Instale o analisador ManageEngine EventLog

Prepare o servidor primeiro

EventLog Analyzer é uma ferramenta de gerenciamento de log e estilo SIEM da ManageEngine. Ele coleta logs de eventos do Windows sem agente ou por meio de agentes, recebe syslog de firewalls, roteadores, switches e máquinas Linux e transforma tudo isso em registros pesquisáveis, relatórios e alertas em tempo real. Seja claro sobre o que não é: ele não gerencia PCs, não implanta software nem corrige nada. Sua única função é a evidência: um histórico central e pesquisável de quem fez o quê na sua rede.

Ofereça a ele um ambiente honesto: um Windows Server (ou uma máquina Windows sólida) que permaneça ligado o dia todo, com armazenamento em uma unidade rápida e espaço para crescer. Um servidor de log é um banco de dados em crescimento, não um programa concluído — os dados indexados e os arquivos continuarão consumindo o disco enquanto a retenção estiver ativada. Três verificações antes de executar a configuração: o relógio da máquina está sincronizado (os carimbos de data e hora do log sem sincronização NTP são fictícios), as portas abaixo são gratuitas e você tem uma conta de serviço de domínio dedicada pronta para a coleta de log do Windows - não seu login de administrador pessoal, portanto, uma alteração de senha um dia não interrompe silenciosamente a coleta.

As portas que este servidor precisa são gratuitas: 8400 para o console web que você abre em um navegador, 513 e 514 para o ouvinte syslog (firewalls, Linux e dispositivos de rede) e 33335 para o banco de dados PostgreSQL/MySQL incluído. Essa porta do banco de dados é interna e vinculada ao host local, portanto não precisa ser aberta no firewall.

Baixe e execute o instalador

Baixe o EventLog Analyzer apenas do site oficial da ManageEngine e execute ManageEngine_EventLogAnalyzer_64bit.exe como administrador no servidor escolhido. Aceite os padrões, a menos que você precise alterar a porta 8400 do console web — essa opção é oferecida durante a instalação.

Instale-o como um serviço do Windows

Quando a configuração perguntar como o produto deve ser executado, opte por instalá-lo como um serviço do Windows. Conclua o assistente e deixe o serviço iniciar.

Essa escolha é mais importante do que parece. Como um aplicativo simples, a coleta é interrompida no momento em que alguém faz logoff ou o servidor é reinicializado para atualizações — e seu histórico de log fica com lacunas silenciosas exatamente quando os incidentes tendem a acontecer. Como serviço, ele começa com o sistema operacional e coleta 24 horas por dia, que é o ponto principal de um servidor de log.

Primeiro login — Altere a senha padrão

Abra um navegador e acesse o console no nome do servidor e na porta 8400 e faça login com a conta de administrador padrão:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Aponte o Firewall e o Linux para ele pelo Syslog

Os dispositivos de rede não podem executar um agente, então eles falam syslog. No firewall, defina o destino do syslog como o endereço IP do servidor EventLog Analyzer na porta 514. Seu firewall é a única testemunha de tudo que entra e sai da rede (logins VPN de casa, tentativas de conexão bloqueadas, tráfego para destinos suspeitos) e começa a relatar em minutos, sem agente e sem credenciais para gerenciar.

Em um host Linux executando o rsyslog, uma linha na configuração faz o mesmo trabalho:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.