Manual do produto GFI Guia de instalação

Transcrição

1 Manual do produto GFI Guia de instalação

2 As informações e o conteúdo deste documento são apenas informativos e fornecidos "no estado em que se encontram" sem nenhuma garantia de qualquer tipo, expressa ou implícita, incluindo, sem limitação, as garantias de comercialização, adequação a uma finalidade específica e não violação. A GFI Software não se responsabiliza por danos de qualquer natureza, incluindo danos indiretos, resultantes do uso deste documento. As informações foram obtidas de fontes disponíveis ao público. Apesar do razoável esforço para garantir a precisão dos dados fornecidos, a GFI não alega, promete ou garante que as informações sejam íntegras, precisas, recentes ou adequadas, e não se responsabiliza por falhas na impressão, informações desatualizadas ou outros erros. A GFI não oferece garantia expressa ou implícita e não assume obrigação ou responsabilidade legal pela precisão ou integridade das informações contidas neste documento. Se você acredita que este documento contenha erros efetivos, entre em contato conosco. Analisaremos a questão assim que possível. Todos os nomes de produtos e empresas aqui mencionados podem ser marcas de seus respectivos proprietários. Os direitos autorais sobre o GFI EventsManager pertencem à GFI SOFTWARE Ltd GFI Software Ltd. Todos os direitos reservados. Versão do documento: Última atualização (dia/mês/ano): 3/18/2014

3 Índice 1 Introdução Sobre GFI EventsManager Como funciona GFI EventsManager Estágio 1: Coleta de eventos Estágio 2: Processamento de eventos Convenções usadas neste manual 11 2 Instalação do GFI EventsManager Cenários de implantação GFI EventsManager dentro de uma rede local (LAN) GFI EventsManager em uma Zona desmilitarizada (DMZ) GFI EventsManager em uma Rede de Longa Distância (WAN) Requisitos de sistema Requisitos de hardware Sistemas operacionais suportados (32 e 64 bits) Outros componentes de software Requisitos de armazenagem Portas e protocolos de firewall Permissões de firewall Configurações da origem do evento Exceções de antivírus Considerações de identificação do computador Coletar logs de eventos em computadores que executam Microsoft Vista ou posterior Importar e exportar configurações Exportar configurações para um arquivo Importar configurações de um arquivo Importar configurações de uma outra instância Atualizar GFI EventsManager Atualizar de uma versão anterior Instalar uma nova instância de GFI EventsManager Procedimento de instalação 38 3 Testar a instalação Processar eventos - Computador local Processar eventos - Domínio local Processar eventos - Máquinas selecionadas 53 4 Solução de problemas Documentação GFI SkyNet Solicitar suporte técnico 56 5 Glossário 57 6 Índice 61

4 Lista de figuras Screenshot 1: GFI EventsManager integra qualquer infraestrutura de TI. 7 Screenshot 2: Os estágios operacionais de GFI EventsManager 9 Screenshot 3: Exportar dados de sites remotos para a instância do GFI EventsManager 17 Screenshot 4: Exportar configurações para um arquivo 23 Screenshot 5: Especifique o destino da exportação 24 Screenshot 6: Selecionar exportar configurações 24 Screenshot 7: Importar configurações de um arquivo 25 Screenshot 8: Especificar o local do arquivo de configuração 26 Screenshot 9: Selecionar as configurações para importar 26 Screenshot 10: Importar configurações de uma outra instância de GFI EventsManager 27 Screenshot 11: Especificar o local da instância 28 Screenshot 12: Selecionar a configurações para importar de uma outra instância de GFI EventsManager 28 Screenshot 13: Atualizar verificação pré-requisito 30 Screenshot 14: Servidor de banco de dados DLib 31 Screenshot 15: Servidor de banco de dados DLib EULA 31 Screenshot 16: Pasta de instalação DLib 32 Screenshot 17: Inicie a instalação do Servidor de banco de dados DLib 32 Screenshot 18: Excluir antigas versões do arquivo 33 Screenshot 19: Tela inicial do assistente de instalação GFI EventsManager 33 Screenshot 20: GFI EventsManager EULA 34 Screenshot 21: Detalhes do registro GFI EventsManager 34 Screenshot 22: Remover credenciais de logon do monitoramento de log de evento 35 Screenshot 23: Pasta de instalação GFI EventsManager 36 Screenshot 24: Instalação de GFI EventsManager concluída 36 Screenshot 25: Verificação de atualizações automáticas 37 Screenshot 26: Configurar o back-end do banco de dados 37 Screenshot 27: Atualizar verificação pré-requisito 39 Screenshot 28: Servidor de banco de dados DLib 40 Screenshot 29: Servidor de banco de dados DLib EULA 40 Screenshot 30: Pasta de instalação DLib 41 Screenshot 31: Inicie a instalação do Servidor de banco de dados DLib 41 Screenshot 32: Tela inicial do assistente de instalaçãogfi EventsManager 42 Screenshot 33: GFI EventsManager EULA 43 Screenshot 34: Detalhes do registro GFI EventsManager 43 Screenshot 35: Remover credenciais de logon do monitoramento de log de evento 44 Screenshot 36: Pasta de instalação GFI EventsManager 45 Screenshot 37: Instalação de GFI EventsManager concluída 45 Screenshot 38: Verificação de atualizações automáticas 46

5 Screenshot 39: Configurar o back-end do banco de dados 46 Screenshot 40: Processar eventos - Computador local 48 Screenshot 41: Ações do console principal 49 Screenshot 42: Processar eventos - Domínio local 50 Screenshot 43: Assistente de descoberta automática 51 Screenshot 44: Selecionar os tipos de origem de evento para detectar na sua rede 51 Screenshot 45: Progresso de pesquisar rede 52 Screenshot 46: Processar eventos - Máquinas selecionadas 53 Screenshot 47: Adicionar novo assistente de origem do evento 54

6 Lista de tabelas Table 1: GFI EventsManager 10 Table 2: Termos e convenções usados neste manual 11 Table 3: Dispositivos suportados por GFI EventsManager 14 Table 4: Benefícios de instalação GFI EventsManager em DMZ 16 Table 5: Requisitos de hardware 18 Table 6: Requisitos de espaço de armazenagem 19 Table 7: Portas e protocolos de firewall 19 Table 8: Permissões de firewall 20 Table 9: Configurações da origem do evento 20 Table 10: AtualizarGFI EventsManager 29 Table 11: Componentes instalados usando EventsManager.exe 38 Table 12: Opções do console de Início rápido 49 Table 13: Adicionar novas fontes de evento manualmente 54

