ManageEngine EventLog Analizörünü yükleyin

Önce Sunucuyu Hazırlayın

EventLog Analizörü, ManageEngine'in sunduğu bir günlük yönetimi ve SIEM tarzı araçtır. Windows olay günlüklerini aracısız olarak veya aracılar aracılığıyla toplar, güvenlik duvarlarından, yönlendiricilerden, anahtarlardan ve Linux makinelerinden sistem günlüğünü alır ve bunların hepsini aranabilir kayıtlara, raporlara ve gerçek zamanlı uyarılara dönüştürür. Ne olmadığı konusunda net olun: PC'leri yönetmez, yazılım dağıtmaz veya herhangi bir şeye yama yapmaz. Bunun tek görevi kanıt oluşturmaktır; yani ağınızda kimin ne yaptığına dair merkezi, aranabilir bir geçmiş.

Ona dürüst bir yuva verin: Hızlı bir sürücüde depolama alanı ve büyüme alanı olan, tüm gün açık kalan bir Windows Sunucusu (veya sağlam bir Windows makinesi). Günlük sunucusu, bitmiş bir program değil, büyüyen bir veritabanıdır; dizine eklenen veriler ve arşivler, saklama açık olduğu sürece diski tüketmeye devam edecektir. Kurulumu çalıştırmadan önce üç kontrol yapın: makinenin saati senkronize edilmiştir (NTP senkronizasyonu olmayan günlük zaman damgaları kurgudur), aşağıdaki bağlantı noktaları ücretsizdir ve Windows günlük toplama için hazır özel bir etki alanı hizmet hesabınız vardır; kişisel yönetici oturum açma bilgileriniz değil, dolayısıyla bir gün şifre değişikliği toplamayı sessizce durdurmaz.

Bu sunucunun ücretsiz olarak ihtiyaç duyduğu bağlantı noktaları: Tarayıcıda açtığınız web konsolu için 8400, sistem günlüğü dinleyicisi için 513 ve 514 (güvenlik duvarları, Linux ve ağ cihazları) ve paket halindeki PostgreSQL/MySQL veritabanı için 33335. Bu veritabanı bağlantı noktası dahilidir ve localhost'a bağlıdır, dolayısıyla güvenlik duvarında açılmasına gerek yoktur.

Yükleyiciyi İndirin ve Çalıştırın

EventLog Analizör'ü yalnızca ManageEngine'in resmi web sitesinden indirin ve seçilen sunucuda ManageEngine_EventLogAnalyzer_64bit.exe'yi yönetici olarak çalıştırın. Web konsolu bağlantı noktası 8400'ü değiştirmeniz gerekmediği sürece varsayılanları kabul edin; bu seçenek yükleme sırasında sunulur.

Bir Windows Hizmeti Olarak Kurun

Kurulum ürünün nasıl çalışması gerektiğini sorduğunda ürünü bir Windows hizmeti olarak yüklemeyi seçin. Sihirbazı tamamlayın ve hizmetin başlamasına izin verin.

Bu seçim göründüğünden daha önemlidir. Basit bir uygulama olarak toplama işlemi, birisi oturumu kapattığı anda veya sunucu güncellemeler için yeniden başlatıldığında durdurulur ve günlük geçmişiniz, tam olarak olaylar meydana geldiğinde sessiz boşluklar oluşturur. Bir hizmet olarak işletim sistemiyle başlar ve günün her saati toplanır; bu da bir günlük sunucusunun asıl amacıdır.

İlk Giriş — Varsayılan Şifreyi Değiştirin

Bir tarayıcı açın ve sunucunun adı ve bağlantı noktası 8400'deki konsola gidin, ardından varsayılan yönetici hesabıyla oturum açın:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Syslog ile Güvenlik Duvarını ve Linux'u Ona Yönlendirin

Ağ cihazları bir aracıyı çalıştıramaz, dolayısıyla bunun yerine sistem günlüğünü konuşurlar. Güvenlik duvarınızda sistem günlüğü hedefini EventLog Analizörü sunucusunun 514 bağlantı noktasındaki IP adresine ayarlayın. Güvenlik duvarınız, ağa giren ve çıkan her şeyin (evden VPN oturum açma işlemleri, engellenen bağlantı girişimleri, şüpheli hedeflere giden trafik) tek tanığıdır ve herhangi bir aracı veya yönetilmesi gereken bir kimlik bilgisi olmadan dakikalar içinde raporlamaya başlar.

rsyslog çalıştıran bir Linux ana bilgisayarında, yapılandırmadaki bir satır aynı işi yapar:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.