GFI EventsManager 7.0 Manuale a cura di GFI Software Ltd.
http://www.gfi-italia.com Email: info@gfi.com Il presente manuale è stato realizzato da GFI Software Ltd. Le informazioni contenute in questo documento sono soggette a modifica senza preavviso. Le società, i nomi e i dati utilizzati negli esempi sono fittizi salvo diversamente indicato. Nessuna parte del presente documento può essere riprodotta o trasmessa in alcuna forma, elettronica o meccanica, e per qualsiasi scopo, senza esplicita autorizzazione scritta di GFI Software Ltd. GFI EventsManager è sviluppato da GFI Software Ltd. GFI EventsManager è copyright di GFI Software Ltd. 2000-2006 GFI Software Ltd. Tutti i diritti sono riservati. Manuale versione 7.0 Ultimo aggiornamento 15 marzo 2007
Indice Introduzione 5 Informazioni sul presente manuale...5 Strutturazione del manuale...5 Glossario dei termini adoperati nel presente manuale...6 Informazioni su GFI EventsManager...9 Caratteristiche principali...10 In che modo funziona GFI EventsManager?...12 Navigazione nella consolle di gestione di GFI EventsManager...14 Installazione 17 Introduzione...17 Distribuzione di GFI EventsManager su una LAN...18 Distribuzione di GFI EventsManager su una zona demilitarizzata...19 Requisiti di sistema...20 Aggiornamento da una versione precedente...20 Procedura di installazione...21 Guida introduttiva 25 Introduzione...25 Guida introduttiva: avvio di GFI EventsManager per la prima volta...28 Finestra di dialogo dell'avvio rapido...28 Configurazione del terminale database...29 Configurazione dei dati del server SQL...30 Manutenzione del terminale database...30 Modifica delle impostazioni del terminale database...32 Configurazione dell account amministratore di GFI EventsManager...32 Configurazione delle opzioni di avviso generali...35 Configurazione degli avvisi via email...37 Configurazione degli avvisi di rete...37 Configurazione avvisi via SMS...38 Modifica delle opzioni di avviso generali...39 Guida introduttiva: elaborazione log degli eventi...39 Configurazione delle sorgenti degli eventi 41 Introduzione...41 Aggiunta di nuove sorgenti di eventi ad un gruppo predefinito...41 Configurazione proprietà delle sorgenti di eventi...42 Configurazione proprietà generali delle sorgenti degli eventi...43 Configurazione credenziali di amministratore di dominio alternative...44 Configurazione periodo di operatività della sorgente di eventi...45 Configurazione dei parametri di elaborazione degli eventi...46 Configurazione delle regole di elaborazione degli eventi 47 Introduzione...47 Raccolta ed elaborazione degli eventi di Windows...49 Configurazione log degli eventi personalizzati...53 GFI EventsManager Indice i
Raccolta ed elaborazione dei log W3C...53 Raccolta ed elaborazione di Syslogs...55 Configurazione della porta di comunicazione del server Syslog...58 Archiviazione eventi...59 Selezione delle regole di elaborazione degli eventi...60 Configurazione di avvisi e azioni 63 Introduzione...63 Configurazione delle azioni di classificazione predefinite...64 Configurazione di azioni attraverso le regole di elaborazione degli eventi...65 Esplorazione eventi 67 Introduzione...67 Accesso ed esplorazione di log di eventi archiviati...71 Applicazione di query agli eventi...71 Creazione di query di eventi personalizzate...72 Personalizzazione del pannello di visualizzazione eventi...73 Configurazione della codifica colori degli eventi...75 Lo strumento "ricerca" degli eventi...77 Eventi di backup...77 Passaggi tra database...78 Cancellazione di tutti gli eventi...78 Monitoraggio di stato 81 Introduzione...81 Accesso al monitor di stato...81 Modalità visualizzazione di stato generica...82 Modalità di visualizzazione Attività processi...86 Modalità di visualizzazione Statistiche...89 Configurazione delle regole di elaborazione degli eventi 93 Introduzione...93 Creazione di una nuova cartella di set di