪ੍ਰੋਗਰਾਮ ਨਹੀਂ - ਇੰਡੈਕਸਡ ਡੇਟਾ ਪਲੱਸ ਆਰਕਾਈਵਜ਼ ਉਦੋਂ ਤੱਕ ਡਿਸਕ ਨੂੰ ਖਾਂਦੇ ਰਹਿਣਗੇ ਜਦੋਂ ਤੱਕ ਰੀਟੈਨਸ਼ਨ ਚਾਲੂ ਹੈ। ਸੈੱਟਅੱਪ ਚਲਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਤਿੰਨ ਜਾਂਚਾਂ: ਮਸ਼ੀਨ ਦੀ ਘੜੀ ਸਿੰਕ ਕੀਤੀ ਗਈ ਹੈ (ਐਨਟੀਪੀ ਸਿੰਕ ਤੋਂ ਬਿਨਾਂ ਲੌਗ ਟਾਈਮਸਟੈਂਪ ਕਲਪਨਾ ਹਨ), ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਪੋਰਟਾਂ ਮੁਫ਼ਤ ਹਨ, ਅਤੇ ਤੁਹਾਡੇ ਕੋਲ ਵਿੰਡੋਜ਼ ਲੌਗ ਸੰਗ੍ਰਹਿ ਲਈ ਇੱਕ ਸਮਰਪਿਤ ਡੋਮੇਨ ਸੇਵਾ ਖਾਤਾ ਤਿਆਰ ਹੈ — ਤੁਹਾਡਾ ਨਿੱਜੀ ਪ੍ਰਸ਼ਾਸਕ ਲੌਗਇਨ ਨਹੀਂ, ਇਸਲਈ ਇੱਕ ਦਿਨ ਇੱਕ ਪਾਸਵਰਡ ਬਦਲਣਾ ਚੁੱਪਚਾਪ ਸੰਗ੍ਰਹਿ ਬੰਦ ਨਹੀਂ ਕਰਦਾ।

ਇਸ ਸਰਵਰ ਨੂੰ ਪੋਰਟਾਂ ਦੀ ਮੁਫ਼ਤ ਲੋੜ ਹੈ: 8400 ਵੈੱਬ ਕੰਸੋਲ ਲਈ ਜੋ ਤੁਸੀਂ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਖੋਲ੍ਹਦੇ ਹੋ, 513 ਅਤੇ 514 ਸਿਸਲੌਗ ਲਿਸਨਰ (ਫਾਇਰਵਾਲ, ਲੀਨਕਸ ਅਤੇ ਨੈੱਟਵਰਕ ਡਿਵਾਈਸਾਂ), ਅਤੇ ਬੰਡਲ ਕੀਤੇ PostgreSQL/MySQLba ਡੇਟਾ ਲਈ 33335। ਉਹ ਡੇਟਾਬੇਸ ਪੋਰਟ ਅੰਦਰੂਨੀ ਹੈ ਅਤੇ ਲੋਕਲਹੋਸਟ ਨਾਲ ਬੰਨ੍ਹਿਆ ਹੋਇਆ ਹੈ, ਇਸਲਈ ਇਸਨੂੰ ਫਾਇਰਵਾਲ ਵਿੱਚ ਖੋਲ੍ਹਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ।

ਇੰਸਟਾਲਰ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰੋ ਅਤੇ ਚਲਾਓ

ਸਿਰਫ਼ ManageEngine ਦੀ ਅਧਿਕਾਰਤ ਵੈੱਬਸਾਈਟ ਤੋਂ ਈਵੈਂਟਲੌਗ ਐਨਾਲਾਈਜ਼ਰ ਡਾਊਨਲੋਡ ਕਰੋ, ਅਤੇ ਚੁਣੇ ਹੋਏ ਸਰਵਰ 'ਤੇ ਪ੍ਰਸ਼ਾਸਕ ਵਜੋਂ ManageEngine_EventLogAnalyzer_64bit.exe ਚਲਾਓ। ਡਿਫੌਲਟ ਸਵੀਕਾਰ ਕਰੋ ਜਦੋਂ ਤੱਕ ਤੁਹਾਨੂੰ ਵੈਬ ਕੰਸੋਲ ਪੋਰਟ 8400 ਨੂੰ ਨਹੀਂ ਬਦਲਣਾ ਚਾਹੀਦਾ — ਇਹ ਚੋਣ ਇੰਸਟਾਲੇਸ਼ਨ ਦੌਰਾਨ ਪੇਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਇਸ ਨੂੰ ਵਿੰਡੋਜ਼ ਸਰਵਿਸ ਦੇ ਤੌਰ 'ਤੇ ਇੰਸਟਾਲ ਕਰੋ

