Instalați ManageEngine EventLog Analyzer

Pregătiți mai întâi serverul

EventLog Analyzer este un instrument de gestionare a jurnalelor și un instrument în stil SIEM de la ManageEngine. Colectează jurnalele de evenimente Windows fără agent sau prin agenți, primește syslog de la firewall-uri, routere, switch-uri și mașini Linux și le transformă pe toate în înregistrări, rapoarte și alerte în timp real care pot fi căutate. Fiți clar ce nu este: nu gestionează PC-uri, nu implementează software și nu corectează nimic. Singura activitate este dovezile — un istoric central, care poate fi căutat, despre cine a făcut ce în rețeaua dvs.

Oferă-i o casă cinstită: un server Windows (sau o mașină Windows solidă) care rămâne pornit toată ziua, cu spațiu de stocare pe o unitate rapidă și spațiu de creștere. Un server de jurnal este o bază de date în creștere, nu un program terminat - datele indexate plus arhivele vor continua să mănânce disc atâta timp cât reținerea este activată. Trei verificări înainte de a rula configurarea: ceasul mașinii este sincronizat (marcajele de timp ale jurnalelor fără sincronizare NTP sunt fictive), porturile de mai jos sunt gratuite și aveți un cont de serviciu dedicat domeniului pregătit pentru colectarea jurnalelor Windows - nu autentificarea personală de administrator, așa că o schimbare a parolei într-o zi nu oprește colectarea în tăcere.

Porturile de care acest server are nevoie: 8400 pentru consola web pe care o deschideți într-un browser, 513 și 514 pentru ascultătorul syslog (paravane de protecție, Linux și dispozitive de rețea) și 33335 pentru baza de date PostgreSQL/MySQL inclusă. Portul pentru baza de date este intern și legat de localhost, așa că nu trebuie să fie deschis în firewall.

Descărcați și rulați programul de instalare

Descărcați EventLog Analyzer numai de pe site-ul oficial al ManageEngine și rulați ManageEngine_EventLogAnalyzer_64bit.exe ca administrator pe serverul ales. Acceptați valorile implicite, cu excepția cazului în care trebuie să schimbați portul 8400 al consolei web - această opțiune este oferită în timpul instalării.

Instalați-l ca serviciu Windows

Când instalarea vă întreabă cum ar trebui să ruleze produsul, alegeți să îl instalați ca serviciu Windows. Finalizați expertul și lăsați serviciul să înceapă.

Această alegere contează mai mult decât pare. Ca o aplicație simplă, colectarea se oprește în momentul în care cineva se deconectează sau în momentul în care serverul se repornește pentru actualizări - iar istoricul dvs. de jurnal devine goluri silențioase exact atunci când au loc incidente. Ca serviciu, începe cu sistemul de operare și se colectează non-stop, care este întregul punct al unui server de jurnal.

Prima conectare — Schimbați parola implicită

Deschideți un browser și accesați consola pe numele serverului și portul 8400, apoi conectați-vă cu contul de administrator implicit:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Adăugați mai întâi controlerele dvs. de domeniu

Aproape fiecare investigație dintr-o rețea Windows este într-adevăr o întrebare de identitate — ce cont, de la ce mașină, la ce oră — și controlorii de domeniu dețin acele răspunsuri: succesele și eșecurile de conectare, blocarea conturilor, schimbările de grup și schimbările de politică ajung mai întâi pe DC. Adăugarea mașinilor Windows se face din Setări → Configurare sursă jurnal → Dispozitive. Adăugați mai întâi domeniul dvs. sub Domenii și grupuri de lucru folosind contul de serviciu, lăsați lista de dispozitive să se completeze, apoi selectați controlerele de domeniu pe care să le monitorizați.

În modul fără agent, colectorul de pe serverul EventLog Analyzer se adresează fiecărei mașini Windows prin WMI și RPC, care utilizează porturile 135, 445 și 139 plus porturi RPC dinamice pe mașinile țintă. Dacă un dispozitiv refuză să se conecteze, este aproape întotdeauna unul dintre cele trei lucruri: firewall-ul de pe acea mașină, acreditările sau serviciile Windows de care depinde WMI. Remediați-le înainte să suspectați produsul.

Îndreptați firewall-ul și Linux către el prin Syslog

Dispozitivele de rețea nu pot rula un agent, așa că vorbesc în schimb syslog. Pe firewall, setați destinația syslog la adresa IP a serverului EventLog Analyzer pe portul 514. Firewall-ul tău este singurul martor la tot ceea ce intră și iese din rețea — conectări VPN de acasă, încercări de conectare blocate, trafic către destinații suspecte — și începe să raporteze în câteva minute, fără agent și fără acreditări de gestionat.

Pe o gazdă Linux care rulează rsyslog, o linie din configurație face aceeași sarcină:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

Verificați că jurnalele curg cu adevărat

Nu terminați pe ecranul de instalare; termina pe dovezi. Alegeți trei verificări: o conectare eșuată pe care tocmai ați provocat-o pe o stație de lucru ar trebui să apară în căutare în decurs de un minut sau două; tabloul de bord ar trebui să arate numărul evenimentelor de astăzi în urcare; și fiecare sursă adăugată ar trebui să arate un ultim log primit proaspăt - nu doar o bifă verde din momentul în care ați adăugat-o. Dacă vreo sursă tace, ceasul, acreditările sau regulile de firewall sunt suspecții, în această ordine.

Atunci creșteți în ordinea corectă: serverele de fișiere și aplicații în continuare, pentru că acolo locuiesc datele; alte servere și dispozitive de rețea după aceea; stațiile de lucru durează - sunt cu adevărat utile pentru a identifica un computer compromis, dar sunt cele mai zgomotoase surse pe care le dețineți, iar adăugarea a 150 de computere în prima zi atrage în mare parte utilizarea discului și zgomotul de alertă. Un strat la un moment dat, la câteva zile, este modul în care un proiect de jurnal supraviețuiește.