regole...94 Ridenominazione ed eliminazione delle cartelle...94 Creazione di un nuovo set di regole...94 Modifica set di regole...95 Eliminazione di un set di regole...95 Creazione di una nuova regola per log di eventi di Windows...95 Creazione di una nuova regola per log di eventi W3C...98 Creazione di una nuova regola per log di eventi Syslog...102 Modifica delle impostazioni di configurazione di una regola...105 Configurazione di utenti e gruppi 107 Introduzione...107 Creazione di un nuovo utente...108 Modifica delle proprietà dell utente...108 Rimozione di utenti...108 Configurazione di gruppi...109 Modifica delle proprietà del gruppo di utenti...110 Rimozione di gruppi di utenti...110 Opzioni varie 111 Gestione licenze...111 Inserimento del codice di licenza successivamente all installazione...111 Indice ii GFI EventsManager
Informazioni sulla versione...112 Ricerca delle build più recenti...112 Risoluzione dei problemi 113 Introduzione...113 Knowledgebase...113 Richiesta di assistenza tecnica via email...113 Richiesta di assistenza tecnica tramite la web-chat...114 Richiesta telefonica di assistenza tecnica...114 Forum via web...114 Notifiche relative alle build...114 Appendice 1: impostazioni SMS 115 Opzioni generali degli avvisi tramite SMS o cercapersone...115 Il server SMS GSM interno...116 Il modello del provider di servizi SMS di GFI FAXmaker...118 Il servizio Email2SMS di Clickatell...120 Modello di provider del servizio SMS generico...123 Appendice 2: configurazione Windows 127 Introduzione...127 Abilitazione del servizio Registro di sistema remoto...128 Abilitazione del controllo di sicurezza di Windows...130 Modalità di installazione degli snap-in del Criterio di gruppo...132 Appendice 3: installazione di SQL Server Express Edition 135 Introduzione...135 Requisiti software...135 Procedura d installazione...135 Tutorial 1: configurazione delle opzioni di base mediante la finestra di dialogo dell Avvio rapido 145 Panoramica...145 Parametri...145 Parte 1: configurazione del terminale database di GFI EventsManager...146 Parte 2: configurazione delle opzioni di avviso predefinite...149 Parte 3: configurazione dell account amministratore di GFI EventsManager...150 Tutorial 2: configurazione dei parametri di elaborazione degli eventi 154 Panoramica...154 Parametri...154 Parte 1: configurazione sorgenti dei log...156 Parte 2: creazione di nuove regole di elaborazione degli eventi...157 Sezione 1: creazione di una nuova cartella di regole...157 Sezione 2: creazione di un nuovo set di regole...158 Sezione 3: creazione di una nuova regola...158 Parte 3: configurazione proprietà utente, avvisi e altre azioni...163 Sezione 1: creazione nuovo gruppo di utenti o di destinatari di avvisi...163 Sezione 2: aggiunta di nuovo destinatario di avvisi...164 Sezione 3: impostazione avvisi email per eventi critici...169 Tutorial 3 Esplorazione e filtraggio eventi 171 GFI EventsManager Indice iii
Panoramica...171 Parametri...171 Creazione di una nuova interrogazione (query) eventi...171 Utilizzo della nuova query di eventi...174 Indice analitico 175 Indice iv GFI EventsManager
Introduzione Informazioni sul presente manuale Strutturazione del manuale Il presente manuale è strutturato in linea con la catena logica di operazioni di configurazione richieste per il corretto funzionamento di GFI EventsManager. - Il Capitolo 1 offre una panoramica sul funzionamento di GFI EventsManager. - Il Capitolo 2 descrive la corretta modalità d installazione di GFI EventsManager. - Il Capitolo 3 descrive le modalità per configurare i parametri operativi fondamentali richiesti da GFI EventsManager al primo avvio. Le istruzioni sono presentate in sequenza logica e contengono tutte le informazioni necessarie affinché GFI EventsManager sia pronto per l elaborazione dell evento. - Test I Capitoli 4, 5 e 6 guidano l utente attraverso il processo di configurazione