7 1 Introdução O enorme volume de logs de eventos gerados é de crescente importância para as empresas que precisam registrar as informações para fins forenses e de conformidade. Isto é essencial para a execução de monitoramento, análise e relatórios de logs de eventos em toda a rede em tempo real para abordar todas as questões de incidentes e segurança e combater as ameaças à continuidade da empresa. GFI EventsManager auxilia nesta tarefa monumental com o monitoramento automático e centralizado e com o gerenciamento dos logs de eventos - dando suporte à uma ampla gama de tipos de eventos gerados por aplicativos e dispositivos dos principais fornecedores, bem como dos fornecedores de aplicativos personalizados. Este capítulo oferece informações sobre como o gerenciamento de eventos é alcançado, usando GFI EventsManager. Tópicos deste capítulo: 1.1 Sobre GFI EventsManager Como funciona GFI EventsManager Convenções usadas neste manual Sobre GFI EventsManager Screenshot 1: GFI EventsManager integra qualquer infraestrutura de TI. GFI EventsManager é uma solução de gestão orientada para os resultados do log de eventos que integram toda infraestrutura de TI existente, automatizando e simplificando as tarefas envolvidas na gestão de eventos em toda a rede. Através das funções suportadas por GFI EventsManager, você pode:

8 Monitorar automaticamente os computadores e dispositivos de rede através da ampla gama de GFI EventsManager de suporte de log de eventos, tais como log de texto, log de evento, Syslogs, Mensagens de interceptações SNMP, Eventos de monitoramento ativo e até mesmo logs de eventos personalizados Windows. Monitorar computadores e serviços executados na sua rede através de recursos de monitoramento ativo, tais como verificação contínua da disponibilidade do site HTTP/HTTPS/FTP, consultas de funções de servidor, consultas de firewall e mais Otimizar a segurança e o desempenho durante o rastreamento de questões operacionais com a auditoria dos seus sistemas/dispositivos críticos, como roteadores, firewall, sensores, servidores e mecanismos de bancos de dados Criar e manter uma segurança de rede e de sistema que detecta ataques de intrusão Obter a conformidade com diversas leis e agir de acordo com as leis SOX, Código de Conexão com a PCI DSS, HIPAA, proteção de dados e outras Detectar proativamente os eventos que acarretam desastres, como uma falha do hardware. Quando esses eventos são processados, GFI EventsManager fornece um aviso antecipado que permite controlar e tomar ações corretivas Reduzir os riscos de perdas de negócios com o tempo de inatividade e má-configuração dos sistemas Navegar facilmente por eventos a partir de qualquer número de bases de dados através Navegador de eventos, que ajuda a realizar investigações forenses com intervenção humana mínima Processar e arquivar automaticamente os logs de eventos, coletando e destacando as informações que você estar ciente dos eventos mais importantes que ocorrem na sua rede para nunca ser surpreendido Gerar relatórios de nível técnico de TI e de nível de gestão a partir da extensa lista de relatórios e também criar novos a partir de relatórios existentes ou eventos coletados Proteger sua empresa com o rastreamento dos eventos de segurança da sua rede. Encontrar quem é responsável pelas violações de segurança e ameaças à rede Para obter uma lista completa dos recursos, consulte:

9 1.2 Como funciona GFI EventsManager Screenshot 2: Os estágios operacionais de GFI EventsManager A funcionalidade operacional do GFI EventsManager está dividida nos seguintes estágios: Estágio 1: Coleta de eventos Estágio 2: Processamento de eventos

10 1.2.1 Estágio 1: Coleta de eventos Durante o estágio Coleta de eventos, o GFI EventsManager coleta logs de origens de eventos específicos. Isso é conseguido através de dois mecanismos de coleta de eventos: O Event Retrieval Engine e o Event Receiving Engine. Table 1: GFI EventsManager Mecanismo The Event Retrieval Engine O ouvinte SQL Server The Oracle Retrieval Engine Mecanismo de recebimento de log Descrição Usado para coletar logs de eventos e logs de texto Windows das origens de eventos em rede. Durante o processo de coleta de eventos, este mecanismo irá: 1. Conectar-se à origem do(s) evento(s) 2. Coletar eventos da(s) origem(ns) 3. Enviar eventos coletados para o Servidor GFI EventsManager 4. Logoff da(s) origem(ns) do evento. O Mecanismo de recuperação de evento coleta eventos em intervalos de tempo específicos. O intervalo de coleta de eventos é configurável a partir do console de gerenciamentogfi EventsManager O ouvinte recebe mensagens de rastreamento do Microsoft SQL Server digitalizado em tempo real. Na recepção, GFI EventsManager processa a mensagem imediatamente. O Oracle Retrieval Engine se conecta periodicamente ao servidor Oracle e coleta inspeções de uma tabela de auditoria específica. Semelhante ao Microsoft Windows o Event Retrieval Engine,GFI EventsManager processa eventos gerados pelo servidor da Oracle. O Mecanismo de recebimento de evento age como um servidor Syslog e de Interceptação SNMP ouve e coleta logs de eventos/mensagens Syslog e de Interceptação SNMP enviadas através de várias origens na rede. Ao contrário do Mecanismo de recuperação de evento, o Mecanismo de recebimento de eventos recebe as mensagens diretamente da origem do evento, portanto não é necessário fazer o logon remotamente nas origens de eventos para coletar eventos. Além disto, os eventos/mensagens Syslog e de Interceptação SNMP são coletados em tempo real, portanto os intervalos de tempo de coleta não precisam ser configurados. Por padrão, o Mecanismo de recebimento de eventos ouve as mensagens Syslog na porta 514 e as mensagens de interceptação SNMP na porta 162. Ambas as configurações da porta são personalizáveis no console de gerenciamento GFI EventsManager Estágio 2: Processamento de eventos Durante este estágio, GFI EventsManager executa um conjunto de regras de processamento de eventos comparadas com os eventos coletados. Regras de processamento de eventos são as instruções que: Analisam os logs coletados e classificam os eventos processados como Crítico, Alto, Médio, Baixo ou Ruído (eventos indesejados ou repetidos) Filtram eventos que correspondam às condições específicas Acionam alertas de , SMS e de rede dos eventos principais Acionam as ações de correção, tais como a execução de scripts de arquivos executáveis de eventos principais Opcionalmente, arquivam eventos coletados no back-end do banco de dados. GFI EventsManager pode ser configurado para arquivar eventos sem executar as regras de processamento de eventos. Em tais casos, mesmo que as regras não sejam aplicadas comparadas com os logs coletados, o arquivamento ainda é tratado pelo estágio Processamento de eventos. Para obter mais informações, consulte Events Processing Rules em Guia do administrador.