ਜਦੋਂ ਸੈੱਟਅੱਪ ਪੁੱਛਦਾ ਹੈ ਕਿ ਉਤਪਾਦ ਨੂੰ ਕਿਵੇਂ ਚੱਲਣਾ ਚਾਹੀਦਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਵਿੰਡੋਜ਼ ਸੇਵਾ ਵਜੋਂ ਸਥਾਪਤ ਕਰਨ ਦੀ ਚੋਣ ਕਰੋ। ਵਿਜ਼ਾਰਡ ਨੂੰ ਪੂਰਾ ਕਰੋ ਅਤੇ ਸੇਵਾ ਸ਼ੁਰੂ ਹੋਣ ਦਿਓ।

ਇਹ ਚੋਣ ਇਸ ਤੋਂ ਵੱਧ ਮਹੱਤਵ ਰੱਖਦੀ ਹੈ ਕਿ ਇਹ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ। ਇੱਕ ਸਧਾਰਨ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਤੌਰ 'ਤੇ, ਸੰਗ੍ਰਹਿ ਉਸ ਪਲ ਨੂੰ ਰੋਕਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਵਿਅਕਤੀ ਲੌਗ-ਆਫ਼ ਹੁੰਦਾ ਹੈ ਜਾਂ ਅੱਪਡੇਟ ਲਈ ਸਰਵਰ ਰੀਬੂਟ ਹੁੰਦਾ ਹੈ — ਅਤੇ ਤੁਹਾਡਾ ਲੌਗ ਇਤਿਹਾਸ ਬਿਲਕੁਲ ਉਦੋਂ ਚੁੱਪ ਰਹਿੰਦਾ ਹੈ ਜਦੋਂ ਘਟਨਾਵਾਂ ਵਾਪਰਦੀਆਂ ਹਨ। ਸੇਵਾ ਦੇ ਤੌਰ 'ਤੇ ਇਹ OS ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ ਅਤੇ ਘੜੀ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਇਕੱਠੀ ਹੁੰਦੀ ਹੈ, ਜੋ ਕਿ ਲੌਗ ਸਰਵਰ ਦਾ ਪੂਰਾ ਬਿੰਦੂ ਹੈ।

ਪਹਿਲਾ ਲਾਗਇਨ — ਡਿਫਾਲਟ ਪਾਸਵਰਡ ਬਦਲੋ

ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਖੋਲ੍ਹੋ ਅਤੇ ਸਰਵਰ ਦੇ ਨਾਮ ਅਤੇ ਪੋਰਟ 8400 'ਤੇ ਕੰਸੋਲ 'ਤੇ ਜਾਓ, ਫਿਰ ਡਿਫੌਲਟ ਐਡਮਿਨਿਸਟ੍ਰੇਟਰ ਖਾਤੇ ਨਾਲ ਸਾਈਨ ਇਨ ਕਰੋ:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

ਪਹਿਲਾਂ ਆਪਣੇ ਡੋਮੇਨ ਕੰਟਰੋਲਰਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰੋ

ਵਿੰਡੋਜ਼ ਨੈੱਟਵਰਕ ਵਿੱਚ ਲਗਭਗ ਹਰ ਜਾਂਚ ਅਸਲ ਵਿੱਚ ਇੱਕ ਪਛਾਣ ਸਵਾਲ ਹੈ — ਕਿਹੜਾ ਖਾਤਾ, ਕਿਹੜੀ ਮਸ਼ੀਨ ਤੋਂ, ਕਿਸ ਸਮੇਂ — ਅਤੇ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਇਹਨਾਂ ਜਵਾਬਾਂ ਨੂੰ ਰੱਖਦੇ ਹਨ: ਲੌਗਨ ਸਫਲਤਾਵਾਂ ਅਤੇ ਅਸਫਲਤਾਵਾਂ, ਖਾਤਾ ਤਾਲਾਬੰਦੀ, ਸਮੂਹ ਤਬਦੀਲੀਆਂ ਅਤੇ ਨੀਤੀ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਸਭ ਪਹਿਲਾਂ DCs 'ਤੇ ਆਉਂਦੀਆਂ ਹਨ। ਵਿੰਡੋਜ਼ ਮਸ਼ੀਨਾਂ ਨੂੰ ਜੋੜਨਾ ਸੈਟਿੰਗਾਂ → ਲੌਗ ਸੋਰਸ ਕੌਂਫਿਗਰੇਸ਼ਨ → ਡਿਵਾਈਸਾਂ ਤੋਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸੇਵਾ ਖਾਤੇ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪਹਿਲਾਂ ਡੋਮੇਨ ਅਤੇ ਵਰਕਗਰੁੱਪ ਦੇ ਅਧੀਨ ਆਪਣਾ ਡੋਮੇਨ ਸ਼ਾਮਲ ਕਰੋ, ਡਿਵਾਈਸ ਸੂਚੀ ਨੂੰ ਭਰਨ ਦਿਓ, ਫਿਰ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਚੁਣੋ।

