ManageEngine EventLog تجزیہ کار انسٹال کریں۔

سرور کو پہلے تیار کریں

ایونٹ لاگ اینالائزر مینیج انجن سے لاگ مینجمنٹ اور SIEM طرز کا ٹول ہے۔ یہ ونڈوز ایونٹ لاگز کو ایجنٹ کے بغیر یا ایجنٹوں کے ذریعے جمع کرتا ہے، فائر والز، راؤٹرز، سوئچز اور لینکس مشینوں سے syslog وصول کرتا ہے، اور ان سب کو تلاش کے قابل ریکارڈ، رپورٹس اور ریئل ٹائم الرٹس میں بدل دیتا ہے۔ اس کے بارے میں واضح رہیں کہ یہ کیا نہیں ہے: یہ پی سی کا انتظام نہیں کرتا، سافٹ ویئر تعینات نہیں کرتا یا کچھ بھی پیچ نہیں کرتا ہے۔ اس کا ایک کام ثبوت ہے — ایک مرکزی، قابل تلاش تاریخ ہے کہ آپ کے نیٹ ورک پر کس نے کیا کیا۔

اسے ایک ایماندار گھر دیں: ایک ونڈوز سرور (یا ایک ٹھوس ونڈوز مشین) جو سارا دن رہتا ہے، تیز رفتار ڈرائیو پر اسٹوریج اور بڑھنے کے لیے کمرے کے ساتھ۔ لاگ سرور ایک بڑھتا ہوا ڈیٹا بیس ہے، ایک تیار شدہ پروگرام نہیں - انڈیکسڈ ڈیٹا پلس آرکائیوز اس وقت تک ڈسک کھاتے رہیں گے جب تک کہ اسے برقرار رکھا جائے گا۔ سیٹ اپ چلانے سے پہلے تین چیکس: مشین کی گھڑی مطابقت پذیر ہے (این ٹی پی مطابقت پذیری کے بغیر لاگ ٹائم اسٹیمپ افسانے ہیں)، نیچے دی گئی پورٹس مفت ہیں، اور آپ کے پاس ونڈوز لاگ کلیکشن کے لیے ایک وقف شدہ ڈومین سروس اکاؤنٹ تیار ہے — آپ کا ذاتی ایڈمن لاگ ان نہیں، اس لیے ایک دن پاس ورڈ کی تبدیلی خاموشی سے جمع کرنا بند نہیں کرتی۔

اس سرور کو جن بندرگاہوں کی مفت ضرورت ہے: 8400 اس ویب کنسول کے لیے جسے آپ براؤزر میں کھولتے ہیں، 513 اور 514 syslog سننے والے (فائر والز، لینکس اور نیٹ ورک ڈیوائسز) کے لیے، اور 33335 بنڈل PostgreSQL/MySQLba ڈیٹا کے لیے۔ وہ ڈیٹا بیس پورٹ اندرونی ہے اور لوکل ہوسٹ سے منسلک ہے، اس لیے اسے فائر وال میں کھولنے کی ضرورت نہیں ہے۔

انسٹالر کو ڈاؤن لوڈ اور چلائیں

صرف ManageEngine کی آفیشل ویب سائٹ سے EventLog Analyzer ڈاؤن لوڈ کریں، اور ManageEngine_EventLogAnalyzer_64bit.exe کو بطور ایڈمنسٹریٹر منتخب سرور پر چلائیں۔ پہلے سے طے شدہ کو قبول کریں جب تک کہ آپ کو ویب کنسول پورٹ 8400 کو تبدیل نہیں کرنا ہوگا — یہ انتخاب انسٹالیشن کے دوران پیش کیا جاتا ہے۔

اسے ونڈوز سروس کے طور پر انسٹال کریں

جب سیٹ اپ پوچھتا ہے کہ پروڈکٹ کو کیسے چلنا چاہیے، تو اسے ونڈوز سروس کے طور پر انسٹال کرنے کا انتخاب کریں۔ وزرڈ کو ختم کریں اور سروس شروع ہونے دیں۔

یہ انتخاب نظر آنے سے زیادہ اہمیت رکھتا ہے۔ ایک سادہ ایپلیکیشن کے طور پر، کلیکشن اس لمحے رک جاتا ہے جب کوئی لاگ آف ہوتا ہے یا اپ ڈیٹس کے لیے سرور ریبوٹ ہوتا ہے — اور آپ کی لاگ ہسٹری بالکل اس وقت خاموش ہو جاتی ہے جب واقعات رونما ہوتے ہیں۔ سروس کے طور پر یہ OS کے ساتھ شروع ہوتی ہے اور چوبیس گھنٹے جمع ہوتی ہے، جو کہ لاگ سرور کا پورا نقطہ ہے۔

پہلا لاگ ان — ڈیفالٹ پاس ورڈ تبدیل کریں

ایک براؤزر کھولیں اور سرور کے نام اور پورٹ 8400 پر کنسول پر جائیں، پھر ڈیفالٹ ایڈمنسٹریٹر اکاؤنٹ کے ساتھ سائن ان کریں:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.

