ติดตั้งตัววิเคราะห์ ManageEngine EventLog
เซิร์ฟเวอร์ Windows ไฟร์วอลล์ และสวิตช์ทุกเครื่องในสำนักงานของคุณกำลังเขียนบันทึกการเข้าสู่ระบบ ความล้มเหลว และการเปลี่ยนแปลง EventLog Analyzer รวบรวมไดอารีเหล่านั้นไว้ในคอนโซลเดียวที่ค้นหาได้ คู่มือนี้จะติดตั้งบน Windows ด้วยวิธีที่ถูกต้อง — ในฐานะบริการ — จะเพิ่มตัวควบคุมโดเมนและไฟร์วอลล์ตัวแรกของคุณเป็นแหล่งบันทึก และพิสูจน์ว่าบันทึกมีการไหลลื่นจริงๆ ก่อนที่คุณจะเรียกมันว่าเสร็จสิ้น
📑บท
- สิ่งที่ EventLog Analyzer รวบรวม — และสิ่งใดที่มันไม่ได้ทำจริงๆ
- เตรียมเซิร์ฟเวอร์: พอร์ตว่าง ห้องดิสก์ นาฬิกาที่ซิงค์ และบัญชีบริการ
- ดาวน์โหลดและเรียกใช้โปรแกรมติดตั้งในฐานะผู้ดูแลระบบ
- ติดตั้งเป็นบริการ Windows เพื่อให้คอลเลกชันไม่เคยหลับ
- เข้าสู่ระบบครั้งแรกที่พอร์ต 8400 — เปลี่ยนรหัสผ่านเริ่มต้นก่อนสิ่งอื่นใด
- เพิ่มตัวควบคุมโดเมนของคุณก่อน
- ชี้ไฟร์วอลล์และเครื่อง Linux ไปที่เครื่องโดยใช้ syslog บนพอร์ต 514
- ตรวจสอบว่าบันทึกไหลลื่นจริงๆ — และทดลองใช้งานจริงและจำกัดรุ่นฟรี
📋 ภาพรวมและคำแนะนำทีละขั้นตอน
เตรียมเซิร์ฟเวอร์ก่อน
EventLog Analyzer คือการจัดการบันทึกและเครื่องมือสไตล์ SIEM จาก ManageEngine โดยจะรวบรวมบันทึกเหตุการณ์ของ Windows โดยไม่ต้องใช้เอเจนต์หรือผ่านตัวแทน รับบันทึกระบบจากไฟร์วอลล์ เราเตอร์ สวิตช์ และเครื่อง Linux และเปลี่ยนทั้งหมดให้เป็นบันทึกที่ค้นหาได้ รายงาน และการแจ้งเตือนแบบเรียลไทม์ มีความชัดเจนเกี่ยวกับสิ่งที่ไม่ใช่: มันไม่ได้จัดการพีซี ปรับใช้ซอฟต์แวร์ หรือแพตช์ใดๆ หน้าที่หนึ่งของมันคือหลักฐาน ซึ่งเป็นประวัติศูนย์กลางที่สามารถค้นหาได้ว่าใครทำอะไรบนเครือข่ายของคุณ
มอบบ้านที่ซื่อสัตย์: Windows Server (หรือเครื่อง Windows ที่แข็งแกร่ง) ที่ใช้งานได้ตลอดทั้งวัน พร้อมพื้นที่จัดเก็บข้อมูลบนไดรฟ์ที่รวดเร็วและมีพื้นที่ให้เติบโต เซิร์ฟเวอร์บันทึกเป็นฐานข้อมูลที่กำลังเติบโต ไม่ใช่โปรแกรมที่เสร็จสมบูรณ์ ข้อมูลที่ได้รับการจัดทำดัชนีและไฟล์เก็บถาวรจะกินดิสก์ต่อไปตราบเท่าที่เปิดการเก็บรักษาไว้ การตรวจสอบสามครั้งก่อนที่คุณจะรันการตั้งค่า: นาฬิกาของเครื่องได้รับการซิงค์ (การประทับเวลาของบันทึกที่ไม่มีการซิงค์ NTP นั้นเป็นเพียงนิยาย) พอร์ตด้านล่างนี้ไม่มีค่าใช้จ่าย และคุณมีบัญชีบริการโดเมนเฉพาะที่พร้อมสำหรับการรวบรวมบันทึกของ Windows — ไม่ใช่การเข้าสู่ระบบของผู้ดูแลระบบส่วนบุคคลของคุณ ดังนั้นการเปลี่ยนรหัสผ่านในหนึ่งวันจะไม่หยุดการรวบรวมอย่างเงียบๆ
