先决条件

• EventLog Analyzer 技术人员计算机。
• EventLog Analyzer 代理主机。

端口用途：

• 这些端口默认用于管理员 Server 与受管 Server 之间，以及代理与 Server 之间的通信。
• 端口可由用户自定义。可接受的取值范围为 1024—65535。

端口用途：

• EventLog Analyzer 中的 Elasticsearch Server 使用此端口。EventLog Analyzer Server 与 SEM 可在同一台 Server 上共存。
• 该端口可由用户自定义。可接受的取值范围为 1024—65535。

端口用途:

• 这些 UDP 端口由 EventLog Analyzer 在内部用于代理与Server之间的通信。
• 该端口可由用户自定义。可接受的取值范围为 1024—65535。
• 该内部端口绑定到 localhost，无需在防火墙中开放端口。

端口使用:

• 使用 PostgreSQL/MySQL 数据库端口以连接 EventLog Analyzer 中的 PostgreSQL/MySQL 数据库。
• 无需打开防火墙端口，因为内部端口绑定到 localhost。

用户组：

• 事件日志读取者
• 分布式 COM 用户

用户权限：

在 WMI 属性中的 root\cimv2：

• 启用帐户
• 远程启用
• 读取安全性。

防火墙权限：

• 预定义规则：
  Windows 管理规范 (WMI)

用户权限：

• 端口可由用户自定义。

请确保在 sshd_config 文件中包含下述算法。

文件位置：/etc/ssh/sshd_config

密钥交换（KEX）： diffie-hellman-group1-sha1, diffie-hellman-group-exchange-sha256, diffie-hellman-group14-sha1, diffie-hellman-group14-sha256 , diffie-hellman-group15-sha512, diffie-hellman-group16-sha512, diffie-hellman-group17-sha512, diffie-hellman-group18-sha512 , ecdh-sha2-nistp256, ecdh-sha2-nistp384, ecdh-sha2-nistp52

加密算法： aes128cbc, aes128ctr, aes192cbc, aes192ctr, aes256cbc, aes256ctr, arcfour128, arcfour256, blowfishcbc, tripledescbc

消息认证码（MAC）： hmacmd5, hmacmd596, hmacsha1, hmacsha196, hmacsha256, hmacsha512

*这将是 所有 Linux 通信的必需项。

• Linux 代理安装
• Linux 代理管理与通信
• 配置自动 SysLog 转发
• Linux MYSQL Server 发现

用户权限：

对 'rsyslog' 或 'syslog' 服务的重启权限。

用户许可：

• 应为文件（/etc/ rsyslog.conf 或 /etc/syslog.conf）启用 "rw" 权限。
• SSH 通信的权限

用户权限：

• 用户可以自定义端口。

用户权限：

• 应启用对 IIS 日志文件夹的读取访问权限。
• 应启用对 system 32/inetsrv 的权限
• 需要管理员共享权限，例如：Admin$、c$

环境权限：

• 在代理主机和 Server 机器上都应开放 8400 端口。

用户权限：

• 应启用对 \\<ipaddress>\Admin$\TEMP\EventLogAgent 中文件的读取、写入和修改权限。
• 访问“Remote Registry”服务
• 至少应为 winreg 注册表项授予读取控制权限。（计算机 \HKEY_LOCAL _MACHINE\ SYSTEM\ CurrentContro lSet\Control\ SecurePipe Servers\winreg）。
• 读/写注册表项 - SOFTWARE\\ Wow6432Node \\ZOHO Corp\\EventLog Analyzer\\（或）SOFTWARE \\ZOHO Corp \\EventLog Analyzer\\。
• 应可访问远程 services.msc

Sudo 用户权限：

• 传输文件需要对 /opt/ManageEngine/ 具有 "rwx" 权限。
• SSH 通信所需的权限

用户权限：

• 具备 SFTP 权限，以便将文件传输到 /opt/Manage Engine/EventL ogAnalyzer_ Agent 和 /etc /audisp/plugins.d
• 对 auditd 的服务启动/停止/重启权限。
• 用于 SSH 通信的权限

用户权限：

• 网络访问：不允许匿名不允许匿名枚举 SAM 帐户和共享。
• 有时，连接到不同的工作组，即使只是查看共享资源也需要凭据。

用户权限：

• 应启用 FTP Server 的 SAuthentication。

用户权限：

• 用户应具有对 Active Directory 域对象的读取权限。
• 应具有在 ADS_ SECURE_AUTHENTICATION 模式下运行 LDAP 查询的权限。

用户权限：

• 用户应具有对 Active Directory 域对象的读取权限。
• 应授予在 ADS_ SECURE_ AUTHENTI CATION 模式下运行 WinNT 查询的权限。

用户权限:

• 至少应为 winreg 注册表项授予读取控制权限。

用户权限：

• 可配置为使用动态 TCP 端口进行通信。

端口用途::