ਏਜੰਟ ਰਹਿਤ ਮੋਡ ਵਿੱਚ, ਇਵੈਂਟਲੌਗ ਐਨਾਲਾਈਜ਼ਰ ਸਰਵਰ ਉੱਤੇ ਕੁਲੈਕਟਰ WMI ਅਤੇ RPC ਉੱਤੇ ਹਰੇਕ ਵਿੰਡੋਜ਼ ਮਸ਼ੀਨ ਤੱਕ ਪਹੁੰਚ ਕਰਦਾ ਹੈ, ਜੋ ਟਾਰਗੇਟ ਮਸ਼ੀਨਾਂ ਉੱਤੇ ਪੋਰਟ 135, 445 ਅਤੇ 139 ਪਲੱਸ ਡਾਇਨਾਮਿਕ RPC ਪੋਰਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਜੇਕਰ ਕੋਈ ਡਿਵਾਈਸ ਕਨੈਕਟ ਕਰਨ ਤੋਂ ਇਨਕਾਰ ਕਰਦੀ ਹੈ, ਤਾਂ ਇਹ ਲਗਭਗ ਹਮੇਸ਼ਾ ਤਿੰਨ ਚੀਜ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੁੰਦੀ ਹੈ: ਉਸ ਮਸ਼ੀਨ 'ਤੇ ਫਾਇਰਵਾਲ, ਪ੍ਰਮਾਣ ਪੱਤਰ, ਜਾਂ ਵਿੰਡੋਜ਼ ਸੇਵਾਵਾਂ WMI 'ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ। ਉਤਪਾਦ 'ਤੇ ਸ਼ੱਕ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਉਹਨਾਂ ਨੂੰ ਠੀਕ ਕਰੋ।

ਫਾਇਰਵਾਲ ਅਤੇ ਲੀਨਕਸ ਨੂੰ ਸਿਸਲੌਗ ਦੁਆਰਾ ਇਸ 'ਤੇ ਪੁਆਇੰਟ ਕਰੋ

ਨੈੱਟਵਰਕ ਡਿਵਾਈਸਾਂ ਇੱਕ ਏਜੰਟ ਨਹੀਂ ਚਲਾ ਸਕਦੀਆਂ, ਇਸਲਈ ਉਹ ਇਸਦੀ ਬਜਾਏ syslog ਬੋਲਦੇ ਹਨ। ਆਪਣੀ ਫਾਇਰਵਾਲ 'ਤੇ, ਪੋਰਟ 514 'ਤੇ ਇਵੈਂਟਲੌਗ ਐਨਾਲਾਈਜ਼ਰ ਸਰਵਰ ਦੇ IP ਪਤੇ 'ਤੇ ਸਿਸਲੌਗ ਟਿਕਾਣਾ ਸੈੱਟ ਕਰੋ। ਤੁਹਾਡੀ ਫਾਇਰਵਾਲ ਨੈੱਟਵਰਕ ਵਿੱਚ ਦਾਖਲ ਹੋਣ ਅਤੇ ਛੱਡਣ ਵਾਲੀ ਹਰ ਚੀਜ਼ ਦਾ ਇੱਕੋ-ਇੱਕ ਗਵਾਹ ਹੈ — ਘਰ ਤੋਂ VPN ਲੌਗਨ, ਬਲੌਕ ਕੀਤੇ ਕਨੈਕਸ਼ਨ ਦੀ ਕੋਸ਼ਿਸ਼, ਸ਼ੱਕੀ ਮੰਜ਼ਿਲਾਂ ਲਈ ਟ੍ਰੈਫਿਕ — ਅਤੇ ਇਹ ਮਿੰਟਾਂ ਵਿੱਚ ਰਿਪੋਰਟ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦਿੰਦਾ ਹੈ, ਬਿਨਾਂ ਕਿਸੇ ਏਜੰਟ ਦੇ ਅਤੇ ਪ੍ਰਬੰਧਨ ਲਈ ਕੋਈ ਪ੍ਰਮਾਣ ਪੱਤਰ ਨਹੀਂ।