11 Importante Alguns dos principais módulos em GFI EventsManager devem ser executados sob privilégios administrativos. Para obter mais informações sobre esses módulos, consulte o seguinte artigo: Convenções usadas neste manual A tabela abaixo descreve os termos comuns e convenções deste manual: Table 2: Termos e convenções usados neste manual Termo Descrição Informações adicionais e referências essenciais para a operação do GFI EventsManager. Notificações e precauções importantes quanto aos problemas que costumam ser encontrados. > Instruções de navegação passo a passo para acessar uma função específica. Texto em negrito Texto em itálico Código Itens para selecionar, como nós, opções do menu ou botões de comando. Parâmetros e valores que devem ser substituídos pelo valor aplicável, como caminhos e nomes de arquivos personalizados. Indica valores de texto que deve ser inseridos, como comandos e endereços.

12 2 Instalação do GFI EventsManager Este capítulo descreve os possíveis cenários de implantação suportados por GFI EventsManager. É essencial revisar os requisitos do sistema e as configurações do computador antes de instalar o produto para garantir a comunicação entre GFI EventsManager e os dispositivos/computadores de rede que devem ser monitorados. Tópicos deste capítulo: 2.1 Cenários de implantação Requisitos de sistema Importar e exportar configurações Atualizar GFI EventsManager Instalar uma nova instância de GFI EventsManager Cenários de implantação GFI EventsManager pode ser instalado em qualquer computador que atenda aos requisitos mínimos do sistema, independentemente da localização na sua rede. Se você deseja obter os logs de eventos dos sistemas operacionais Microsoft Windows Vista ou posterior, GFI EventsManager deve ser instalado em uma máquina com o Microsoft Windows Vista, 7, 2008 Server ou Server Use GFI EventsManager para gerenciar os logs de eventos gerados por: No mesmo computador onde está instalado. Todos os servidores, estações de trabalho e dispositivos de rede que são acessíveis a partir do computador no qual está instalado.

13 Figure 1: GFI EventsManager cenários de implantação Esta seção contém informações sobre a implantação GFI EventsManager em: Local Area Network (LAN) - Monitoramento de atividade na rede de produção principal, servidores e estações de trabalho Zone Demilitarized (DMZ) - Monitoramento de eventos gerados pelo serviço público, como servidores de , servidores de Web e servidores DNS. Wide Area Network (WAN) - Monitoramento de eventos gerados por computadores e dispositivos de rede espalhados em diferentes regiões geográficas.

14 2.1.1 GFI EventsManager dentro de uma rede local (LAN) GFI EventsManager pode ser implantado em redes baseadas emwindows, bem como nos ambientes mistos onde os sistemas Linux e Unix estão sendo usados também. Figure 2: Implementação do GFI EventsManager na LAN Quando instalado em uma rede local (LAN) GFI EventsManager pode gerenciar os eventos Windows, logs de texto, mensagens Syslog, Interceptações SNMP e mensagens de auditoria SQL Server geradas por qualquer hardware ou software que esteja conectado à LAN, incluindo: Table 3: Dispositivos suportados por GFI EventsManager Dispositivo Estações de trabalho e notebooks Servidores Dispositivos de rede Software Serviços especializados PABXs, Keyless Access Systems, sistemas de detecção de intrusão e mais Exemplo Computadores e sistemas de usuário final. Servidores de Web, servidores de , servidores de DNS e mais. Roteadores, interruptores e qualquer outro dispositivo que gere logs de desempenho. Incluindo GFI EndPointSecurity, GFI LanGuard e outros aplicativos que geram logs. Microsoft Internet Information Server - IIS. GFI EventsManager permite que você monitore qualquer dispositivo que esteja conectado à rede. GFI EventsManager 2 Instalação do GFI EventsManager 14

15 2.1.2 GFI EventsManager em uma Zona desmilitarizada (DMZ) GFI EventsManager monitora os eventos gerados por máquinas em DMZ, de instalações dentro da LAN ou por outras instalações diretamente no DMZ. Como um roteador ou firewall normalmente protege essa zona de tráfego de rede com os recursos de filtragem, você deve certificar-se de que: As portas de comunicação usadas pelo GFI EventsManager não estão bloqueadas pelo firewall. Para obter mais informações sobre as portas de comunicação usadas pelo GFI EventsManager, consulte: GFI EventsManager tem privilégios administrativos sobre os computadores executados no DMZ. Importante A GFI recomenda a instalação de GFI EventsManager diretamente no DMZ ao invés de permitir que as portas de firewall e permissões permitam a comunicação entre computadores de LAN e DMZ, servidores e dispositivos de rede. Figure 3: O DMZ fica entre a rede interna e a Internet DMZ é a rede neutra que fica entre a rede corporativa interna e mundo externo (Internet). A implementação de GFI EventsManager num DMZ ajuda você a automatizar o gerenciamento dos eventos gerados pelos sistemas de hardware e software DMZ, tais como: GFI EventsManager 2 Instalação do GFI EventsManager 15