• 获取会响应 SNMP ping 的在线、已启用 SNMP 的 IP 设备列表。

端口用途：

• 服务器消息块（SMB）协议使用此端口读取日志文件。

用户权限：

• 需要 WMI 权限，才能通过 SFTP 查找 MySQL Server 的配置文件。

用户权限：

• 使用 SFTP 读取 MySQL Server 配置文件的权限。
• SSH 通信的权限

用户组：

• 分布式 COM 用户

用户权限：

在 WMI 属性中针对 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

环境权限：

• 计算机不应安装 EventLog Analyzer Server。

用户组:

• 分布式 COM 用户

用户权限:

在 WMI 属性中的 root\cim v2:

• 执行方法
• 启用账户
• 远程启用
• 读取安全

环境权限:

• 该计算机不应安装 EventLog Analyzer Server

用户组：

• 分布式 COM 用户

用户权限：

在 WMI 属性中的 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

环境权限：

• 用户应对脚本中的共享路径拥有读、写和修改访问权限。

用户组：

• 分布式 COM 用户

用户权限：

在 WMI 属性中的 root\cim v2：

• 执行方法
• 启用账户
• 远程启用
• 读取安全性

环境权限：

• 远程注册表服务应处于运行状态。
• 对 HKEY_LOCAL_ MACHINE\SYSTEM\ CurrentControlSet\ Services\USBSTOR 具有完全控制权限

用户组：

• 分布式 COM 用户
• 管理员

用户权限：

在 WMI 属性中的 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

用户组：

• 分布式 COM 用户

用户权限：

在 WMI 属性中针对 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全

用户组:

• 分布式 COM 用户

用户权限:

在 WMI 属性中的 root\cim v2:

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

用户组：

• 分布式 COM 用户

用户权限：

在 WMI 属性中的 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全

用户组：

• 分布式 COM 用户

用户权限

在 WMI 属性中的 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

环境权限：

• "AllowRemoteRPC" 在 HKEY_ LOCAL_MACHINE\ SYSTEM\Current ControlSet\Control\Terminal Server 中应为 1。

用户权限：

• 该用户在 AD 中应具有 "Delete" 权限，以删除其他帐户。
• 要删除的用户不应勾选 "Protect Object from accidental deletion"。

用户权限：

• 所提供的用户帐户应启用 "Read"、"Write"、"modify owners" 和 "modify permissions" 权限。

• 所提供的用户帐户应启用 "Read"、"Write"、"modify owners" 和 "modify permissions" 权限。

用户组：

• 分布式 COM 用户

用户特权：

• 作为操作系统的一部分运行
• 作为批处理作业登录
• 作为服务登录
• 替换进程级令牌。

用户权限：

在属性中针对 root\cim v2：

• 执行方法
• 启用帐户
• 远程启用
• 读取安全性

环境权限：

• 该用户应对共享路径具有读取、写入和修改访问权限。

• 用户的 sudo 权限

• 一个“connect”套接字权限（针对目标 URL 的主机/端口组合），或一个允许此请求的“URL 权限”。

• 对指定 CSV 文件的读取权限。

端口可由用户自定义

附加权限：https://www.manageengine.com/products/eventlog/help/StandaloneManagedServer-UserGuide/IncidentManagement/incident-workflow.html#ciscoCredentials

端口可由用户自定义

附加权限: https://www.manageengine.com/products/eventlog/help/StandaloneManagedServer-UserGuide/IncidentManagement/incident-workflow.html#fortigateCredentials

端口可由用户自定义

附加权限： https://www.manageengine.com/products/eventlog/help/StandaloneManagedServer-UserGuide/IncidentManagement/incident-workflow.html#paloAltoCredentials

端口可由用户自定义

附加权限: https://www.manageengine.com/products/eventlog/help/StandaloneManagedServer-UserGuide/IncidentManagement/incident-workflow.html#sophosXGCredentials

端口可自定义

附加权限： https://www.manageengine.com/products/eventlog/help/StandaloneManagedServer-UserGuide/IncidentManagement/incident-workflow.html#fortigateCredentials

用户权限：

• 受管 Server 与管理 Server 通过默认的 webServer 端口进行通信。
• 默认端口号为 8400。
• 用户可以自定义该端口。

用户权限：

• 管理 Server 与受管 Server 通过默认的 webServer 端口进行通信
• 用户可以自定义端口。取值应在 1024 到 65535 之间。

用户权限：

• 受管 Server 通过 SSH 8080 将归档文件传输到 管理 Server。
• 用户可以自定义端口。取值应在 1024 到 65535 之间。

为获取 "Log360 Cloud Threat Analytics" 提要，将使用以下 URL

• https://log360cloud.manageengine.com/
• https://log360feeds.manageengine.com/