di parametri essenziali all elaborazione degli eventi. Al termine della lettura di questi capitoli, si sarà in grado di configurare: - le sorgenti di eventi da monitorare - i tipi di log da raccogliere ed elaborare - le regole di elaborazione degli eventi da applicare ai log raccolti - gli avvisi e le azioni da attivare in occasione di eventi importanti. A questo punto, si saranno ottenute tutte le informazioni sufficienti per eseguire GFI EventsManager con le impostazioni predefinite. - Il Capitolo 7 descrive la modalità per adoperare il browser di eventi interno al fine di analizzare gli eventi archiviati sul terminale database di GFI EventsManager. Il capitolo spiega il modo in cui utilizzare gli strumenti e le caratteristiche forniti nel browser di eventi, compresi: - le query di log di eventi predefinite e lo strumento di creazione di query personalizzate - la codifica degli eventi tramite colori - lo strumento "ricerca" eventi. Il Capitolo 8 descrive le modalità per adoperare il Monitor di scansione (Scanning Monitor) al fine di analizzare lo stato di GFI GFI EventsManager Introduzione 5
EventsManager e di visualizzare informazioni statistiche ed eventi elaborati. Il Capitolo 9 guida l utente attraverso il processo di creazione e personalizzazione delle regole di elaborazione degli eventi. Questa sezione è rivolta agli utenti esperti che desiderano creare le proprie regole di elaborazione di eventi. Il Capitolo 10 descrive le modalità di configurazione dei parametri di avviso ai destinatari, compresi: informazioni personali come il n. del telefono cellulare il normale orario lavorativo il tipo di avvisi da inviare a ogni destinatario. Il Capitolo 11 spiega quali sono le principali fonti informative disponibili per aiutare gli utenti a risolvere eventuali problemi con il prodotto. L Appendice 1 guida l utente attraverso il processo di configurazione dei parametri di avviso SMS, comprese le impostazioni del provider del gateway SMS. L Appendice 2 guida l utente attraverso il processo di configurazione delle impostazioni e dei servizi di Windows richiesti da GFI EventsManager. L Appendice 3 guida l utente attraverso la procedura necessaria per installare l edizione Express di Microsoft SQL Server 2005. I tutorial 1, 2 e 3 guideranno l utente attraverso la procedura per rendere operativo GFI EventsManager. Glossario dei termini adoperati nel presente manuale Azioni Attività che saranno eseguite una volta che degli eventi abbiano soddisfatto specifiche condizioni. Ad esempio, è possibile attivare azioni ogni volta che un evento è classificato come critico. GFI EventsManager prevede azioni quali: avvisi via email, archiviazione eventi ed esecuzione di script. Avvisi Notifiche che informano i destinatari che si è verificato un determinato evento. GFI EventsManager può generare avvisi via email, sms e rete. Archivio Avvisi via email Classificazione eventi Raccolta di eventi memorizzati nel terminale database basato su SQL Server di GFI EventsManager. Notifiche via email che informano i destinatari che si è verificato un determinato evento. Per abilitare gli avvisi via email, è necessario avere accesso ad un server di posta attivo. Categorizzazione degli eventi nelle classi: Critical, High Medium, Low o Noise (rispettivamente, Critici, Medio-alti, Bassi o Non pertinenti/di disturbo). 6 Introduzione GFI EventsManager