16 Table 4: Benefícios de instalação GFI EventsManager em DMZ Automação DMZ Automate management of Web and Mail server events Descrição Redes DMZ são normalmente usadas para executar hardware e software em computadores específicos com funções de Internet como servidores de HTTP, FTP e servidores de . Por isso, você pode implantar GFI EventsManager para gerenciar automaticamente os eventos gerados por: Servidores de Web, incluindo logs de web W3C gerados pelos servidores de web Apache nas plataformas de web LAMP Servidores de web baseados emwindows, incluindo logs de web W3C gerados pelos Internet Information Servers (IIS) Microsoft Servidores de baseados em Linux/Unix e Windows, incluindo mensagens de serviços de auditoria Syslog geradas pelo Sun Solaris v. 9 ou posterior Automatizar o gerenciamento de eventos do servidor DNS Automatizar o gerenciamento de eventos do servidor DNS Automate management of network appliance events Em um servidor DNS público, é bem possível que um servidor DNS esteja sendo executado em DMZ. Por isso é possível usargfi EventsManager para coletar e processar automaticamente o servidor DNS, incluindo os eventos armazenados nos logs de Servidor DNS Windows. Em um servidor DNS público, é bem possível que um servidor DNS esteja sendo executado em DMZ. Por isso é possível usargfi EventsManager para coletar e processar automaticamente o servidor DNS, incluindo os eventos armazenados nos logs de Servidor DNS Windows. Os roteadores e firewalls são dois dispositivos de rede que costumam ser encontrados em DMZ. Roteadores e firewalls especializados (exemplo: Roteadores Série Cisco IOS) não apenas ajudam a proteger sua rede interna, mas fornecem recursos especializados, como a Conversão de Endereços de porta (Port Address Translation - PAT), que podem aumentar o desempenho dos seus sistemas operacionais. Com a implementação de GFI EventsManager no seu DMZ, é possível obter os eventos gerados por tais dispositivos de rede. Por exemplo, é possível configurar GFI EventsManager para agir como um servidor Syslog e coletar em tempo real as mensagens Syslog geradas pelos roteadores Cisco IOS. GFI EventsManager 2 Instalação do GFI EventsManager 16

17 2.1.3 GFI EventsManager em uma Rede de Longa Distância (WAN) GFI EventsManager pode ser instalado em ambientes que possuem vários locais em diferentes localizações geográficas. Screenshot 3: Exportar dados de sites remotos para a instância do GFI EventsManager Isso é obtido ao instalar uma instância do GFI EventsManager em cada local. Periodicamente (de acordo com um agendamento), é possível exportar os eventos de sites remotos e importá-los para o banco de dados central para a consolidação completa de logs de eventos. Os eventos no site remoto podem ser exibidos com o Navegador de eventos. Relatórios com informações relevantes para sites remotos também podem ser gerados por meio do banco de dados central. Usar a opção Switch Database para exibir ou comunicar informações armazenadas nos bancos de dados. Obs. Para obter mais informações, consulte a Database Maintenance do Guia do administrador. GFI EventsManager 2 Instalação do GFI EventsManager 17

18 2.2 Requisitos de sistema Para instalar o GFI EventsManager, o computador anfitrião deve atender aos requisitos do sistema especificados abaixo. Se você planeja gerenciar um grande número de origens de eventos em uma rede de alto tráfego, considere usar um computador com maior alcance do sistema. Consulte as seções a seguir para obter informações sobre: Requisitos de hardware Sistemas operacionais suportados (32 e 64 bits) Outros componentes de software Requisitos de armazenagem Portas e protocolos de firewall Permissões de firewall Configurações da origem do evento Exceções de antivírus Considerações da identificação do computador Coletar logs de eventos em computadores que executam Microsoft Vista ou posterior Requisitos de hardware A tabela abaixo apresenta os requisitos de hardware degfi EventsManager: Table 5: Requisitos de hardware Componentes de hardware Processador RAM Disco rígido Especificação 2.5 GHz dual core ou superior 3 GB. 10 GB de espaço livre. Obs. O tamanho do disco rígido depende do ambiente, o tamanho especificado nos requisitos é o mínimo necessário para eventos de instalação e arquivamento Sistemas operacionais suportados (32 e 64 bits) GFI EventsManager pode ser instalado em um computador executando um dos seguintes sistemas operacionais: Windows Server Foundation, Essentials, Standard ou Datacenter Windows Server Standard ou Enterprise Windows Server 2008 R2 - Standard ou Enterprise Windows Server 2003 SP2 - Standard ou Enterprise Windows 8 - Standard, Professional ou Enterprise Windows 7 - Enterprise, Professional ou Ultimate Windows Vista SP1 - Enterprise, Business ou Ultimate GFI EventsManager 2 Instalação do GFI EventsManager 18

19 Windows XP Professional SP3 Windows SBS 2008 Windows SBS Obs. GFI EventsManager não pode ser instalado no servidor Core Instalations Outros componentes de software Os componentes de software adicionais abaixo devem estar instalados para garantir a funcionalidade completa de GFI EventsManager: Microsoft.NET framework 4.0 Microsoft Data Access Components (MDAC) 2.8 ou posterior Um servidor de (quando o alerta de é exigido). Obs. Microsoft Data Access Components (MDAC) 2.8 pode ser baixado de Requisitos de armazenagem Os requisitos de armazenagem abaixo são baseados no tamanho médio de um log de evento, sendo 535 bytes por evento. As seguintes especificações indicam o tamanho do disco rígido exigido, que atende às solicitações de sua infraestrutura: Table 6: Requisitos de espaço de armazenagem Espaço em disco rígido Eventos armazenados por 1 GB de espaço de armazenagem Número de eventos Eventos armazenados em 500 GB de espaço de armazenagem Portas e protocolos de firewall A tabela a seguir contém portas e protocolos que devem ser permitidos pelo firewall do anfitrião GFI EventsManager: Table 7: Portas e protocolos de firewall Porta Protocolos Descrição 135 UDP e TCP Máquinas de destino utilizam esta porta para publicar informações sobre portas dinâmicas disponíveis. O GFI EventsManager usa esta informação para se comunicar com as máquinas de destino. 139 e 445 UDP e TCP Usado por GFI EventsManager para recuperar as descrições de log de eventos de máquinas de destino. 162 UDP e TCP Usado por GFI EventsManager para receber interceptações SNMP. Certifique-se de que esta porta esteja aberta na máquina onde GFI EventsManager está instalado. 514 UDP e TCP Usado por GGFI EventsManager para receber mensagens SYSLOG UDP e TCP Digite o número da porta usada por GFI EventsManager para se comunicar com o back-end do banco de dados SQL Server. Certifique-se de que a porta está ativada em Microsoft SQL Server e na máquina onde GFI EventsManagerestá instalado. GFI EventsManager 2 Instalação do GFI EventsManager 19

