Dobrý den! Vítejte na deváté lekci kurzu . Na Probrali jsme základní mechanismy kontroly přístupu uživatelů k různým zdrojům. Nyní před námi stojí jiný úkol — musíme analyzovat chování uživatelů v síti a nastavit sběr dat, která mohou pomoci při vyšetřování různých bezpečnostních incidentů. V této lekci se proto podíváme na mechanismus logování a reportování. K tomu nám poslouží FortiAnalyzer, který jsme nasadili na začátku kurzu. Potřebná teorie a video lekce jsou k dispozici pod odkazem.
V FortiGate se logy dělí na tři typy: logy o provozu, logy událostí a logy zabezpečení. Ty se dále dělí na podtypy.
Logy o provozu zaznamenávají informace o toku provozu, jako jsou požadavky a odpovědi, pokud existují. Tento typ obsahuje podtypy Forward, Local a Sniffer.
Podtyp Forward obsahuje informace o provozu, který FortiGate buď přijal, nebo odmítl podle politiky firewallu.
Podtyp Local obsahuje informace o provozu přímo z IP adresy FortiGate a z IP adres, ze kterých je prováděna správa. Například — připojení k webovému rozhraní FortiGate.
Podtyp Sniffer obsahuje logy provozu, který byl zachycen pomocí zrcadlení provozu.
Logy událostí obsahují systémové nebo administrativní události, jako jsou — přidání nebo změna parametrů, ustanovení a ukončení VPN tunelů, události dynamického směrování a tak dále. Všechny podtypy jsou znázorněny na obrázku níže.
A třetí typ představuje logy zabezpečení. Do těchto logů se zaznamenávají události spojené s viry, návštěvami zakázaných obsahů, používáním zakázaných aplikací a tak dále. Kompletní seznam je také znázorněn na obrázku níže.
Logs can be stored in different locations — both on the FortiGate itself and externally. Storing logs on FortiGate is considered local logging. Depending on the device, logs can be stored either in the device's flash memory or on a hard drive. Typically, mid-range models have a hard drive. Models with a hard drive can be easily distinguished — they have a '1' at the end. For example, the FortiGate 100E does not come with a hard drive, while the FortiGate 101E does.
Younger and older models usually do not have a hard drive. In such cases, flash memory is used to store the logs. However, it should be noted that constant log writing to flash memory can reduce its efficiency and lifespan. Therefore, log writing to flash memory is disabled by default. It is recommended to enable it only for logging events during the resolution of specific issues.
With intensive log writing, whether to a hard drive or flash memory, the device's performance will decrease.
It is quite common to store logs on remote servers. FortiGate can store logs on Syslog servers, on FortiAnalyzer, or FortiManager. Additionally, the FortiCloud cloud service can also be used for log storage.
Syslog is a server for centralized log storage from network devices.
FortiCloud is a subscription-based security management and log storage service. It allows for remote log storage and the creation of corresponding reports. If you have a relatively small network, using this cloud service may be a better solution than purchasing additional hardware. There is a free version of FortiCloud that allows for one week of log storage. After purchasing a subscription, logs can be stored for up to a year.
FortiAnalyzer and FortiManager are external log storage devices. Since they all share the same operating system — FortiOS — integration of FortiGate with these devices is straightforward.
Je však třeba poznamenat rozdíly mezi zařízeními FortiAnalyzer a FortiManager. Hlavním cílem FortiManageru je centralizované řízení několika zařízení FortiGate — proto je kapacita paměti pro ukládání logů na FortiManageru značně menší než na FortiAnalyzeru (pokud samozřejmě porovnáváme modely ze stejného cenového segmentu).
Hlavním cílem FortiAnalyzeru je právě sběr a analýza logů. Proto se právě jeho použitím budeme dále zabývat v praxi.
Veškerá teorie, stejně jako praktická část, jsou prezentovány v tomto video výkladu:
V následující lekci se podíváme na klíčové aspekty spojené s administrací zařízení FortiGate. Abyste ji nezmeškali, sledujte aktualizace na následujících kanálech:
Zdroj: habr.com