พอร์ตที่เซิร์ฟเวอร์นี้ต้องการฟรี: 8400 สำหรับเว็บคอนโซลที่คุณเปิดในเบราว์เซอร์, 513 และ 514 สำหรับ syslog Listener (ไฟร์วอลล์, Linux และอุปกรณ์เครือข่าย) และ 33335 สำหรับฐานข้อมูล PostgreSQL/MySQL แบบรวม พอร์ตฐานข้อมูลนั้นเป็นพอร์ตภายในและเชื่อมโยงกับ localhost ดังนั้นจึงไม่จำเป็นต้องเปิดในไฟร์วอลล์
ดาวน์โหลดและเรียกใช้โปรแกรมติดตั้ง
ดาวน์โหลด EventLog Analyzer จากเว็บไซต์ทางการของ ManageEngine เท่านั้น และเรียกใช้ ManageEngine_EventLogAnalyzer_64bit.exe ในฐานะผู้ดูแลระบบบนเซิร์ฟเวอร์ที่เลือก ยอมรับค่าเริ่มต้น เว้นแต่คุณจะต้องเปลี่ยนพอร์ตคอนโซลของเว็บ 8400 — มีตัวเลือกดังกล่าวให้ระหว่างการติดตั้ง
ติดตั้งเป็นบริการ Windows
เมื่อการตั้งค่าถามว่าผลิตภัณฑ์ควรทำงานอย่างไร ให้เลือกติดตั้งเป็นบริการ Windows เสร็จสิ้นวิซาร์ดและให้บริการเริ่มต้น
ตัวเลือกนี้มีความสำคัญมากกว่ารูปลักษณ์ภายนอก เนื่องจากเป็นแอปพลิเคชันธรรมดา คอลเลกชันจะหยุดทันทีที่มีคนออกจากระบบหรือเซิร์ฟเวอร์รีบูตเพื่อรับการอัปเดต และประวัติบันทึกของคุณจะมีช่องว่างโดยไม่มีเหตุการณ์เกิดขึ้นอย่างแน่นอน เนื่องจากบริการจะเริ่มต้นด้วยระบบปฏิบัติการและรวบรวมตลอดเวลา ซึ่งเป็นจุดรวมของเซิร์ฟเวอร์บันทึก
เข้าสู่ระบบครั้งแรก — เปลี่ยนรหัสผ่านเริ่มต้น
เปิดเบราว์เซอร์และไปที่คอนโซลที่ชื่อเซิร์ฟเวอร์และพอร์ต 8400 จากนั้นลงชื่อเข้าใช้ด้วยบัญชีผู้ดูแลระบบเริ่มต้น:
__รหัสบล็อกเต็ม0__เพิ่มตัวควบคุมโดเมนของคุณก่อน
การตรวจสอบเกือบทั้งหมดในเครือข่าย Windows นั้นเป็นคำถามเกี่ยวกับตัวตนจริงๆ — บัญชีใด จากเครื่องไหน เวลาใด — และตัวควบคุมโดเมนเก็บคำตอบเหล่านั้นไว้: ความสำเร็จและความล้มเหลวในการเข้าสู่ระบบ การล็อกเอาต์ของบัญชี การเปลี่ยนแปลงกลุ่ม และการเปลี่ยนแปลงนโยบาย ทั้งหมดจะเข้าสู่ DC ก่อน การเพิ่มเครื่อง Windows ทำได้จาก การตั้งค่า → การกำหนดค่าแหล่งที่มาของบันทึก → อุปกรณ์ เพิ่มโดเมนของคุณก่อนใน โดเมนและกลุ่มงาน โดยใช้บัญชีบริการ ปล่อยให้รายการอุปกรณ์ปรากฏขึ้น จากนั้นเลือกตัวควบคุมโดเมนที่จะตรวจสอบ
ในโหมดไร้ตัวแทน ตัวรวบรวมบนเซิร์ฟเวอร์ EventLog Analyzer จะเข้าถึงเครื่อง Windows แต่ละเครื่องผ่าน WMI และ RPC ซึ่งใช้พอร์ต 135, 445 และ 139 บวกกับพอร์ต RPC แบบไดนามิกบนเครื่องเป้าหมาย หากอุปกรณ์ปฏิเสธที่จะเชื่อมต่อ มักจะเป็นหนึ่งในสามสิ่งต่อไปนี้: ไฟร์วอลล์บนเครื่องนั้น ข้อมูลประจำตัว หรือบริการ Windows ที่ WMI ขึ้นอยู่กับ แก้ไขก่อนที่คุณจะสงสัยเกี่ยวกับผลิตภัณฑ์
ชี้ไฟร์วอลล์และ Linux ไปที่ It โดย Syslog
อุปกรณ์เครือข่ายไม่สามารถเรียกใช้ตัวแทนได้ ดังนั้นจึงพูด syslog แทน บนไฟร์วอลล์ของคุณ ให้ตั้งค่าปลายทาง syslog เป็นที่อยู่ IP ของเซิร์ฟเวอร์ EventLog Analyzer บนพอร์ต 514 ไฟร์วอลล์ของคุณเป็นพยานเพียงผู้เดียวในทุกสิ่งที่เข้าและออกจากเครือข่าย — การเข้าสู่ระบบ VPN จากที่บ้าน ความพยายามในการเชื่อมต่อที่ถูกบล็อก การรับส่งข้อมูลไปยังปลายทางที่น่าสงสัย — และเริ่มรายงานภายในไม่กี่นาที โดยไม่ต้องใช้ตัวแทนและไม่มีข้อมูลรับรองที่จะจัดการ
