Cài đặt Trình phân tích nhật ký sự kiện của ManagedEngine

Chuẩn bị máy chủ trước

Trình phân tích nhật ký sự kiện là một công cụ quản lý nhật ký và kiểu SIEM của ManagedEngine. Nó thu thập nhật ký sự kiện Windows một cách dễ dàng hoặc thông qua các tác nhân, nhận nhật ký hệ thống từ tường lửa, bộ định tuyến, bộ chuyển mạch và máy Linux, đồng thời biến tất cả nhật ký đó thành các bản ghi, báo cáo và cảnh báo thời gian thực có thể tìm kiếm được. Hãy hiểu rõ nó không phải là gì: nó không quản lý PC, triển khai phần mềm hay vá lỗi bất cứ thứ gì. Công việc duy nhất của nó là bằng chứng — một lịch sử trung tâm, có thể tìm kiếm được về ai đã làm gì trên mạng của bạn.

Mang đến cho nó một ngôi nhà trung thực: một Windows Server (hoặc một máy Windows vững chắc) hoạt động cả ngày với bộ nhớ trên ổ đĩa nhanh và có khả năng phát triển. Máy chủ nhật ký là một cơ sở dữ liệu đang phát triển chứ không phải một chương trình đã hoàn thiện — dữ liệu được lập chỉ mục cùng với các kho lưu trữ sẽ tiếp tục chiếm dụng đĩa miễn là tính năng lưu giữ được bật. Ba lần kiểm tra trước khi bạn chạy thiết lập: đồng hồ của máy được đồng bộ hóa (dấu thời gian nhật ký không có đồng bộ hóa NTP là hư cấu), các cổng bên dưới miễn phí và bạn có tài khoản dịch vụ miền chuyên dụng sẵn sàng cho việc thu thập nhật ký Windows — chứ không phải thông tin đăng nhập quản trị viên cá nhân của bạn, do đó, việc thay đổi mật khẩu một ngày nào đó sẽ không âm thầm dừng việc thu thập.

Các cổng mà máy chủ này cần miễn phí: 8400 dành cho bảng điều khiển web bạn mở trong trình duyệt, 513 và 514 dành cho trình nghe nhật ký hệ thống (tường lửa, Linux và thiết bị mạng) và 33335 dành cho cơ sở dữ liệu PostgreSQL/MySQL đi kèm. Cổng cơ sở dữ liệu đó là cổng nội bộ và được liên kết với localhost nên không cần phải mở trong tường lửa.

Tải xuống và chạy trình cài đặt

Chỉ tải xuống Trình phân tích nhật ký sự kiện từ trang web chính thức của ManaEngine và chạy ManagerEngine_EventLogAnalyzer_64bit.exe với tư cách quản trị viên trên máy chủ đã chọn. Chấp nhận các giá trị mặc định trừ khi bạn phải thay đổi cổng bảng điều khiển web 8400 — lựa chọn đó được đưa ra trong quá trình cài đặt.

Cài đặt nó dưới dạng dịch vụ Windows

Khi quá trình thiết lập hỏi sản phẩm sẽ chạy như thế nào, hãy chọn cài đặt sản phẩm đó làm dịch vụ Windows. Hoàn tất trình hướng dẫn và để dịch vụ bắt đầu.

Sự lựa chọn này quan trọng hơn vẻ ngoài của nó. Là một ứng dụng đơn giản, quá trình thu thập sẽ dừng ngay khi ai đó đăng xuất hoặc máy chủ khởi động lại để cập nhật — và lịch sử nhật ký của bạn sẽ có những khoảng trống chính xác khi sự cố có xu hướng xảy ra. Là một dịch vụ, nó khởi động với hệ điều hành và thu thập suốt ngày đêm, đó là toàn bộ công việc của một máy chủ nhật ký.

Đăng nhập lần đầu — Thay đổi mật khẩu mặc định

Mở trình duyệt và đi tới bảng điều khiển trên tên máy chủ và cổng 8400, sau đó đăng nhập bằng tài khoản quản trị viên mặc định:

http://server-name:8400

Replace server-name with your own server's name or IP address. Change the default administrator password before you do anything else — the console holds your network's security history, and the default password is public knowledge.