Log degli eventi Raccolta di voci che descrivono gli eventi avvenuti sulla rete o su sistemi di computer. GFI EventsManager supporta 3 tipi diversi di log degli eventi: i log degli eventi Windows, W3C e Syslog. Regole eventi elaborazione Serie di istruzioni applicate ad un log degli eventi. Avvisi di rete Avvisi non pertinenti o di disturbo Cartella set di regole Set di regole Avvisi via SMS Messaggi di rete (noti come messaggi Netsend) che informano i destinatari che si è verificato un determinato evento. I messaggi sono inviati tramite un sistema o protocollo di messaggistica istantanea e visualizzati sottoforma di finestra di pop-up nell area di notifica del desktop del destinatario. Per impostare gli avvisi di rete, è necessario indicare il nome o l IP dei computer cui verranno inviati i messaggi Netsend. Voci di log ripetute che descrivono lo stesso evento. Cartella contenente una o più serie di regole. Raccolta di regole di elaborazione degli eventi. Notifiche via SMS che informano i destinatari che si è verificato un determinato evento. In GFI EventsManager, è possibile inviare gli avvisi SMS adoperando varie fonti, compresi telefoni cellulari dotati di modem e gateway email-to-sms (email verso SMS) basati su web. GFI EventsManager Introduzione 7
Eventi classificati Log W3C non Eventi che non hanno soddisfatto nessuna condizione di elaborazione eventi configurata nelle relative regole. W3C è un formato di log molto comune sviluppato dal World Wide Web Consortium (Consorzio World Wide Web). I log W3C sono semplici file di testo adoperati prevalentemente da server web, compreso Microsoft Internet Information Server (IIS), per registrare eventi relativi a internet, quali i log di un sito web. Log degli eventi di Windows Raccolta di voci che descrivono eventi avvenuti su un sistema di computer che esegue il sistema operativo Windows. 8 Introduzione GFI EventsManager
Informazioni su GFI EventsManager Figura 1 - GFI EventsManager si integra in qualsiasi infrastruttura informatica esistente GFI EventsManager è una soluzione di gestione dei log degli eventi orientata ai risultati che si integra in qualsiasi infrastruttura informatica, automatizzando e semplificando le operazioni interessate dalla gestione di eventi per tutta la rete. Le caratteristiche funzionali di GFI EventsManager permettono di: raccogliere automaticamente eventi W3C, Syslog e Windows da dispositivi di rete e da sistemi basati su Windows, Linux o Unix e di gestirli con un unica consolle; archiviare gli eventi raccolti su un terminale database centralizzato basato su SQL Server, a fini di eventuali analisi e indagini legali successivi; filtrare gli eventi indesiderati e classificare eventi importanti grazie alle potenti regole di elaborazione eventi predefinite o personalizzate; automatizzare azioni di avviso e correttive, quali l esecuzione di script e file su eventi importanti; controllare l attività della rete e lo stato del motore di scansione di GFI EventsManager tramite una dashboard grafica; analizzare gli eventi con un browser interno; semplificare i controlli legali sugli eventi mediante strumenti specializzati, quali: un query builder (costruisci interrogazione) di eventi interno, uno strumento trova eventi ed uno di codifica colori ; aumentare la potenza di elaborazione degli eventi con il motore di scansione degli eventi ad alte prestazioni; generare, pianificare e inviare via email rapporti sull attività e sull andamento degli eventi con il ReportPack di GFI EventsManager, il potente strumento di creazione di rapporti complementare di cui GFI EventsManager è provvisto per impostazione predefinita. GFI EventsManager Introduzione 9
Caratteristiche principali Ampio supporto di log di eventi GFI EventsManager è in grado di elaborare vari tipi di log degli eventi, compresi i log eventi di Windows, Syslog e W3C. Pertanto, gli amministratori possono raccogliere più dati dai vari sistemi hardware e software più comuni in una rete aziendale tipica. Gestione dei log degli eventi basata su regole GFI EventsManager è provvisto di una serie di regole di elaborazione eventi preconfigurata, che consente di filtrare e classificare gli eventi che soddisfano determinate condizioni. È possibile adoperare tali regole predefinite senza definire altre configurazioni oppure si può scegliere di personalizzarle o crearne di nuove adeguandole all'infrastruttura della propria rete. Profili