บนโฮสต์ Linux ที่ใช้ rsyslog บรรทัดหนึ่งในการกำหนดค่าจะทำงานเหมือนกัน:
__รหัสบล็อกเต็ม1__ตรวจสอบว่าบันทึกมีการไหลจริง
อย่าเสร็จสิ้นในหน้าจอการติดตั้ง จบด้วยหลักฐาน เลือกการตรวจสอบสามประการ: การเข้าสู่ระบบที่ล้มเหลวที่คุณเพิ่งเกิดขึ้นบนเวิร์กสเตชันควรปรากฏในการค้นหาภายในหนึ่งหรือสองนาที แดชบอร์ดควรแสดงจำนวนเหตุการณ์วันนี้ที่กำลังเพิ่มขึ้น และทุกแหล่งที่มาที่เพิ่มควรแสดงเวลาบันทึกล่าสุดที่ได้รับ — ไม่ใช่แค่ขีดสีเขียวนับจากช่วงเวลาที่คุณเพิ่ม หากแหล่งที่มาใดๆ เงียบไป นาฬิกา ข้อมูลประจำตัว หรือกฎไฟร์วอลล์ของแหล่งนั้นคือผู้ต้องสงสัยตามลำดับนั้น
จากนั้นจึงเติบโตในลำดับที่ถูกต้อง: ไฟล์และเซิร์ฟเวอร์แอปพลิเคชันถัดไป เพราะนั่นคือที่ที่ข้อมูลอยู่ เซิร์ฟเวอร์และอุปกรณ์เครือข่ายอื่นๆ หลังจากนั้น เวิร์กสเตชันใช้งานได้ยาวนาน — มีประโยชน์อย่างแท้จริงในการตรวจจับพีซีที่ถูกบุกรุก แต่เป็นแหล่งที่มีเสียงดังที่สุดที่คุณเป็นเจ้าของ และการเพิ่มพีซี 150 เครื่องในวันแรกส่วนใหญ่จะซื้อการใช้ดิสก์และเสียงแจ้งเตือน ทีละเลเยอร์ ห่างกันเพียงไม่กี่วัน ก็คือว่าโปรเจ็กต์บันทึกจะอยู่รอดได้อย่างไร
🏷️Topic Search Variables & Keywords
🎙️ บทถอดเสียงฉบับเต็ม — แตะเพื่อขยาย
คำแนะนำและวิธีแก้ไขปัญหาทีละขั้นตอน - การตั้งค่า การสาธิตบนหน้าจอโดย Technical Anshu....
ติดตั้ง ManageEngine EventLog Analyzer ทีละขั้นตอนบน Windows เพิ่มตัวควบคุมโดเมนและไฟร์วอลล์ตัวแรกของคุณเป็นแหล่งบันทึก และตรวจสอบว่าบันทึกไหลลื่นจริงๆ พอร์ต 8400 และ 514 อธิบายข้อจำกัดในการติดตั้งบริการ ทดลองใช้ และรุ่นฟรีอย่างตรงไปตรงมา
(การถอดเสียงสิ้นสุดที่นี่ในหน้าแหล่งที่มา)
❓ คำถามที่พบบ่อย (ภาษาอังกฤษ)
บทช่วยสอนนี้ติดตามฟรี 100% หรือไม่
ใช่แล้ว! คำแนะนำและวิธีการทั้งหมดที่แสดงโดย Technical Anshu นั้นใช้ทรัพยากรทางการศึกษาที่ถูกกฎหมายและฟรี
ผู้เริ่มต้นสามารถปฏิบัติตามคำแนะนำนี้ได้หรือไม่
แน่นอน! ทุกขั้นตอนจะแสดงบนหน้าจอพร้อมคำแนะนำโดยละเอียด เพื่อให้ทุกคนปฏิบัติตามได้อย่างง่ายดาย
ฉันจะถามคำถามได้ที่ไหนหากติดขัด
แสดงความคิดเห็นโดยตรงบนวิดีโอ YouTube แล้วชุมชนและ Anshu ด้านเทคนิคของเราจะช่วยคุณ
🚀 ดูการฝึกสอนแบบเต็มบน YouTube
🚀 ชมวิดีโอบทแนะนำทีละขั้นตอนแบบเต็มบน YouTube: https://www.youtube.com/watch?v=Mlk-iMoC8DQ
สมัครรับข้อมูลทางเทคนิค Anshu เพื่อรับการสนับสนุนด้านไอที การแก้ไขปัญหา Windows และการจัดการเซิร์ฟเวอร์
▶️ ดูวิดีโอเต็ม