Hello Modafokers! - Dando continuidade ao post anterior sobre auditoria de compartilhamentos, iremos explanar neste post algumas configuracoes para comunicacao do seu cliente Windows com o servidor loganalyser, para isso iremos imaginar o seguinte ambiente. SRV-LOG: Servidor Rsyslog+loganalyser. Clientes: Estacoes de trabalho Window$. Agent: http://www.syslogserver.com/syslogagent.html // http://www.winsyslog.com/en/ Obs: Eu recomendo os agent's do syslogserver por que a do winsyslog e trial. :) Vamos la com seu servidor de log pronto e ja configurado para receber os dados suponhamos que seu servidor do loganalyser seja o endereco : 192.168.0.120 , e a estacao de trabalho que voce esta monitorando seja 192.168.0.130 ok? entao temos: Servidor log : 192.168.0.120Cliente com agent: 192.168.0/24 Na pagina do syslogserver faca download dos agent's de 32 e 64 bits, e importante que voce ja deixe os dois baixados para economizar tempo caso voce nao saiba qual arquitetura esta a sua maquina Window$ da qual deseja monitorar. http://www.syslogserver.com/download.html descompacte em c:\ da estacao de trabalho windows e veras alguns arquivos como este: EXECUTE COMO ADMINISTRADOR o arquivo : SyslogAgentConfig e voce vai cair em uma tela como esta: 192.168.0.120 = Servidor para onde cliente ira mandar os log's filtrados. 514 = porta do servico da qual envia logs para o servidor. Enable forwarding of event logs: application / 562,565,566,836 = esta configuracao ira pegar apenas os registros do windows que possuem as numeracoes 562,565,566,836 que forem emitidas por uma aplicacao. Application logs: IIS nome do servico da qual deseja ser monitorado. Obs: nos testes que realizei por exemplo em "event logs" voce pode colocar somente application ele ira trazer todos os registros. Explanacao: Esta aplicacao e responsavel por coletar os filtros de log e enviar para servidor. Como ele funciona? voce seta em SyslogAgentConfig todos os parametros que necessita monitorar e esta aplicacao pega as config's que voce setou e coloca em SyslogAgent.exe que instala como servico na estacao de trabalho do cliente, por isso e importante executar o SyslogAgentConfig como administrador. pode crer? :) Voce tera resultado como este, ja com todos os log's sendo enviado para seu servidor loganalyser. NetADHICT: A Tool for Understanding Network Traffic Hajime Inoue - ATC-NY, Ithaca, NY Dana Jansens, Abdulrahman Hijazi, and Anil Somayaji -Carleton University, Ottawa, Canada Pp. 39-47 of the Proceedings of the 21st Large Installation System Administration Conference (LISA'07)(Dallas, TX: USENIX Association, November 11-16,2007). AbstractComputer and network administrators are often confused oruncertain about the behavior of their networks. Traditional analysisusing IP ports, addresses, and protocols are insufficient tounderstand modern computer networks. Here we describe NetADHICT, atool for better understanding the behavior of network traffic. The keyinnovation of NetADHICT is that it can identify and present ahierarchical decomposition of traffic that is based upon the learnedstructure of both packet headers and payloads. In particular, itdecomposes traffic without the use of protocol dissectors or otherapplication-specific knowledge. Through an AJAX-based web interface,NetADHICT allows administrators to see the high-level structure ofnetwork traffic, monitor how traffic within that structure changesover time, and analyze the significance of those changes. NetADHICTallows administrators to observe global patterns of behavior and thenfocus on the specific packets associated with