di scansione dei log di eventi GFI EventsManager 7 consente di organizzare le regole di scansione dei log degli eventi in Scanning Profiles ( Profili di scansione ). In un profilo di scansione, è possibile configurare la serie di regole di monitoraggio dei log degli eventi da applicare ad un determinato computer o gruppo di computer. I vantaggi offerti dai profili comprendono: la semplificazione di operazioni di amministrazione del prodotto, grazie al modo centralizzato di sintonizzazione delle regole di elaborazione degli eventi; la possibilità, per gli amministratori, di creare diversi set di regole di log degli eventi, adeguandoli ai ruoli delle sorgenti degli eventi sottoposti a scansione e all ambiente di rete aziendale; la possibilità, per esempio, di impostare una serie di regole da applicarsi unicamente alle stazioni di lavoro di un determinato reparto. Configurazione granulare di regole Gli amministratori possono creare un profilo di elaborazione eventi generico per tutti i computer e un certo numero di profili separati, a complemento del profilo generico, in cui forniscono ulteriori (e più specifiche) regole di log degli eventi sulla base dei singoli computer. Traduzione degli eventi di Windows dal significato "enigmatico" Uno dei maggiori difetti dei log di eventi di Windows è rappresentato dal loro non essere user-friendly, ovvero risultano troppo incomprensibili per l utente. È proprio questo uno dei motivi per cui soltanto pochi amministratori consultano davvero i log degli eventi di Windows. GFI EventsManager 7 risolve il problema, traducendo le descrizioni degli eventi in un modo più user-friendly e più semplice da capire. 10 Introduzione GFI EventsManager
Migliorato motore di scansione degli eventi GFI EventsManager 7 comprende un motore di scansione degli eventi sintonizzato al fine di velocizzare davvero la scansione degli eventi, in modo da ottenere le massime prestazioni. Il motore adotta un concetto basato sul plug-in che permette il collegamento diretto di caratteristiche e moduli aggiuntivi senza dover apportare fisicamente delle modifiche al codice esistente; ergo: una maggiore stabilità, ma non a spese della scalabilità. Riduzione automatica delle interferenze (dati non pertinenti o di disturbo) GFI EventsManager 7 identifica e rimuove i dati di eventi indesiderati (ad esempio interferenze ed eventi generati dal processo di background), fornendo all'utente soltanto dati pertinenti ed utilizzabili. Semplifica quindi le indagini legali sugli eventi attraverso la riduzione del numero di eventi da analizzare. Azioni in tempo reale migliorate Nel momento in cui rileva eventi importanti, GFI EventsManager è in grado di generare avvisi o attivare azioni quali l esecuzione di script. È possibile avvisare uno o più soggetti in vari modi, tra cui: email, messaggi di rete e notifiche SMS inviate tramite un servizio o gateway email verso SMS. Si possono configurare azioni da attivare al momento della classificazione degli eventi oppure impostare condizioni specifiche nelle regole di elaborazione degli eventi. Avanzate caratteristiche di filtraggio degli eventi GFI EventsManager è provvisto di numerose caratteristiche di filtraggio eventi, tra cui: interrogazioni (query) preconfigurate degli eventi e uno strumento query builder (costruisci interrogazione) di eventi: le query preconfigurate di eventi consentono di vagliare i dati dei log ed esplorare unicamente gli eventi desiderati, senza eliminare alcun record dal terminale database. Il query builder di eventi interno consente di creare interrogazioni di eventi personalizzate; capacità di codifica eventi tramite colori: grazie a questa caratteristica, è possibile colorare particolari eventi con determinati colori, in modo selettivo. In questo modo, durante l esplorazione dei log è facile identificare eventi importanti grazie al colore; strumento "ricerca" eventi: con questo strumento è possibile localizzare eventi importanti attraverso criteri di ricerca specifici, quali il tipo di eventi. Centralizzazione eventi GFI EventsManager consente di controllare e gestire eventi generati dai sistemi operativi Windows, Linux o Unix, dai dispositivi di rete e dalle applicazioni software tramite un unica consolle utente. GFI EventsManager Introduzione 11