Rsyslog ਚੱਲ ਰਹੇ Linux ਹੋਸਟ ਉੱਤੇ, ਸੰਰਚਨਾ ਵਿੱਚ ਇੱਕ ਲਾਈਨ ਉਹੀ ਕੰਮ ਕਰਦੀ ਹੈ:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

ਤਸਦੀਕ ਕਰੋ ਕਿ ਲਾਗ ਅਸਲ ਵਿੱਚ ਵਹਿ ਰਹੇ ਹਨ

ਇੰਸਟਾਲ ਸਕ੍ਰੀਨ 'ਤੇ ਪੂਰਾ ਨਾ ਕਰੋ; ਸਬੂਤ 'ਤੇ ਖਤਮ. ਤਿੰਨ ਜਾਂਚਾਂ ਚੁਣੋ: ਇੱਕ ਅਸਫਲ ਲੌਗਆਨ ਜੋ ਤੁਸੀਂ ਹੁਣੇ ਇੱਕ ਵਰਕਸਟੇਸ਼ਨ 'ਤੇ ਕੀਤਾ ਹੈ, ਇੱਕ ਜਾਂ ਦੋ ਮਿੰਟਾਂ ਵਿੱਚ ਖੋਜ ਵਿੱਚ ਦਿਖਾਈ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ; ਡੈਸ਼ਬੋਰਡ ਨੂੰ ਅੱਜ ਦੇ ਇਵੈਂਟ ਦੀ ਗਿਣਤੀ ਵਧਦੀ ਦਿਖਾਈ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ; ਅਤੇ ਹਰੇਕ ਜੋੜੇ ਗਏ ਸਰੋਤ ਨੂੰ ਇੱਕ ਤਾਜ਼ਾ ਪਿਛਲੇ ਲੌਗ ਦਾ ਸਮਾਂ ਦਿਖਾਉਣਾ ਚਾਹੀਦਾ ਹੈ - ਨਾ ਕਿ ਸਿਰਫ ਉਸ ਪਲ ਤੋਂ ਜਦੋਂ ਤੁਸੀਂ ਇਸਨੂੰ ਜੋੜਿਆ ਹੈ। ਜੇਕਰ ਕੋਈ ਸਰੋਤ ਚੁੱਪ ਹੈ, ਤਾਂ ਉਸ ਕ੍ਰਮ ਵਿੱਚ, ਇਸਦੀ ਘੜੀ, ਪ੍ਰਮਾਣ ਪੱਤਰ ਜਾਂ ਫਾਇਰਵਾਲ ਨਿਯਮ ਸ਼ੱਕੀ ਹਨ।

ਫਿਰ ਸਹੀ ਕ੍ਰਮ ਵਿੱਚ ਵਧੋ: ਅੱਗੇ ਫਾਈਲ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ, ਕਿਉਂਕਿ ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਡੇਟਾ ਰਹਿੰਦਾ ਹੈ; ਉਸ ਤੋਂ ਬਾਅਦ ਹੋਰ ਸਰਵਰ ਅਤੇ ਨੈੱਟਵਰਕ ਡਿਵਾਈਸਾਂ; ਵਰਕਸਟੇਸ਼ਨ ਅਖੀਰਲੇ - ਉਹ ਇੱਕ ਸਮਝੌਤਾ ਕੀਤੇ PC ਨੂੰ ਲੱਭਣ ਲਈ ਅਸਲ ਵਿੱਚ ਉਪਯੋਗੀ ਹਨ, ਪਰ ਉਹ ਤੁਹਾਡੇ ਮਾਲਕ ਦੇ ਸਭ ਤੋਂ ਵੱਧ ਰੌਲੇ-ਰੱਪੇ ਵਾਲੇ ਸਰੋਤ ਹਨ, ਅਤੇ ਪਹਿਲੇ ਦਿਨ 150 ਪੀਸੀ ਜੋੜਨਾ ਜ਼ਿਆਦਾਤਰ ਡਿਸਕ ਦੀ ਵਰਤੋਂ ਅਤੇ ਚੇਤਾਵਨੀ ਸ਼ੋਰ ਖਰੀਦਦਾ ਹੈ। ਇੱਕ ਸਮੇਂ ਵਿੱਚ ਇੱਕ ਪਰਤ, ਕੁਝ ਦਿਨਾਂ ਦੀ ਦੂਰੀ, ਇਹ ਹੈ ਕਿ ਇੱਕ ਲੌਗ ਪ੍ਰੋਜੈਕਟ ਕਿਵੇਂ ਬਚਦਾ ਹੈ।