20 Porta Protocolos Descrição 1521 UDP e TCP Usado para coletar logs de auditoria Oracle Server. A porta 1521 é a porta padrão para esta conexão. Se a porta for alterada manualmente na configuração do Listener Oracle, ajuste as configurações de firewall adequadamente UDP e TCP Usado por GFI EventsManager para coletar dados de origens de eventos com Microsoft Windows Vista ou Microsoft Windows Permissões de firewall A tabela a seguir contém as permissões que devem ser permitidas pelo firewall do anfitrião GFI EventsManager: Table 8: Permissões de firewall Políticas de permissões e de auditoria de firewall Gerenciar log de eventos remotos Compartilhamento de arquivo e impressora Network discovery Política de auditoria: Acesso ao objeto Audit policy: Process tracking Política de auditoria: Gerenciamento da conta de auditoria Audit policy: Audit system events Windows Server 2008 Windows Server 2003 Windows XP Windows 7 Windows Vista Ativar Não aplicável Não aplicável Ativar Ativar Ativar Ativar Ativar Ativar Ativar Ativar Não aplicável Não aplicável Ativar Ativar Ativar Não aplicável Não aplicável Ativar Ativar Ativar Não aplicável Não aplicável Ativar Ativar Ativar Ativar Ativar Ativar Ativar Ativar Ativar Ativar Ativar Ativar Obs. Para obter mais informações, consulte Ativar permissões de origens de eventos manualmente ou Ativar permissões de origens de eventos automaticamente do Guia do administrador Configurações da origem do evento A tabela a seguir contém as configurações que devem ser configuradas nas suas origens de eventos. Origens de eventos são os computadores que você deseja monitorar com GFI EventsManager: Table 9: Configurações da origem do evento Tipo de log Processar log de evento Windows Processamento log de texto Descrição Ativar registro remoto. A pasta de origem deve estar acessível através de compartilhamento de Windows. GFI EventsManager 2 Instalação do GFI EventsManager 20

21 Tipo de log Processamento de Syslog Interceptações SNMP Verificar máquinas com Windows Vista ou posterior Auditoria do sistema Descrição Configurar fontes/remetentes para enviar mensagens para o computador/ip onde GFI EventsManager está instalado. Instalar GFI EventsManagerem um computador executando Windows Vista ou posterior. Ativar auditoria de origens de eventos. Para obter mais informações, consulte Ativar manualmente permissões de origem do evento e Ativar automaticamente permissões de origem do evento de Guia do administrador Exceções de antivírus Se um aplicativo antivírus instalado no computador onde GFI EventsManager está sendo executado, confira se: Não há tráfego bloqueado nas portas em uso porgfi EventsManager esmui.exe e esmproc.exe têm acesso permitido pelos firewalls As pastas GFI EventsManager foram excluídas da verificação antivírus em tempo real Considerações de identificação do computador GFI EventsManager identifica os computadores através do nome ou IP. Se forem usados nomes de computador NetBIOS compatíveis, verifique se o seu serviço de DNS está configurado corretamente para solução de nomes. Resolução de nomes não confiáveis diminuiu o desempenho geral do sistema. Se desativar TCP/IP NETBIOS, você ainda pode usar GFI EventsManager, no entanto, é preciso especificar o nome do computador por IP Coletar logs de eventos em computadores que executam Microsoft Vista ou posterior GFI EventsManager não pode ser instalado no Microsoft Windows Windows XP para monitorar eventos do Microsoft Windows Vista ou posterior. Microsoft Windows O Microsoft Windows Vista e 7 introduziram profundas alterações estruturais no registro em log de eventos e gerenciamento de log de eventos. As alterações mais importantes são: Um novo formato XML dos logs de eventos. Isso fornece uma abordagem mais estruturada para relatar todas as ocorrências do sistema. Categorização de eventos em quatro grupos diferentes: Administrativa, Operacional, Analítica e Depuração Um novo formato de arquivo (evtx) que substitui o antigo formato dos arquivos evt. Devido a essas alterações, para coletar e processar logs de eventos em Microsoft Windows Vista ou posterior, GFI EventsManager deve estar instalado em um sistema executando: Windows Vista Windows 7 Windows Server Obs. Eventos Windows XP podem ser coletados quando GFI EventsManager estiver instalado em máquinas com Windows Vista ou posterior. GFI EventsManager 2 Instalação do GFI EventsManager 21

22 Obs. Quando GFI EventsManager estiver usando uma conta não domínio para coletar eventos das máquinas Windows Vista ou posteriores, as máquinas de destino devem ter o Controle da Conta do Usuário (UAC) desativado. Para obter mais informações, consulte Desabilitar o controle de conta de usuário ( UAC) de Guia do administrador. GFI EventsManager 2 Instalação do GFI EventsManager 22

23 2.3 Importar e exportar configurações A ferramenta de importação e exportação fornecida permite mover facilmente as configurações de uma instância degfi EventsManager para outra. Isso também pode ser feito como parte de um plano de recuperação de desastres, para evitar ter que reconfigurar GFI EventsManager no caso de um desastre. As seguintes configurações podem ser importadas/exportadas usando GFI EventsManager: Origens do evento Regras de processamento de eventos Filtros do navegador de eventos Opções (incluindo Ações de classificação padrão, Opções de alertas, Operações de banco de dados e mais). Esta seção contém informações sobre: Exportar configurações para um arquivo Importar configurações de um arquivo Importar configurações de uma outra instância Exportar configurações para um arquivo Para exportar configurações GFI EventsManager: 1. Clique em File > Import and Export Configurations... Screenshot 4: Exportar configurações para um arquivo 2. Selecione Export the desired configurations to a file e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 23

24 Screenshot 5: Especifique o destino da exportação 3. Especifique o local onde o arquivo exportado será salvo ou clique em Browse... para procurar o local. Clique em Next (Avançar). Screenshot 6: Selecionar exportar configurações 4. Selecione as configurações que você deseja exportar e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 24

25 5. Aguarde para exportar a configuração GFI EventsManager e clique em OK Importar configurações de um arquivo Para importar configurações de um arquivo: 1. Clique em File > Import and Export Configurations... Screenshot 7: Importar configurações de um arquivo 2. Selecione Import the desired configurations from a file e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 25

