Установите анализатор журнала событий ManageEngine.

Сначала подготовьте сервер

EventLog Analyzer — это инструмент управления журналами и SIEM-стиля от ManageEngine. Он собирает журналы событий Windows без агентов или через агентов, получает системные журналы от брандмауэров, маршрутизаторов, коммутаторов и компьютеров Linux и превращает все это в доступные для поиска записи, отчеты и оповещения в реальном времени. Уточните, чем он не является: он не управляет ПК, не развертывает программное обеспечение и не исправляет что-либо. Его единственная задача — доказательства – централизованная и доступная для поиска история того, кто и что сделал в вашей сети.

Дайте ему честный дом: Windows Server (или надежную машину с Windows), которая работает весь день, с хранилищем на быстром диске и возможностью роста. Сервер журналов — это растущая база данных, а не законченная программа — индексированные данные и архивы будут продолжать занимать диск до тех пор, пока включено сохранение. Три проверки перед запуском установки: часы компьютера синхронизированы (временные метки журнала без синхронизации NTP являются вымыслом), указанные ниже порты свободны, и у вас есть выделенная учетная запись службы домена, готовая для сбора журналов Windows, а не ваш личный логин администратора, поэтому смена пароля в один прекрасный день не приведет к молчаливому прекращению сбора данных.

Порты, необходимые этому серверу, свободны: 8400 для веб-консоли, которую вы открываете в браузере, 513 и 514 для прослушивателя системного журнала (брандмауэры, Linux и сетевые устройства) и 33335 для связанной базы данных PostgreSQL/MySQL. Этот порт базы данных является внутренним и привязан к локальному хосту, поэтому его не нужно открывать в брандмауэре.

Загрузите и запустите установщик

Загрузите EventLog Analyzer только с официального сайта ManageEngine и запустите ManageEventLogAnalyzer_64bit.exe от имени администратора на выбранном сервере. Примите значения по умолчанию, если вам не нужно изменить порт веб-консоли 8400 — этот выбор предлагается во время установки.

Установите его как службу Windows

Когда программа установки спросит, как должен работать продукт, выберите установку его как службы Windows. Завершите работу мастера и позвольте службе запуститься.

Этот выбор важнее, чем кажется. В обычном приложении сбор данных прекращается в тот момент, когда кто-то выходит из системы или сервер перезагружается для получения обновлений, а в вашей истории журналов появляются тихие пробелы именно тогда, когда обычно происходят инциденты. Как служба, она запускается вместе с ОС и собирает информацию круглосуточно, в этом и состоит весь смысл сервера журналов.

Первый вход в систему — изменение пароля по умолчанию

Откройте браузер и перейдите в консоль по имени сервера и порту 8400, затем войдите в систему, используя учетную запись администратора по умолчанию:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.