In che modo funziona GFI EventsManager? Figura 2 La procedura operativa di GFI EventsManager Il funzionamento di GFI EventsManager è diviso in due procedure: Procedura 1: raccolta eventi Procedura 2: elaborazione eventi Segue una descrizione di entrambe le procedure. 12 Introduzione GFI EventsManager
Procedura 1: raccolta eventi Durante la procedura di raccolta eventi, GFI EventsManager raccoglie i log da sorgenti di eventi specifiche, avvalendosi di 2 motori di raccolta degli eventi: l Event Retrieval Engine (motore di recupero eventi) e l Event Receiving Engine (motore di ricezione eventi). L Event Retrieval Engine. Il motore di recupero eventi è adoperato per raccogliere log di eventi Windows e W3C da sorgenti di eventi della rete. Nel corso del processo di Raccolta eventi, questo motore effettua le seguenti operazioni: 1. si collega alla sorgente o alle sorgenti di eventi 2. raccoglie gli eventi dalla sorgente o dalle sorgenti 3. invia gli eventi raccolti al server GFI EventsManager 4. si scollega dalla sorgente o dalle sorgenti di eventi. Il motore di recupero eventi raccoglie gli eventi ad intervalli temporali precisi. L intervallo di raccolta degli eventi può essere configurato nella consolle di gestione di GFI EventsManager. L Event Receiving Engine. Il motore di ricezione eventi funge da server Syslog: ascolta e raccoglie gli eventi e messaggi Syslog inviati dalle sorgenti Syslog della rete. Al contrario del motore di recupero eventi, il motore di ricezione eventi riceve i messaggi direttamente dalla sorgente dell evento. Di conseguenza, per raccogliere gli eventi, non ha bisogno di collegarsi alle sorgenti da remoto. Inoltre, gli eventi e messaggi Syslog sono raccolti in tempo reale, quindi non è necessario configurare intervalli di raccolta. Per impostazione predefinita, il motore di ricezione eventi ascolta i messaggi Syslog sulla porta 514; tuttavia, le impostazioni delle porte Syslog sono personalizzabili con la console di gestione di GFI EventsManager. Procedura 2: elaborazione eventi Durante questa procedura, GFI EventsManager applica una serie di Event Processing Rules (regole di elaborazione eventi) agli eventi raccolti. Le regole di elaborazione eventi consistono in istruzioni che: analizzano i log raccolti e classificano gli eventi elaborati attribuendogli i seguenti valori Critical, High Medium, Low o Noise (rispettivamente, Critici, Medio-alti, Bassi o Dati non pertinenti o di disturbo, cioè eventi indesiderati o ripetuti) filtrano gli eventi che soddisfano determinate condizioni attivano avvisi via email, sms e di rete in caso di eventi importanti attivano azioni correttive quali l esecuzione di file eseguibili o di script su eventi importanti in via facoltativa, archiviano sul terminale database gli eventi raccolti. È possibile configurare GFI EventsManager affinché archivi gli eventi senza eseguire le regole di elaborazione. In questi casi, benché non siano applicate regole ai log raccolti, l archiviazione sarà gestita ancora dalla procedura di raccolta eventi. GFI EventsManager Introduzione 13
Navigazione nella consolle di gestione di GFI EventsManager Schermata 1 La consolle di gestione di GFI EventsManager Opzione Status (Stato): adoperare questa opzione per visualizzare lo stato di GFI EventsManager e le informazioni statistiche sui log elaborati. Opzione Configuration (Configurazione): adoperare questa opzione per accedere e configurare le principali opzioni di elaborazione degli eventi. Opzione Sources (Sorgenti): adoperare questa opzione per configurare le sorgenti di eventi, compresi i log da raccogliere e le regole da elaborare. Opzione Event Processing Rules (Regole elaborazione eventi): adoperare questa opzione per creare, configurare e personalizzare le regole di elaborazione degli eventi. Opzione Left pane (Pannello di sinistra): adoperare questa opzione per navigare nelle opzioni di configurazione supplementari fornite in GFI EventsManager. Opzione General (Generale): adoperare questa opzione per ricercare aggiornamenti del prodotto o visualizzare la versione e le informazioni di licenza. Opzione Events Browser (Browser di eventi): adoperare questa opzione per visualizzare e analizzare gli eventi correntemente archiviati nel terminale database di GFI EventsManager. Opzione Options: adoperare questa opzione per configurare impostazioni generali, quali, parametri del terminale database e parametri di avviso predefiniti. 14 Introduzione GFI EventsManager
Barra delle opzioni principali: questa barra contiene le opzioni di configurazione principali fornite in GFI EventsManager. Barra delle opzioni secondarie: questa barra contiene un secondo livello di opzioni di configurazione accessibile facendo clic sulle opzioni della barra delle opzioni principali. Opzione Right pane (Pannello di destra): adoperare questo pannello per esplorare le sorgenti di eventi configurate, le regole di elaborazione di eventi, gli eventi archiviati, le informazioni sulla licenza e sulla versione del prodotto. GFI EventsManager Introduzione 15
Installazione Introduzione Dove installare GFI EventsManager sulla rete? GFI EventsManager può essere installato su qualsiasi computer che soddisfi i requisiti minimi di sistema, indipendentemente dalla locazione sulla rete. Adoperare GFI EventsManager per gestire gli eventi generati: sullo stesso computer su cui è installato su tutti i computer raggiungibili dal computer su cui è installato. Figura 3 Contesto distribuzione di GFI EventsManager GFI EventsManager può essere distribuito: nell ambito della propria rete, per controllare l attività di servizi interni e stazioni di lavoro ed endpoint sulla zona demilitarizzata (DMZ), per controllare e gestire gli eventi generati sui propri server. GFI EventsManager Installazione 17
Distribuzione di GFI EventsManager su una LAN GFI EventsManager può essere distribuito su reti Windows oppure in ambienti misti, cioè in cui ci si avvale anche dei sistemi Linux e Unix. Figura 4 Distribuzione di GFI EventsManager su una LAN Installato su una Local Area Network (LAN), GFI EventsManager riesce a gestire eventi di Windows, log di eventi di W3C e messaggi Syslog generati da qualunque hardware o software collegato alla LAN, compresi: stazioni di lavoro e server (ad esempio, server web Apache) dispositivi di rete (ad esempio, i firewall PIX di Cisco) software di terzi (ad esempio, GFI EndPointSecurity) servizi specializzati (ad esempio, Microsoft Internet Information Server o IIS) PABX (versione automatica del PBX, Private Branch exchange = centrale telefonica per uso privato), sistemi di accesso privi di chiave, sistemi di scoperta di intrusione, ecc. Installato su una LAN, GFI EventsManager può, inoltre, essere adoperato per raccogliere eventi dai sistemi hardware e software distribuiti su una zona demilitarizzata (DMZ). Poiché, di solito, il firewall o il router proteggono detta zona con capacità di filtraggio del traffico, accertarsi che: 1. le porte di comunicazione adoperate da GFI EventsManager non siano bloccate dal firewall. Per maggiori informazioni su tali porte, leggere il seguente articolo di knowledgebase (in lingua inglese): http://kbase.gfi.com/showarticle.asp?id=kbid002770 2. GFI EventsManager disponga di privilegi amministrativi sui computer in esecuzione nella zona DMZ. 18 Installazione GFI EventsManager
