ManageEngine EventLog அனலைசரை நிறுவவும்

முதலில் சேவையகத்தைத் தயாரிக்கவும்

EventLog அனலைசர் என்பது ManageEngine இலிருந்து ஒரு பதிவு மேலாண்மை மற்றும் SIEM பாணி கருவியாகும். இது விண்டோஸ் நிகழ்வு பதிவுகளை முகவர் இல்லாமல் அல்லது முகவர்கள் மூலம் சேகரிக்கிறது, ஃபயர்வால்கள், ரூட்டர்கள், சுவிட்சுகள் மற்றும் லினக்ஸ் இயந்திரங்களிலிருந்து syslog ஐப் பெறுகிறது, மேலும் அவை அனைத்தையும் தேடக்கூடிய பதிவுகள், அறிக்கைகள் மற்றும் நிகழ்நேர விழிப்பூட்டல்களாக மாற்றுகிறது. அது எதுவல்ல என்பது குறித்து தெளிவாக இருங்கள்: இது பிசிக்களை நிர்வகிக்காது, மென்பொருளை வரிசைப்படுத்தாது அல்லது எதையும் இணைக்காது. அதன் ஒரு வேலை ஆதாரம் — உங்கள் நெட்வொர்க்கில் யார் என்ன செய்தார்கள் என்பதற்கான மைய, தேடக்கூடிய வரலாறு.

அதற்கு ஒரு நேர்மையான வீட்டைக் கொடுங்கள்: ஒரு Windows Server (அல்லது ஒரு திடமான Windows இயந்திரம்) நாள் முழுவதும் இருக்கும், வேகமான டிரைவில் சேமிப்பகம் மற்றும் வளர அறை. பதிவுச் சேவையகம் வளர்ந்து வரும் தரவுத்தளமாகும், இது முடிக்கப்பட்ட நிரல் அல்ல - அட்டவணைப்படுத்தப்பட்ட தரவு மற்றும் காப்பகங்கள் தக்கவைப்பு இயக்கப்பட்டிருக்கும் வரை வட்டுகளை உண்ணும். அமைவை இயக்குவதற்கு முன் மூன்று சோதனைகள்: இயந்திரத்தின் கடிகாரம் ஒத்திசைக்கப்பட்டுள்ளது (என்டிபி ஒத்திசைவு இல்லாத பதிவு நேர முத்திரைகள் கற்பனையானவை), கீழே உள்ள போர்ட்கள் இலவசம், மேலும் Windows லாக் சேகரிப்புக்கு ஒரு பிரத்யேக டொமைன் சேவை கணக்கு தயாராக உள்ளது — உங்களின் தனிப்பட்ட நிர்வாகி உள்நுழைவு அல்ல, எனவே ஒரு நாள் கடவுச்சொல் மாற்றமானது சேகரிப்பை அமைதியாக நிறுத்தாது.

இந்தச் சேவையகத்திற்கு இலவசமாகத் தேவைப்படும் போர்ட்கள்: உலாவியில் நீங்கள் திறக்கும் வலை கன்சோலுக்கு 8400, syslog கேட்பவருக்கு (ஃபயர்வால்கள், லினக்ஸ் மற்றும் நெட்வொர்க் சாதனங்கள்) 513 மற்றும் 514 மற்றும் தொகுக்கப்பட்ட PostgreSQL/MySQL தரவுத்தளத்திற்கு 33335 அந்த தரவுத்தள போர்ட் உள் மற்றும் லோக்கல் ஹோஸ்டுடன் பிணைக்கப்பட்டுள்ளது, எனவே அதை ஃபயர்வாலில் திறக்க வேண்டிய அவசியமில்லை.

பதிவிறக்கி நிறுவி இயக்கவும்

EventLog அனலைசரை ManageEngine இன் அதிகாரப்பூர்வ இணையதளத்திலிருந்து மட்டும் பதிவிறக்கம் செய்து, தேர்ந்தெடுத்த சர்வரில் நிர்வாகியாக ManageEngine_EventLogAnalyzer_64bit.exe ஐ இயக்கவும். நீங்கள் இணைய கன்சோல் போர்ட் 8400 ஐ மாற்ற வேண்டும் எனில் இயல்புநிலைகளை ஏற்கவும் — அந்த தேர்வு நிறுவலின் போது வழங்கப்படும்.

இதை விண்டோஸ் சேவையாக நிறுவவும்

தயாரிப்பு எவ்வாறு இயங்க வேண்டும் என்று அமைப்பு கேட்கும் போது, அதை Windows சேவையாக நிறுவ தேர்வு செய்யவும். வழிகாட்டியை முடித்துவிட்டு சேவையைத் தொடங்கவும்.