پہلے اپنے ڈومین کنٹرولرز کو شامل کریں

Windows نیٹ ورک میں تقریباً ہر تفتیش واقعی ایک شناختی سوال ہے — کون سا اکاؤنٹ، کس مشین سے، کس وقت — اور ڈومین کنٹرولرز ان جوابات کو اپنے پاس رکھتے ہیں: لاگ ان کی کامیابیاں اور ناکامیاں، اکاؤنٹ لاک آؤٹ، گروپ کی تبدیلیاں اور پالیسی کی تبدیلیاں سب سے پہلے DCs پر آتی ہیں۔ ونڈوز مشینوں کو شامل کرنا ترتیبات → لاگ سورس کنفیگریشن → ڈیوائسز سے کیا جاتا ہے۔ سروس اکاؤنٹ کا استعمال کرتے ہوئے پہلے ڈومینز اور ورک گروپس کے تحت اپنا ڈومین شامل کریں، ڈیوائس کی فہرست کو بھرنے دیں، پھر نگرانی کے لیے ڈومین کنٹرولرز کو منتخب کریں۔

ایجنٹ لیس موڈ میں، ایونٹ لاگ اینالائزر سرور پر کلکٹر WMI اور RPC پر ہر ونڈوز مشین تک پہنچتا ہے، جو ٹارگٹ مشینوں پر پورٹ 135، 445 اور 139 پلس ڈائنامک RPC پورٹس استعمال کرتی ہے۔ اگر کوئی آلہ جڑنے سے انکار کرتا ہے، تو یہ تقریباً ہمیشہ تین چیزوں میں سے ایک ہوتا ہے: اس مشین پر فائر وال، اسناد، یا ونڈوز سروسز WMI پر منحصر ہے۔ اس سے پہلے کہ آپ کو پروڈکٹ پر شک ہو ان کو ٹھیک کریں۔

Syslog کے ذریعہ فائر وال اور لینکس کو اس کی طرف اشارہ کریں

نیٹ ورک ڈیوائسز ایجنٹ نہیں چلا سکتے، اس لیے وہ اس کے بجائے syslog بولتے ہیں۔ اپنے فائر وال پر، پورٹ 514 پر واقع ایونٹ لاگ اینالائزر سرور کے آئی پی ایڈریس پر syslog کی منزل سیٹ کریں۔ آپ کا فائر وال نیٹ ورک میں داخل ہونے اور چھوڑنے والی ہر چیز کا واحد گواہ ہے — گھر سے VPN لاگ ان، کنکشن کی کوششیں، مشکوک مقامات پر ٹریفک — اور یہ منٹوں میں رپورٹ کرنا شروع کر دیتا ہے، جس کا انتظام کرنے کے لیے کوئی ایجنٹ اور کوئی سند نہیں ہے۔

Rsyslog چلانے والے لینکس ہوسٹ پر، کنفیگریشن میں ایک لائن وہی کام کرتی ہے:

*.* @192.0.2.10:514

Replace the address with your EventLog Analyzer server's real IP, restart the rsyslog service, and generate one test event — a failed SSH login is perfect. Within moments the device appears in the console and the event becomes searchable. The moment a firewall's logs land in the same console as your domain controllers' logs, the tool starts paying for itself: one search can follow a user from the VPN door to the file server.

توثیق کریں کہ لاگز واقعی بہہ رہے ہیں

انسٹال اسکرین پر ختم نہ کریں؛ ثبوت پر ختم. تین چیک چنیں: ایک ناکام لاگ ان جو آپ نے ابھی ایک ورک سٹیشن پر کیا ہے وہ ایک یا دو منٹ کے اندر تلاش میں ظاہر ہونا چاہئے؛ ڈیش بورڈ کو آج کے ایونٹ کی تعداد بڑھتے ہوئے دکھانی چاہیے۔ اور ہر شامل کردہ ماخذ کو ایک تازہ آخری لاگ موصول ہونے کا وقت دکھانا چاہیے — نہ صرف اس وقت سے جب آپ نے اسے شامل کیا ہے۔ اگر کوئی ذریعہ خاموش ہے، تو اس ترتیب میں اس کی گھڑی، اسناد یا فائر وال کے اصول مشتبہ ہیں۔

پھر صحیح ترتیب میں بڑھیں: اگلا فائل اور ایپلیکیشن سرورز، کیونکہ یہ وہ جگہ ہے جہاں ڈیٹا رہتا ہے۔ اس کے بعد دوسرے سرورز اور نیٹ ورک ڈیوائسز؛ ورک سٹیشنز آخری - یہ ایک سمجھوتہ شدہ پی سی کو دیکھنے کے لیے حقیقی طور پر کارآمد ہیں، لیکن یہ آپ کی ملکیت میں سب سے زیادہ شور مچانے والے ذرائع ہیں، اور پہلے دن 150 پی سی کا اضافہ زیادہ تر ڈسک کے استعمال اور الرٹ شور کو خریدتا ہے۔ ایک وقت میں ایک پرت، چند دنوں کے علاوہ، یہ ہے کہ لاگ پروجیکٹ کیسے زندہ رہتا ہے۔