26 Screenshot 8: Especificar o local do arquivo de configuração 3. Especifique o caminho onde o arquivo de importação será armazenado ou clique em Browse... para procurar o arquivo. Clique em Next (Avançar). Screenshot 9: Selecionar as configurações para importar ] 4. Selecione as configurações que você deseja importar e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 26

27 5. Aguarde para importar as configurações GFI EventsManager e clique em OK. Obs. Quando GFI EventsManager detecta outra configuração, pergunta se você deseja substituir ou mesclar as duas configurações Importar configurações de uma outra instância Para importar configurações de outra instância degfi EventsManager 1. Clique em File > Import and Export Configurations... Screenshot 10: Importar configurações de uma outra instância de GFI EventsManager 2. Selecione Import the configurations from another instance e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 27

28 Screenshot 11: Especificar o local da instância 3. Especifique o caminho da pasta de instalação da instância que você deseja importar configurações. Como alternativa, clique em Browse... para procurar o arquivo. Clique em Next (Avançar). Screenshot 12: Selecionar a configurações para importar de uma outra instância de GFI EventsManager 4. Selecione as configurações que você deseja importar e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 28

29 5. Aguarde as configurações para importar e clique em OK. Obs. Quando GFI EventsManager detecta outra configuração, pergunta se você deseja substituir ou mesclar as duas configurações. 2.4 Atualizar GFI EventsManager Atualizar versões mais antigas que GFI EventsManager 2011 não é suportado. Algumas configurações podem ser perdidas devido às mudanças tecnológicas subjacentes. GFI EventsManager pode ser atualizado através de um dos seguintes métodos: Table 10: AtualizarGFI EventsManager Método Automaticamente Manualmente Descrição Iniciar a nova configuração e concluir o assistente para atualizar e manter dados. Para obter mais informações, consulte Atualizar de uma versão anterior. Exportar configurações e eventos de uma versão anterior de GFI EventsManager e importá-las para uma nova com as ferramentas de Operações do banco de dados e ferramentas Importar/Exportar. Para obter mais informações, consulte Criar trabalhos de manutenção e Configurações de importação e exportação em Guia do administrador Atualizar de uma versão anterior Obs. Antes de iniciar a atualização, desative qualquer software de antivírus executado no sistema. Para atualizar para uma versão mais recente: 1. Clique duas vezes em EventsManager.exe. GFI EventsManager 2 Instalação do GFI EventsManager 29

30 Screenshot 13: Atualizar verificação pré-requisito 2. O instalador exibe uma lista de componentes de sistema que devem estar instalados antes da instalação do produto. Clique em Install para iniciar a instalação dos componentes ausentes do sistema (se necessário). GFI EventsManager 2 Instalação do GFI EventsManager 30

31 Screenshot 14: Servidor de banco de dados DLib 3. O assistente de instalação do servidor de banco de dados DLib é aberto automaticamente após a instalação dos componentes do sistema. Clique em Next na tela inicial do assistente. Screenshot 15: Servidor de banco de dados DLib EULA 4. Leia atentamente o contrato de licença. Selecione I accept the terms in the License Agreement e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 31

32 Screenshot 16: Pasta de instalação DLib 5. Clique em Next para instalar o servidor de banco de dados na pasta padrão ou clique em Change... para selecionar uma pasta alternativa para a instalação. Screenshot 17: Inicie a instalação do Servidor de banco de dados DLib 6. Clique em Install para iniciar a instalação do Servidor de banco de dados DLib. Clique em Finish quando solicitado. GFI EventsManager 2 Instalação do GFI EventsManager 32

33 Obs. Depois que o servidor de banco de dados é instalado, o instalador automaticamente abre o assistente do console de gerenciamento do GFI EventsManager. 7. Clique em Yes para desinstalar a versão anterior de GFI EventsManager e continue a instalar a nova. Clique em No para parar a instalação. Obs. Executar duas instâncias do console de gerenciamento no mesmo computador não é suportado. Screenshot 18: Excluir antigas versões do arquivo 8. Clique em Yes para confirmar a exclusão dos arquivos da versão anterior de GFI EventsManager ou clique em No para parar a instalação. Screenshot 19: Tela inicial do assistente de instalação GFI EventsManager 9. Clique em Next na tela inicial do assistente de instalaçãogfi EventsManager. GFI EventsManager 2 Instalação do GFI EventsManager 33

34 Screenshot 20: GFI EventsManager EULA 10. Leia atentamente o contrato de licença. Selecione I accept the terms in the License Agreement e clique em Next. Screenshot 21: Detalhes do registro GFI EventsManager 11. Digite seu nome de usuário e a chave da licença nos campos User Name e Licence Key. Para registrar-se para uma chave de licença de avaliação gratuita de 30 dias, clique em Register. Clique em Next (Avançar). GFI EventsManager 2 Instalação do GFI EventsManager 34

35 Screenshot 22: Remover credenciais de logon do monitoramento de log de evento 12. Digite as credenciais de logon que GFI EventsManager utiliza para conectar-se a computadores remotos. Obs. É recomendável usar um administrador de domínio ou uma conta com direitos administrativos em todos os computadores remotos gerenciados por GFI EventsManager. GFI EventsManager 2 Instalação do GFI EventsManager 35

36 Screenshot 23: Pasta de instalação GFI EventsManager 13. Clique em Next para instalar o Console de Gerenciamento na pasta padrão ou clique em Change... para selecionar uma pasta alternativa onde está instalado. Screenshot 24: Instalação de GFI EventsManager concluída 14. Clique em Install para iniciar a instalação. 15. Quando a instalação for concluída, clique em Finish. GFI EventsManager 2 Instalação do GFI EventsManager 36

