Installera ManageEngine EventLog Analyzer

Förbered servern först

EventLog Analyzer är ett verktyg för logghantering och SIEM-stil från ManageEngine. Den samlar in Windows-händelseloggar utan agenter eller via agenter, tar emot syslog från brandväggar, routrar, switchar och Linux-maskiner och förvandlar allt till sökbara poster, rapporter och realtidsvarningar. Var tydlig med vad det inte är: det hanterar inte datorer, distribuerar programvara eller korrigerar någonting. Dess enda jobb är bevis – en central, sökbar historik över vem som gjorde vad i ditt nätverk.

Ge den ett ärligt hem: en Windows Server (eller en solid Windows-maskin) som står på hela dagen, med lagring på en snabb enhet och utrymme att växa. En loggserver är en växande databas, inte ett färdigt program - de indexerade data plus arkiv kommer att fortsätta äta disk så länge som lagring är aktiverad. Tre kontroller innan du kör installationen: maskinens klocka är synkroniserad (loggtidsstämplar utan NTP-synkronisering är fiktion), portarna nedan är gratis och du har ett dedikerat domäntjänstkonto redo för Windows-logginsamling – inte din personliga administratörsinloggning, så ett lösenordsbyte en dag stoppar inte insamlingen tyst.

Portarna som denna server behöver är lediga: 8400 för webbkonsolen du öppnar i en webbläsare, 513 och 514 för syslog-lyssnaren (brandväggar, Linux och nätverksenheter) och 33335 för den medföljande PostgreSQL/MySQL-databasen. Databasporten är intern och bunden till localhost, så den behöver inte öppnas i brandväggen.

Ladda ner och kör installationsprogrammet

Ladda ned EventLog Analyzer endast från ManageEngines officiella webbplats och kör ManageEngine_EventLogAnalyzer_64bit.exe som administratör på den valda servern. Acceptera standardinställningarna om du inte måste ändra webbkonsolporten 8400 – det valet erbjuds under installationen.

Installera det som en Windows-tjänst

När installationen frågar hur produkten ska köras väljer du att installera den som en Windows-tjänst. Avsluta guiden och låt tjänsten starta.

Det här valet är viktigare än det ser ut. Som en vanlig applikation stoppas insamlingen i det ögonblick någon loggar ut eller servern startar om för uppdateringar – och din logghistorik får tysta luckor exakt när incidenter tenderar att inträffa. Som en tjänst börjar den med operativsystemet och samlas dygnet runt, vilket är hela poängen med en loggserver.

Första inloggning — Ändra standardlösenordet

Öppna en webbläsare och gå till konsolen på serverns namn och port 8400, logga sedan in med standardadministratörskontot:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Lägg till dina domänkontrollanter först

Nästan varje undersökning i ett Windows-nätverk är egentligen en identitetsfråga – vilket konto, från vilken maskin, vid vilken tidpunkt – och domänkontrollanter har dessa svar: inloggningsframgångar och misslyckanden, kontolåsningar, gruppändringar och policyändringar landar alla på DC:erna först. Du lägger till Windows-datorer från Inställningar → Konfiguration av loggkälla → Enheter. Lägg först till din domän under Domäner och arbetsgrupper med tjänstkontot, låt enhetslistan fyllas i och välj sedan de domänkontrollanter som ska övervakas.

I agentlöst läge når insamlaren på EventLog Analyzer-servern ut till varje Windows-maskin via WMI och RPC, som använder portarna 135, 445 och 139 plus dynamiska RPC-portar på måldatorerna. Om en enhet vägrar att ansluta är det nästan alltid en av tre saker: brandväggen på den maskinen, användaruppgifterna eller de Windows-tjänster som WMI beror på. Åtgärda dessa innan du misstänker produkten.

Rikta brandväggen och Linux mot den med Syslog

Nätverksenheter kan inte köra en agent, så de talar syslog istället. På din brandvägg ställer du in syslog-destinationen till EventLog Analyzer-serverns IP-adress på port 514. Din brandvägg är det enda vittnet till allt som kommer in i och lämnar nätverket – VPN-inloggningar hemifrån, blockerade anslutningsförsök, trafik till misstänkta destinationer – och den börjar rapportera inom några minuter, utan agent och inga referenser att hantera.

På en Linux-värd som kör rsyslog gör en rad i konfigurationen samma jobb:

Verifiera att loggarna verkligen flödar

Avsluta inte på installationsskärmen; avsluta med bevis. Välj tre kontroller: en misslyckad inloggning som du just orsakade på en arbetsstation bör visas i sökningen inom en minut eller två; instrumentbrädan ska visa dagens händelseräkningar som klättrar; och varje tillagd källa bör visa en ny tid för senast mottagen logg - inte bara en grön bock från det ögonblick du lade till den. Om någon källa är tyst är dess klocka, inloggningsuppgifter eller brandväggsregler misstänkta, i den ordningen.

Väx sedan i rätt ordning: fil- och applikationsservrar härnäst, eftersom det är där data bor; andra servrar och nätverksenheter efter det; arbetsstationer håller — de är verkligen användbara för att upptäcka en komprometterad dator, men de är de mest bullriga källorna du äger, och om du lägger till 150 datorer dag ett köper du mestadels diskanvändning och varningsbrus. Ett lager i taget, med några dagars mellanrum, är hur ett loggprojekt överlever.