Встановіть ManageEngine EventLog Analyzer

Спочатку підготуйте сервер

EventLog Analyzer – це інструмент керування журналами та SIEM-стилю від ManageEngine. Він збирає журнали подій Windows без агентів або через агентів, отримує syslog від брандмауерів, маршрутизаторів, комутаторів і машин Linux і перетворює все це на записи, звіти та сповіщення в реальному часі з можливістю пошуку. Чітко поясніть, чим він не є: він не керує ПК, не розгортає програмне забезпечення та не виправляє нічого. Його єдине завдання — це докази — центральна історія з можливістю пошуку того, хто що робив у вашій мережі.

Подаруйте йому чесний дім: сервер Windows (або надійну машину Windows), який працює цілий день, зі сховищем на швидкому диску та простором для зростання. Сервер журналу — це база даних, що зростає, а не готова програма — проіндексовані дані та архіви продовжуватимуть з’їдати диск доти, доки ввімкнено збереження. Тричі перевірте, перш ніж запустити налаштування: годинник машини синхронізовано (мітки часу журналу без синхронізації NTP є вигадкою), порти, наведені нижче, вільні, і у вас є спеціальний обліковий запис служби домену, готовий для збору журналів Windows — а не ваше особисте ім’я для входу адміністратора, тому зміна пароля одного дня не зупиняє збирання.

Порти, необхідні для цього сервера: 8400 для веб-консолі, яку ви відкриваєте у браузері, 513 і 514 для прослуховувача системного журналу (брандмауери, Linux і мережеві пристрої) і 33335 для пакетної бази даних PostgreSQL/MySQL. Цей порт бази даних є внутрішнім і прив’язаний до локального хосту, тому його не потрібно відкривати в брандмауері.

Завантажте та запустіть інсталятор

Завантажте EventLog Analyzer лише з офіційного веб-сайту ManageEngine та запустіть ManageEngine_EventLogAnalyzer_64bit.exe як адміністратор на вибраному сервері. Прийміть значення за замовчуванням, якщо вам не потрібно змінити порт 8400 веб-консолі — цей вибір пропонується під час встановлення.

Установіть його як службу Windows

Коли інсталятор запитає, як має працювати продукт, установіть його як службу Windows. Завершіть роботу майстра та запустіть службу.

Цей вибір важливіший, ніж здається. Як звичайна програма, збір припиняється, коли хтось виходить із системи або сервер перезавантажується для оновлень — і ваша історія журналу отримує тихі прогалини саме тоді, коли трапляються інциденти. Як служба, вона починається з ОС і збирає дані цілодобово, що є суть сервера журналів.

Перший вхід — зміна пароля за умовчанням

Відкрийте браузер і перейдіть до консолі за назвою сервера та портом 8400, а потім увійдіть за допомогою облікового запису адміністратора за умовчанням:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

Спочатку додайте свої контролери домену

Майже кожне розслідування в мережі Windows — це справді питання ідентифікації — який обліковий запис, з якого комп’ютера, у який час — і контролери домену зберігають ці відповіді: успішні та невдалі входи в систему, блокування облікових записів, зміни груп і зміни політики — все це спочатку потрапляє на DC. Комп’ютери Windows додаються за допомогою Параметри → Конфігурація джерела журналу → Пристрої. Спершу додайте свій домен у Домени та робочі групи за допомогою облікового запису служби, заповніть список пристроїв, а потім виберіть контролери домену для моніторингу.

У безагентному режимі збирач на сервері EventLog Analyzer звертається до кожної машини Windows через WMI та RPC, що використовує порти 135, 445 і 139, а також динамічні порти RPC на цільових машинах. Якщо пристрій відмовляється підключитися, це майже завжди є однією з трьох причин: брандмауер на цій машині, облікові дані або служби Windows, від яких залежить WMI. Виправте їх, перш ніж запідозрити продукт.

Направте брандмауер і Linux на нього через Syslog

Мережеві пристрої не можуть запустити агента, тому замість цього вони вимовляють syslog. На брандмауері встановіть призначенням системного журналу IP-адресу сервера EventLog Analyzer на порт 514. Ваш брандмауер є єдиним свідком усього, що входить у мережу та виходить із неї — входи у мережу VPN з дому, заблоковані спроби з’єднання, трафік до підозрілих місць призначення — і він починає звітувати протягом кількох хвилин, не маючи агента та облікових даних, якими потрібно керувати.

На хості Linux, на якому запущено rsyslog, один рядок у конфігурації виконує ту саму роботу:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

Перевірте, чи журнали дійсно надходять

Не завершуйте на екрані встановлення; закінчити на доказах. Виберіть три перевірки: невдалий вхід, який ви щойно спричинили на робочій станції, має з’явитися в пошуку протягом хвилини або двох; інформаційна панель має показувати зростання кількості подій сьогодні; і кожне додане джерело має показувати свіжий час останнього отриманого журналу — а не лише зелену галочку з моменту, коли ви його додали. Якщо будь-яке джерело мовчить, його годинник, облікові дані або правила брандмауера є підозрюваними в такому порядку.

Тоді розширюйте в правильному порядку: файлові сервери та сервери програм далі, тому що саме там зберігаються дані; інші сервери та мережеві пристрої після цього; робочі станції останні — вони справді корисні для виявлення скомпрометованого ПК, але вони є найгучнішими джерелами, які у вас є, і додавання 150 ПК у перший день здебільшого збільшує використання диска та шум попередження. Один шар за раз, з інтервалом у кілька днів, ось як проект журналу виживає.