Zainstaluj analizator dziennika zdarzeń ManageEngine

Najpierw przygotuj serwer

EventLog Analyzer to narzędzie do zarządzania logami w stylu SIEM firmy ManageEngine. Gromadzi dzienniki zdarzeń systemu Windows bez użycia agentów lub za pośrednictwem agentów, odbiera syslog z zapór sieciowych, routerów, przełączników i komputerów z systemem Linux i przekształca wszystko w możliwe do przeszukiwania zapisy, raporty i alerty w czasie rzeczywistym. Wyjaśnij, czym to nie jest: nie zarządza komputerami, nie instaluje oprogramowania ani nie łata niczego. Jego jednym zadaniem jest dowód — centralna, możliwa do przeszukiwania historia tego, kto co zrobił w Twojej sieci.

Zafunduj mu uczciwy dom: serwer z systemem Windows (lub solidną maszynę z systemem Windows), który będzie działał przez cały dzień, z miejscem na szybkim dysku i miejscem na rozbudowę. Serwer dzienników to rosnąca baza danych, a nie gotowy program — zaindeksowane dane i archiwa będą zjadać dysk tak długo, jak długo będzie włączone przechowywanie. Trzy kontrole przed uruchomieniem instalacji: zegar komputera jest zsynchronizowany (sygnatury czasowe dziennika bez synchronizacji NTP są fikcją), poniższe porty są wolne i masz dedykowane konto usługi domeny gotowe do gromadzenia dzienników systemu Windows — a nie osobisty login administratora, więc pewnego dnia zmiana hasła nie powoduje cichego zatrzymania gromadzenia danych.

Porty, których potrzebuje ten serwer: 8400 dla konsoli internetowej otwieranej w przeglądarce, 513 i 514 dla odbiornika syslog (zapory sieciowe, Linux i urządzenia sieciowe) oraz 33335 dla dołączonej bazy danych PostgreSQL/MySQL. Ten port bazy danych jest wewnętrzny i powiązany z hostem lokalnym, więc nie trzeba go otwierać w zaporze ogniowej.

Pobierz i uruchom instalator

Pobierz EventLog Analyzer wyłącznie z oficjalnej strony ManageEngine i uruchom plik ManageEngine_EventLogAnalyzer_64bit.exe jako administrator na wybranym serwerze. Zaakceptuj ustawienia domyślne, chyba że musisz zmienić port konsoli internetowej 8400 — wybór ten jest oferowany podczas instalacji.

Zainstaluj jako usługę systemu Windows

Kiedy podczas instalacji pojawi się pytanie, jak produkt powinien działać, wybierz instalację jako usługę systemu Windows. Zakończ pracę kreatora i pozwól na uruchomienie usługi.

Ten wybór ma większe znaczenie, niż się wydaje. W przypadku zwykłej aplikacji zbieranie danych zatrzymuje się w momencie wylogowania się użytkownika lub ponownego uruchomienia serwera w celu uzyskania aktualizacji — a w historii dzienników pojawiają się ciche luki dokładnie wtedy, gdy zdarzają się incydenty. Jako usługa zaczyna się od systemu operacyjnego i zbiera dane przez całą dobę, co stanowi cały cel serwera dzienników.

Pierwsze logowanie — Zmień domyślne hasło

Otwórz przeglądarkę i przejdź do konsoli po nazwie serwera i porcie 8400, a następnie zaloguj się na domyślne konto administratora: