前提条件

• UEBA技术员机器。

• 默认端口用于管理服务器与浏览器之间的通信。
• 用户可自定义端口号，有效值范围为1024-65535。

• UEBA服务器

• UEBA中的Elasticsearch服务器使用此端口。
• 用户可自定义端口号，有效值范围为9230-9290。

• 使用 PostgresSQL/MSSQL 数据库端口连接 UEBA 中的 PostgreSQL 数据库。
• 由于内部端口绑定至本地主机，无需在防火墙上开放该端口。

• 用于连接 UEBA 中 Redis 数据库的端口。
• 该值的有效范围为8179-8189。

• 通过HTTPS利用SSL增强服务器与客户端之间的安全性。
• 用户可自定义端口号，有效值范围为1024-65535。

• 从集成产品中获取实时事件。
• 该值的有效范围为61616-61626。

• 事件日志分析器技术人员机器。
• 事件日志分析器代理机。

端口使用情况：

• 这些端口默认用于管理服务器与受管服务器之间，以及代理与服务器之间的通信。
• 用户可自定义端口。有效值范围为1024–65535。

端口使用情况：

• 事件日志分析器中的Elasticsearch服务器使用此端口。事件日志分析器服务器与SEM可共存于同一服务器。
• 用户可自定义端口。有效值范围为1024–65535。

• 用于连接EventLog Analyzer中Redis的Redis端口。
• 由于内部端口绑定至本地主机，无需在防火墙上开放该端口。

端口使用情况：

• 这些 UDP 端口由 EventLog Analyzer 内部用于代理与服务器之间的通信。
• 用户可自定义端口值，有效范围为1024至65535。
• 绑定到本地主机的内部端口，无需打开防火墙端口。

端口使用情况：

• 使用 PostgreSQL/MySQL 数据库端口连接 EventLog Analyzer 中的 PostgreSQL/MySQL 数据库。
• 由于内部端口绑定到本地主机，因此无需打开防火墙端口。

用户组：

• 事件日志读取器
• 分布式 COM 用户

用户权限：

在WMI属性中为root\cimv2设置：

• 启用帐户
• 远程启用
• 读取安全性。

防火墙权限：

• 预定义规则：
  Windows管理工具（WMI）

用户权限：

• 端口可由用户自定义。

确保以下算法存在于 sshd_config 文件中。

文件位置：/etc/ssh/sshd_config

密钥交换（KEX）：diffie-hellman-group1-sha1, diffie-hellman-group-exchange-sha256, diffie-hellman-group14-sha1, diffie-hellman-group14-sha256, diffie-hellman-group15-sha512, diffie-hellman-group16-sha512, diffie-hellman-group17-sha512, diffie-hellman-group18-sha512 , ecdh-sha2-nistp256, ecdh-sha2-nistp384, ecdh-sha2-nistp52

密码套件：aes128cbc, aes128ctr, aes192cbc, aes192ctr, aes256cbc, aes256ctr, arcfour128, arcfour256, blowfishcbc, tripledescbc

消息认证码：hmacmd5、hmacmd596、hmacsha1、hmacsha196、hmacsha256、hmacsha512

*此项为所有Linux通信的必备要求。

• Linux 代理安装
• Linux 代理管理与通信
• 配置自动系统日志转发
• Linux MYSQL 伺服器偵測

用户权限：

'rsyslog' 或 'syslog' 服务的重启权限。

用户权限：

• 应为文件（/etc/rsyslog.conf 或 /etc/syslog.conf）启用 "rw" 权限。
• SSH通信权限

用户权限：

• 用户可自定义端口。

用户权限：

• 应启用对 IIS 日志文件夹的读取权限。
• 应启用系统 32/inetsrv 的权限
• 需要管理员共享权限，例如：Admin$、c$

环境权限：

• 代理机和服务器机均需开放8094、8095端口。

用户权限：

• 应启用对 \\<ipaddress>\Admin$\TEMP\EventLogAgent 文件夹中文件的读取、写入和修改权限。
• 访问"远程注册表"服务
• 至少应授予 winreg 注册表项的读取控制权限（计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipe Servers\winreg）。
• 读取/写入注册表键 - SOFTWARE\\ Wow6432Node \\ZOHO Corp\\EventLog Analyzer\\ (或) SOFTWARE \\ZOHO Corp \\EventLog Analyzer\\。
• 需访问远程 services.msc

Sudo用户权限：

• 文件传输需为/opt/ManageEngine/目录授予"rwx"权限。
• SSH 通信权限

用户权限：

• SFTP 权限，用于将文件传输到 /opt/Manage Engine/EventL ogAnalyzer_ Agent 和 /etc /audisp/plugins.d
• 审计服务启动/停止/重启权限。
• SSH通信权限

用户权限：

• 网络访问：禁止匿名用户禁止对 SAM 账户和共享资源进行匿名枚举。
• 有时，连接到不同的工作组甚至需要凭据才能查看共享资源。

用户权限：

• 应启用 FTP 服务器的 SAuthentication。

用户权限：

• 用户应具有对 Active Directory 域对象的读取权限。
• 应存在以 ADS_SECURE_AUTHENTICATION 模式运行 LDAP 查询的权限。

用户权限：

• 用户应具有对 Active Directory 域对象的读取权限。
• 应授予在 ADS_SECURE_AUTHENTICATION 模式下运行 WinNT 查询的权限。

用户权限：

• winreg 注册表键至少应被授予读取控制权限。

用户权限：

• 可配置为使用动态TCP端口进行通信。

端口使用情况：

• 获取响应SNMP ping的活动SNMP启用IP设备列表。

端口使用情况：

• 服务器消息块（SMB）协议使用此端口读取日志文件。

用户权限：

• 需要WMI权限才能通过SFTP查找MySQL服务器配置文件。

用户权限：

• 使用 SFTP 读取 MySQL 服务器配置文件的权限。
• SSH通信权限

用户组：

• 分布式 COM 用户

用户权限：

对于 root\cim v2 在 WMI 属性中：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

环境权限：

• 计算机不应包含已安装事件日志分析器的服务器。

用户组：

• 分布式 COM 用户

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全

环境权限：

• 计算机不应包含已安装事件日志分析器的服务器

用户组：

• 分布式 COM 用户

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全

环境权限：

• 用户应在脚本中共享路径中拥有读取、写入和修改权限。

用户组：

• 分布式 COM 用户

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用账户
• 远程启用
• 读取安全性

环境权限：

• 远程注册表服务应处于运行状态。
• 对 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR 的完全控制权限

用户组：

• 分布式 COM 用户
• 管理员

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

用户组：

• 分布式 COM 用户

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用账户
• 远程启用
• 读取安全性

用户组：

• 分布式 COM 用户

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用账户
• 远程启用
• 读取安全性

用户组：

• 分布式 COM 用户

用户权限：

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用账户
• 远程启用
• 读取安全性

用户组：

• 分布式 COM 用户

用户权限

对于根\cim v2 在WMI属性中：

• 执行方法
• 启用账户
• 远程启用
• 读取安全性

环境权限：

• "AllowRemoteRPC" 值应为 1，路径为 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server。

用户权限：

• 用户应在AD中拥有"删除"权限才能删除其他账户。
• 要删除的用户不应勾选"保护对象免遭意外删除"。

用户权限：

• 提供的用户账户应启用"读取"、"写入"、"修改所有者"和"修改权限"权限。

• 提供的用户账户应启用"读取"、"写入"、"修改所有者"和"修改权限"权限。

用户组：

• 分布式 COM 用户

用户权限：

• 作为操作系统的一部分运行
• 以批处理作业身份登录
• 以服务身份登录
• 替换进程级令牌

用户权限：

对于 root\cim v2 在 属性中：

• 执行方法
• 启用账户
• 远程启用
• 读取安全

环境权限：

• 用户应具有对共享路径的读取、写入和修改权限。

• 用户需具备sudo权限

• 对目标 URL 的主机/端口组合的“连接”套接字权限，或允许此请求的“URL 权限”。

• 对指定CSV文件的读取权限。

端口用户可自定义

附加权限：https://www.manageengine.cn/products/eventlog/help/threat-intelligence-and-analytics/threat-response/incident-management/playbook-management.html#ciscoCredentials

端口用户可自定义

附加权利：https://www.manageengine.cn/products/eventlog/help/threat-intelligence-and-analytics/threat-response/incident-management/playbook-management.html#fortigateCredentials

端口用户可自定义

附加权限：https://www.manageengine.cn/products/eventlog/help/threat-intelligence-and-analytics/threat-response/incident-management/playbook-management.html#paloAltoCredentials

端口用户可自定义

附加权限：https://www.manageengine.cn/products/eventlog/help/threat-intelligence-and-analytics/threat-response/incident-management/playbook-management.html#sophosXGCredentials

端口用户可自定义

附加权限：https://www.manageengine.cn/products/eventlog/help/threat-intelligence-and-analytics/threat-response/incident-management/playbook-management.html#fortigateCredentials

用户权限：

• 管理服务器通过默认Web服务器端口与管理服务器通信。
• 默认端口号为 8095。
• 用户可自定义该端口。

用户权限：

• 管理服务器通过默认Web服务器端口与受管服务器通信
• 用户可自定义端口，数值应在1024至65535之间。

用户权限：

• 受管伺服器透過SSH 8080將歸檔檔案傳輸至管理伺服器。
• 用户可自定义端口，数值应在1024至65535之间。

为获取"Log360云威胁分析"数据源，将使用以下URL

• https://log360cloud.manageengine.com/
• https://log360feeds.manageengine.com/