37 Screenshot 25: Verificação de atualizações automáticas 16. Quando GFI EventsManager detecta uma conexão com a Internet, ele automaticamente tenta baixar atualizações de produtos dos servidores de atualizações GFI. Clique em Details para expandir a seção Informações do diálogo Atualização automática e ver as atualizações sendo baixadas. Screenshot 26: Configurar o back-end do banco de dados Obs. Após a atualização do produto, o diálogo Switch Database Server abre. Este diálogo é usado para vincular o Console de gerenciamento ao servidor do banco de dados. É possível alternar os servidores do banco de dados no Console de gerenciamento. Para obter mais informações, consulte Alternar entre banco de dados de armazenamento de arquivos em Administrator Guide. 17. Especifique o computador onde o Servidor de Banco de Dados D-Lib está instalado. Se o banco de dados desejado estiver ligado: O localhost - digite localhost ( padrão) Um computador remoto - digite computer name ou IP address. Clique em OK. Obs. Após concluir a instalação, o Console de gerenciamento abre automaticamente. Para iniciar manualmente, clique em Start > All Programs > GFI EventsManager > Management Console. GFI EventsManager 2 Instalação do GFI EventsManager 37

38 Obs. Os dados de configuração da GFI EventsManager 2012 não são excluídos. Os dados são copiados no diretório de instalação (%install folder%\data_old). Os dados desta pasta são usados para manter as configurações anteriores. Obs. Teste a instalação para conferir se todos os componentes foram instalados com êxito. Para obter mais informações, consulte Testar a instalação. 2.5 Instalar uma nova instância de GFI EventsManager Os componentes listados na tabela a seguir podem ser instalados com EventsManager.exe: Table 11: Componentes instalados usando EventsManager.exe Componente System components Descrição Os seguintes componentes do sistema são exigidos por GFI EventsManager para funcionalidade completa: Visual C redistribuível Microsoft.NET Framework 2.0 Microsoft.NET Framework 4.0 Microsoft SQL Server Compact 3.5 SP2 MSXML6 Microsoft SQL Server Cliente nativo DLib Database Server GFI EventsManager Microsoft SQL Server Gerenciar de coleta de objetos O Servidor de banco de dados DLib é o componente onde GFI EventsManager armazena os logs de processamento. O servidor de banco de dados pode ser instalado no mesmo computador que está executando o GFI EventsManager, bem como em um computador remoto ou em uma unidade de rede. O produto real a partir de onde você pode gerenciar e monitorar os eventos gerados por computadores e dispositivos em sua rede Procedimento de instalação Para instalar GFI EventsManager: 1. Clique duas vezes em EventsManager.exe. GFI EventsManager 2 Instalação do GFI EventsManager 38

39 Screenshot 27: Atualizar verificação pré-requisito 2. O instalador exibe uma lista de componentes de sistema que devem estar instalados antes da instalação do produto. Clique em Install para iniciar a instalação dos componentes ausentes do sistema (se necessário). GFI EventsManager 2 Instalação do GFI EventsManager 39

40 Screenshot 28: Servidor de banco de dados DLib 3. O assistente de instalação do servidor de banco de dados DLib é aberto automaticamente após a instalação dos componentes do sistema. Clique em Next na tela inicial do assistente. Screenshot 29: Servidor de banco de dados DLib EULA 4. Leia atentamente o contrato de licença. Selecione I accept the terms in the License Agreement e clique em Next. GFI EventsManager 2 Instalação do GFI EventsManager 40

41 Screenshot 30: Pasta de instalação DLib 5. Clique em Next para instalar o servidor de banco de dados na pasta padrão ou clique em Change... para selecionar uma pasta alternativa para a instalação. Screenshot 31: Inicie a instalação do Servidor de banco de dados DLib 6. Clique em Install para iniciar a instalação do Servidor de banco de dados DLib. Clique em Finish quando solicitado. GFI EventsManager 2 Instalação do GFI EventsManager 41

42 Obs. Depois que o servidor de banco de dados é instalado, o instalador automaticamente abre o assistente do console de gerenciamento do GFI EventsManager. Screenshot 32: Tela inicial do assistente de instalaçãogfi EventsManager 7. Clique em Next na tela inicial do assistente. GFI EventsManager 2 Instalação do GFI EventsManager 42

43 Screenshot 33: GFI EventsManager EULA 8. Leia atentamente o contrato de licença. Selecione I accept the terms in the License Agreement e clique em Next. Screenshot 34: Detalhes do registro GFI EventsManager 9. Digite seu nome de usuário e a chave de licença nos campos User Name e License Key. Para registrar-se para uma chave de licença de avaliação gratuita de 30 dias, clique em Register. Clique em Next (Avançar). GFI EventsManager 2 Instalação do GFI EventsManager 43

44 Screenshot 35: Remover credenciais de logon do monitoramento de log de evento 10. Digite as credenciais de logon que GFI EventsManager utiliza para conectar-se aos computadores remotos. Obs. É recomendável usar um administrador de domínio ou uma conta com direitos administrativos em todos os computadores remotos gerenciados por GFI EventsManager. GFI EventsManager 2 Instalação do GFI EventsManager 44

45 Screenshot 36: Pasta de instalação GFI EventsManager 11. Clique em Next para instalar o Console de Gerenciamento na pasta padrão ou em Change... para selecionar uma pasta alternativa para a instalação. Screenshot 37: Instalação de GFI EventsManager concluída 12. Clique em Install para iniciar a instalação. 13. Quando a instalação for concluída, clique em Finish. GFI EventsManager 2 Instalação do GFI EventsManager 45

46 Screenshot 38: Verificação de atualizações automáticas 14. Ao detectar uma conexão com a Internet, ogfi EventsManager automaticamente tenta baixar atualizações de produtos dos servidores de atualizações GFI. Clique em Details para expandir a seção Informações do diálogo Atualização automática e ver as atualizações sendo baixadas. Screenshot 39: Configurar o back-end do banco de dados Obs. Após a atualização do produto, o diálogo Switch Database Server abre. Este diálogo é usado para vincular o Console de gerenciamento ao servidor do banco de dados. É possível alternar os servidores do banco de dados no Console de gerenciamento. Para obter mais informações, consulte Alternar entre banco de dados de armazenamento de arquivos em Administrator Guide. 15. Especifique o computador onde o Servidor de banco de dados D-Lib está instalado. Se o banco de dados desejado estiver ligado: Um computador remoto - digite o computer name ou IP address O localhost - digite localhost (padrão). Clique em OK. Obs. Após concluir a instalação, o Console de gerenciamento abre automaticamente. Para iniciar manualmente, clique em Start > All Programs > GFI EventsManager > Management Console. GFI EventsManager 2 Instalação do GFI EventsManager 46

