安装 ManageEngine EventLog 分析器
您办公室中的每台 Windows 服务器、防火墙和交换机都在记录登录、故障和更改的日志。 EventLog Analyzer 将这些日记收集到一个可搜索的控制台中。本指南以正确的方式将其安装在 Windows 上（作为服务），将您的第一个域控制器和防火墙添加为日志源，并在您完成之前证明日志确实在流动。
📑章节
📋 概述和分步指南
首先准备服务器
EventLog Analyzer 是来自 ManageEngine 的日志管理和 SIEM 风格的工具。它无代理或通过代理收集 Windows 事件日志，从防火墙、路由器、交换机和 Linux 计算机接收系统日志，并将所有这些日志转换为可搜索的记录、报告和实时警报。请明确它不是什么：它不管理 PC、部署软件或修补任何内容。它的一项工作就是提供证据——记录谁在您的网络上做了什么事情的中央、可搜索的历史记录。
给它一个诚实的家：一台全天运行的 Windows Server（或一台可靠的 Windows 机器），存储在快速驱动器上，并具有扩展空间。日志服务器是一个不断增长的数据库，而不是一个完成的程序——只要保留打开，索引数据和存档就会继续占用磁盘。运行安装程序之前进行三项检查：计算机的时钟已同步（没有 NTP 同步的日志时间戳是虚构的），下面的端口是空闲的，并且您有一个准备用于 Windows 日志收集的专用域服务帐户 - 而不是您的个人管理员登录名，因此有一天更改密码不会默默地停止收集。
此服务器需要空闲的端口：8400 用于在浏览器中打开的 Web 控制台，513 和 514 用于系统日志侦听器（防火墙、Linux 和网络设备），33335 用于捆绑的 PostgreSQL/MySQL 数据库。该数据库端口是内部端口并绑定到本地主机，因此不需要在防火墙中打开它。
下载并运行安装程序
仅从 ManageEngine 官方网站下载 EventLog Analyzer，并在所选服务器上以管理员身份运行 ManageEngine_EventLogAnalyzer_64bit.exe。接受默认值，除非您必须更改 Web 控制台端口 8400 - 该选择是在安装过程中提供的。
将其安装为 Windows 服务
当安装程序询问产品应如何运行时，选择将其安装为 Windows 服务。完成向导并让服务启动。
这个选择比看起来更重要。作为一个普通的应用程序，收集会在有人注销或服务器重新启动以进行更新时停止，并且您的日志历史记录会在事件容易发生时出现无声间隙。作为一项服务，它从操作系统启动并全天候收集，这就是日志服务器的全部要点。
首次登录 - 更改默认密码
打开浏览器并通过服务器名称和端口 8400 转到控制台，然后使用默认管理员帐户登录：
__完整代码块0__首先添加您的域控制器
几乎 Windows 网络中的每项调查实际上都是一个身份问题（哪个帐户、哪台计算机、在什么时间），而域控制器保存着这些答案：登录成功和失败、帐户锁定、组更改和策略更改都首先落在 DC 上。添加 Windows 计算机是通过设置 → 日志源配置 → 设备 完成的。首先使用服务帐户在域和工作组下添加您的域，填充设备列表，然后选择要监控的域控制器。
在无代理模式下，EventLog Analyzer 服务器上的收集器通过 WMI 和 RPC 访问每台 Windows 计算机，使用端口 135、445 和 139 以及目标计算机上的动态 RPC 端口。如果设备拒绝连接，则几乎总是以下三件事之一：该计算机上的防火墙、凭据或 WMI 依赖的 Windows 服务。在您怀疑该产品之前修复这些问题。
通过 Syslog 将防火墙和 Linux 指向它
网络设备无法运行代理，因此它们使用系统日志。在防火墙上，将系统日志目标设置为端口 514 上的 EventLog Analyzer 服务器的 IP 地址。您的防火墙是所有进出网络的唯一见证者——从家里的 VPN 登录、阻止的连接尝试、流向可疑目的地的流量——并且它会在几分钟内开始报告，无需代理，也无需管理凭据。
在运行 rsyslog 的 Linux 主机上，配置中的一行可以完成相同的工作：
__完整代码块1__验证日志是否确实流动
不要在安装屏幕上完成；完成证据。选择三项检查：您刚刚在工作站上导致的登录失败应该在一两分钟内出现在搜索中；仪表板应显示今天的活动计数不断攀升；每个添加的源都应该显示最新的最后收到的日志时间 - 而不仅仅是添加它那一刻起的绿色勾号。如果任何来源保持沉默，则其时钟、凭据或防火墙规则将按顺序受到怀疑。
然后按正确的顺序增长：接下来是文件和应用程序服务器，因为那是数据所在的地方；之后的其他服务器和网络设备；最后是工作站——它们对于发现受感染的 PC 确实很有用，但它们是您拥有的最嘈杂的来源，并且在第一天添加 150 台 PC 主要会增加磁盘使用量和警报噪音。一次一层，相隔几天，这就是日志项目的生存之道。
🏷️Topic Search Variables & Keywords
🎙️ 完整文字记录 — 点击展开
分步故障排除指南和解决方案 - 设置。技术安叔屏幕演示......
在 Windows 上逐步安装 ManageEngine EventLog Analyzer，添加您的第一个域控制器和防火墙作为日志源，并验证日志是否确实流动。诚实地解释了端口 8400 和 514、服务安装、试用版和免费版限制。
（转录在源页面上结束）
❓ 常见问题（英文）
本教程 100% 免费学习吗？
是的！技术安数演示的所有指南和方法均使用免费、合法的教育资源。
初学者可以遵循本指南吗？
绝对是！每个步骤都在屏幕上演示并附有详细说明，以便任何人都可以轻松遵循。
如果遇到困难我可以在哪里提问？
直接在 YouTube 视频上发表评论，我们的社区和技术安树将为您提供帮助。
🚀 在 YouTube 上观看完整教程
🚀 在 YouTube 上观看完整的分步视频教程：https://www.youtube.com/watch?v=Mlk-iMoC8DQ
订阅技术安数以获取 IT 支持、Windows 故障排除和服务器管理。
▶️ 观看完整视频