Distribuzione di GFI EventsManager su una zona demilitarizzata Figura 5 La zona DMZ risiede tra la rete LAN interna e internet GFI EventsManager può essere altresì distribuito su una zona demilitarizzata. Si tratta della rete neutra residente tra la rete aziendale interna e il mondo esterno, cioè internet. La distribuzione di GFI EventsManager su una zona demilitarizzata aiuta ad automatizzare la gestione degli eventi generati dai sistemi hardware e software della DMZ. Gestione automatizzata eventi di server web e di posta Le reti DMZ sono solitamente adoperate per l esecuzione di sistemi hardware e software aventi ruoli internet specifici, ad esempio, i server HTTP, FTP e di posta. Di conseguenza, si può distribuire GFI EventsManager per gestire, in modo automatico, gli eventi generati da: server web Linux o Unix, compresi i web log W3C generati da server web Apache su piattaforme web LAMP (in lingua inglese); server web Windows, compresi i web log W3C generati da Microsoft Internet Information Servers (IIS); server di posta Linux, Unix e Windows, compresi i messaggi servizi di controllo generati da Sun Solaris 9 o successive versioni. Gestione automatizzata eventi di server DNS Se si dispone di un server pubblico DNS, è alquanto probabile che si esegua un server DNS sulla zona DMZ. Pertanto, è possibile adoperare GFI EventsManager per raccogliere ed elaborare in modo automatico gli eventi del server DNS, compresi quelli archiviati nei log del server DNS di Windows. Gestione automatizzata eventi di dispositivi di rete I router e i firewall rappresentano due dispositivi di rete molto comuni in una DMZ. Router e firewall specializzati (ad esempio, le serie di router Cisco IOS) non soltanto aiutano a proteggere la propria rete interna, ma forniscono funzionalità specializzate, quali la Port Address Translation (PAT), in grado di incrementare le prestazioni operative dei propri sistemi. Con la distribuzione di GFI EventsManager sulla propria zona DMZ, è possibile raccogliere gli eventi generati da tali dispositivi di rete. Per GFI EventsManager Installazione 19
Requisiti di sistema esempio, è possibile configurare GFI EventsManager perché agisca da server Syslog e raccolga in tempo reale i messaggi Syslog generati dai router Cisco IOS. Requisiti hardware: computer d installazione Processore: con velocità di clock pari a 2 gigahertz (Ghz) o superiore RAM: 512 megabytes (MB) Disco rigido: 1,5 gigabytes (GB) di spazio disponibile Altri: tastiera e mouse oppure dispositivo di puntamento compatibile. Requisiti software: computer d installazione.net Framework 2.0 Microsoft Data Access Components (MDAC) 2.8 o successivi Accesso a MSDE/SQL Server 2000 o successivi. Requisiti software: computer sottoposti a scansione Scansione log degli eventi Windows: il servizio di registro remoto deve risultare abilitato. Per maggiori informazioni, consultare l Appendice 2 del presente manuale. il servizio di controllo (audit) di Windows deve risultare abilitato. Per maggiori informazioni, consultare l Appendice 2 del presente manuale. Scansione log W3C: le cartelle sorgenti devono essere accessibili tramite le condivisioni Windows. Scansione Syslog: poiché GFI EventsManager comprende un server Syslog interno, è necessario configurare le sorgenti o mittenti Syslog affinché inviino i propri messaggi Syslog al computer o indirizzo IP su cui è installato GFI EventsManager. Aggiornamento da una versione precedente I sottosistemi tecnologici di elaborazione ed operativi alla base della creazione di GFI EventsManager sono diversi da quelli di precedenti versioni quali GFI LANguard Security Event Log Monitor. Di conseguenza, non è possibile importare o eseguire l aggiornamento a GFI EventsManager 7 da una versione precedente. NOTA: è ancora possibile eseguire GFI EventsManager sullo stesso computer su cui è installato GFI LANguard Security Event Log Manager. Non entreranno in conflitto tra di loro. 20 Installazione GFI EventsManager