47 Obs. Teste a instalação para conferir se todos os componentes foram instalados com êxito. Para obter mais informações, consulte Testar a instalação. GFI EventsManager 2 Instalação do GFI EventsManager 47

48 3 Testar a instalação Depois que todos os componentes necessários são instalados, o Console de Gerenciamento abre automaticamente. Por padrão, ele está configurado para iniciar o Quick Launch Console na inicialização. Tópicos deste capítulo: 3.1 Processar eventos - Computador local Processar eventos - Domínio local Processar eventos - Máquinas selecionadas Processar eventos - Computador local Esta opção permite adicionar automaticamente o localhost como uma origem de eventos e logs de processamento gerados por ele. Para processar eventos no computador local: Screenshot 40: Processar eventos - Computador local 1. Clique em Process events - Local computer. GFI EventsManager 3 Testar a instalação 48

49 Screenshot 41: Ações do console principal 2. Depois de os logs localhost iniciaram o processamento, é possível: Table 12: Opções do console de Início rápido Ícone Descrição Browse events Acessar os eventos e ferramentas forenses integrados que ajudam a localizar, analisar e filtrar os eventos principais. Para obter mais informações, consulte Browsing Stored Events do Guia do administrador. Generate reports Acessar os recursos de relatório incluindo geração instantânea/agendada de relatórios e distribuição automatizada de relatórios. Para obter mais informações, consulte Relatórios em Guia do administrador. View dashboard Acessar o painel de status GFI EventsManager. Isso permite que você veja a representação gráfica das informações coletadas dos eventos mais importantes processados pelo GFI EventsManager. Para obter mais informações, consulte Monitoramento de atividade do Guia do administrador. Customize Personalizar configurações GFI EventsManager, como o processamento de Syslog, Interceptação SNMP, verificações do sistema, notificações de eventos principais, e mais. Para obter mais informações, consulte: Guia do administrador Gerenciar origens de eventos Configurar as regras de processamento de eventos Configurar opções de manutenção do banco de dados Configurar alertas e ações padrão Configurar monitoramento ativo GFI EventsManager 3 Testar a instalação 49

50 Obs. Para confirmar que os logs sejam processados corretamente, vá para a guia Status > Job Activity e verifique se existem logs de atividades na seção Operational History. 3.2 Processar eventos - Domínio local Esta opção permite adicionar um ou mais computadores que estão no mesmo domínio ou grupo de trabalho de GFI EventsManager. O assistente Automatic Network Discovery permite que você selecione o tipo de origens de eventos que você deseja adicionar e, em seguida, lista as origens que são detectadas. Para processar evento a partir de computadores no mesmo domínio/grupo de trabalho: Screenshot 42: Processar eventos - Domínio local 1. Clique em Process events - Local domain. Isso abre o assistente Automatic Network Discovery. Obs. O assistente também pode ser iniciado na guia Configuration > Event Sources. No painel esquerdo, clique com o botão direito em All event sources e selecione Scan local domain. GFI EventsManager 3 Testar a instalação 50

51 Screenshot 43: Assistente de descoberta automática 2. Clique em Next na tela inicial do assistente. Screenshot 44: Selecionar os tipos de origem de evento para detectar na sua rede 3. Selecione os tipos de origens de eventos que o assistente tentará detectar na sua rede. Clique em Next (Avançar). GFI EventsManager 3 Testar a instalação 51

52 Screenshot 45: Progresso de pesquisar rede Obs. Se GFI EventsManager detectar computadores que não podem fazer logon com as credenciais fornecidas, é possível especificar as credenciais de logon alternados para cada computador selecionado. 4. Selecione um computador da lista e digite o nome de usuário e senha. Clique em OK para fechar o diálogo Alternative Credentials. Obs. Repetir está etapa até que todas as origens necessárias sejam adicionadas. 5. Clique em Next e em Finish. Obs. Para adicionar automaticamente novos computadores que estão associados ao mesmo domínio/grupo de trabalho de GFI EventsManager, é preciso configurar a Sincronização. Para obter mais informações, consulte Adicionar origens de eventos automaticamente no Administrator Guide. GFI EventsManager 3 Testar a instalação 52

53 3.3 Processar eventos - Máquinas selecionadas Esta opção permite adicionar manualmente computadores específicos assim: Digitar nomes e IPs de computador Selecionar os computadores de domínios e grupos de trabalho acessíveis. Importar computadores a partir de um arquivo de texto contendo um único nome de computador por linha. Para processar eventos de computadores selecionados: Screenshot 46: Processar eventos - Máquinas selecionadas 1. Clique em Process events - Selected machines. 2. Isso abre o diálogo Add New Event Source. GFI EventsManager 3 Testar a instalação 53

54 Screenshot 47: Adicionar novo assistente de origem do evento 3. A tabela a seguir descreve as opções disponíveis: Table 13: Adicionar novas fontes de evento manualmente Opção Adicionar Descrição Digite o nome ou o endereço IP do computador no campo Add the following computers. Clique em Add para adicionar um computador específico à lista Computers. Obs. Repita esta etapa para adicionar todas as origens de dados de eventos ao grupo selecionado. Obs. Com o Syslog e as interceptações SNMP usando endereços IP para determinar a origem de um evento, recomenda-se utilizar o endereço IP de origem, em vez do nome do computador ao adicionar Syslog e origens de Interceptações SNMP. Remover Selecionar... Importar... Selecione um ou mais computadores da lista Computer e clique Remove para excluí-los da lista. Clique em Select... para abrir o diálogo Select Computers...: 1. No menu suspenso Domain, selecione o domínio a ser verificado quanto às origens disponíveis e clique em Search. 2. Na lista de resultados da pesquisa, selecione os computadores que deseja adicionar. 3. Clique em OK para fechar o diálogo Select Computers... e retorne ao diálogo Add New Event Sources... Clique em Import... para importar computadores de um arquivo de texto. Certifique-se de que o arquivo de texto contém apenas o nome de um computador ou endereço IP por linha. 4. Clique em Finish para finalizar as configurações. GFI EventsManager tenta imediatamente analisar as origens dos eventos adicionados com as credenciais de logon padrão. Para obter mais informações, consulte Configurar as credenciais de logon da origem do evento em Administrator Guide. GFI EventsManager 3 Testar a instalação 54