இந்தத் தேர்வு பார்ப்பதை விட முக்கியமானது. ஒரு எளிய பயன்பாடாக, யாரோ ஒருவர் லாக் ஆஃப் செய்யப்பட்ட தருணத்தில் அல்லது புதுப்பிப்புகளுக்காக சேவையகம் மறுதொடக்கம் செய்யும் போது சேகரிப்பு நிறுத்தப்படும் - மேலும் சம்பவங்கள் நிகழும் போது உங்கள் பதிவு வரலாறு அமைதியாக இடைவெளிகளைப் பெறுகிறது. ஒரு சேவையாக இது OS இல் தொடங்கி கடிகாரத்தை சுற்றி சேகரிக்கிறது, இது ஒரு பதிவு சேவையகத்தின் முழு புள்ளியாகும்.

முதல் உள்நுழைவு - இயல்புநிலை கடவுச்சொல்லை மாற்றவும்

உலாவியைத் திறந்து, சேவையகத்தின் பெயர் மற்றும் போர்ட் 8400 இல் உள்ள கன்சோலுக்குச் சென்று, இயல்புநிலை நிர்வாகி கணக்கில் உள்நுழையவும்:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Syslog மூலம் ஃபயர்வால் மற்றும் லினக்ஸை சுட்டி

நெட்வொர்க் சாதனங்கள் ஒரு முகவரை இயக்க முடியாது, எனவே அவை syslog பேசுகின்றன. உங்கள் ஃபயர்வாலில், 514 போர்ட்டில் உள்ள EventLog அனலைசர் சேவையகத்தின் IP முகவரிக்கு syslog இலக்கை அமைக்கவும். நெட்வொர்க்கிற்குள் நுழையும் மற்றும் வெளியேறும் அனைத்திற்கும் உங்கள் ஃபயர்வால் மட்டுமே சாட்சியாகும் — வீட்டிலிருந்து VPN உள்நுழைவுகள், தடுக்கப்பட்ட இணைப்பு முயற்சிகள், சந்தேகத்திற்கிடமான இடங்களுக்கான ட்ராஃபிக் — மேலும் இது சில நிமிடங்களில் புகாரளிக்கத் தொடங்குகிறது, எந்த முகவர் மற்றும் எந்த நற்சான்றிதழ்களும் இல்லை.

rsyslog இயங்கும் லினக்ஸ் ஹோஸ்டில், உள்ளமைவில் உள்ள ஒரு வரி அதே வேலையைச் செய்கிறது:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

பதிவுகள் உண்மையில் பாய்கின்றனவா என்பதைச் சரிபார்க்கவும்

நிறுவல் திரையில் முடிக்க வேண்டாம்; ஆதாரத்துடன் முடிக்கவும். மூன்று காசோலைகளைத் தேர்ந்தெடுக்கவும்: ஒரு பணிநிலையத்தில் நீங்கள் தோற்றுவிக்கப்பட்ட உள்நுழைவு ஒன்று அல்லது இரண்டு நிமிடங்களில் தேடலில் தோன்றும்; டேஷ்போர்டில் இன்றைய நிகழ்வுகளின் எண்ணிக்கை ஏறுவதைக் காட்ட வேண்டும்; மேலும் ஒவ்வொரு சேர்க்கப்பட்ட மூலமும் ஒரு புதிய கடைசிப் பதிவைப் பெற்ற நேரத்தைக் காட்ட வேண்டும் - நீங்கள் சேர்த்த தருணத்திலிருந்து பச்சை நிற டிக் மட்டும் அல்ல. எந்த ஆதாரமும் அமைதியாக இருந்தால், அதன் கடிகாரம், நற்சான்றிதழ்கள் அல்லது ஃபயர்வால் விதிகள் அந்த வரிசையில் சந்தேகத்திற்குரியவை.

பின்னர் சரியான வரிசையில் வளருங்கள்: கோப்பு மற்றும் பயன்பாட்டு சேவையகங்கள் அடுத்தது, ஏனெனில் அங்குதான் தரவு வாழ்கிறது; பிற சேவையகங்கள் மற்றும் பிணைய சாதனங்கள் அதற்குப் பிறகு; பணிநிலையங்கள் கடைசியாக இருக்கும் — சமரசம் செய்யப்பட்ட கணினியைக் கண்டறிவதற்கு அவை உண்மையிலேயே பயனுள்ளதாக இருக்கும், ஆனால் அவை உங்களுக்குச் சொந்தமான சத்தமில்லாத ஆதாரங்களாகும், மேலும் முதல் நாளில் 150 பிசிகளைச் சேர்ப்பது பெரும்பாலும் வட்டு உபயோகத்தையும் எச்சரிக்கை சத்தத்தையும் வாங்குகிறது. ஒரு நேரத்தில் ஒரு அடுக்கு, சில நாட்கள் இடைவெளியில், ஒரு பதிவுத் திட்டம் எவ்வாறு உயிர்வாழ்கிறது.