Hej, venner! På har vi lært grundlæggende om at arbejde med logs på FortiAnalyzer. I dag vil vi gå videre og se nærmere på de vigtigste aspekter af rapporter: hvad rapporter er, hvad de indeholder, hvordan man kan redigere eksisterende og oprette nye rapporter. Som sædvanlig starter vi med lidt teori, og derefter vil vi arbejde med rapporterne i praksis. Under artiklen findes den teoretiske del af lektionen samt en video, der dækker både teori og praksis.
Hovedformålet med rapporter er at samle store mængder data fra logs, og på baggrund af de tilgængelige indstillinger præsentere al den indsamlede information i en læsbar form: i form af grafer, tabeller, diagrammer. Nedenfor vises en liste over de forudindstillede rapporter for FortiGate-enheder (ikke alle rapporter er med, men jeg tror, at det allerede fremgår af denne liste, at man selv 'out of the box' kan opbygge mange interessante og nyttige rapporter).
Men rapporter præsenterer kun den ønskede information i en læsbar form — de indeholder ingen anbefalinger til næste skridt i forhold til de opdagede problemer.
De vigtigste komponenter i rapporter er diagrammer. Hver rapport består af et eller flere diagrammer. Diagrammer definerer, hvilken information der skal hentes fra logs, og i hvilken form den skal præsenteres. Datasæt ansvarer for informationens udtræk — SELECT-forespørgsler til databasen. Det er i datasættene, at det præcist bestemmes, hvorfra og hvilken information der skal hentes. Når de nødvendige data fremkommer som resultat af forespørgslen, anvendes indstillinger for format (eller visning). Resultatet er, at dataene præsenteres i tabeller, grafer eller diagrammer af forskellige typer.
I SELECT-forespørgslen anvendes forskellige kommandoer, som anvendes til at bestemme betingelserne for den hentede information. Det vigtigste at huske er, at disse kommandoer skal anvendes i en bestemt rækkefølge, og den rækkefølge vil blive præsenteret nedenfor:
FROM — den eneste kommando, der er obligatorisk i en SELECT-forespørgsel. Den angiver, hvilken type logs informationen skal hentes fra;
WHERE — ved hjælp af denne kommando angives betingelserne for logs (f.eks. et bestemt navn på en applikation/angreb/virus);
GROUP BY — denne kommando gør det muligt at gruppere information efter en eller flere ønskede kolonner;
ORDER BY — med denne kommando kan du sortere udgangen af informationen efter rækker;
LIMIT — begrænser antallet af poster, der returneres af forespørgslen.
FortiAnalyzer indeholder forudinstallerede skabeloner til rapporter. Skabelonerne fungerer som en skabelon for rapporten — de indeholder rapportteksten, dens diagrammer og makroer. Med skabeloner kan du oprette nye rapporter, hvis de forudinstallerede kræver minimale ændringer. Dog kan de forudinstallerede rapporter ikke redigeres eller slettes — de kan klones, og på kopien kan de nødvendige ændringer foretages. Der er også mulighed for at oprette egne skabeloner til rapporter.
Nogle gange kan du støde på følgende situation: den forudinstallerede rapport passer til opgaven, men ikke helt. Måske skal der tilføjes information, eller omvendt — fjernes. I så fald er der to muligheder: at klone og ændre skabelonen eller selve rapporten. Her skal man tage hensyn til flere faktorer.
Skabelonerne fungerer som en skabelon for rapporten, de indeholder diagrammer og rapporttekst, ikke mere. Selve rapporterne indeholder derimod, udover den såkaldte "skabelon", forskellige rapportparametre: sprog, skrifttype, tekstfarve, genereringsperiode, filtrering af information osv. Derfor, hvis der kun er behov for at foretage ændringer i rapportens skabelon, kan du bruge skabelonerne. Hvis der er behov for yderligere konfiguration af rapporten, kan du redigere selve rapporten (eller rettere sagt en kopi af den).
På baggrund af skabelonerne kan du oprette flere ensartede rapporter, så hvis du skal lave mange lignende rapporter, er det bedre at bruge skabeloner.
I det tilfælde, hvor de forudinstallerede skabeloner og rapporter ikke passer til dig, kan du oprette både en ny skabelon og en ny rapport.
Derudover er der mulighed for at konfigurere videresendelse af rapporter til enkelte administratorer via e-mail eller eksportere dem til eksterne servere. Dette gøres ved hjælp af Output Profile-mekanismen. I hvert administrativt domæne konfigureres separate Output Profiles. Ved konfiguration af Output Profile defineres følgende parametre:
- Formater afsendte rapporter — PDF, HTML, XML eller CSV;
- Stedet, hvor rapporterne vil blive sendt. Dette kan være administratorens e-mail (for at dette kan lade sig gøre, skal du forbinde FortiAnalyzer til e-mailserveren, hvilket vi diskuterede i forrige lektion). Det kan også være en ekstern filserver — FTP, SFTP, SCP;
- Du kan angive, hvad der skal ske med de lokale rapporter, der er tilbage på enheden efter afsendelse — om de skal bevares eller slettes.
Hvis nødvendigt, er der mulighed for at fremskynde genereringen af rapporter. Lad os se på to metoder:
Ved oprettelsen af en rapport bygger FortiAnalyzer diagrammer ud fra de forudkompilerede SQL-cachedata, kendt som hcache. Hvis hcache-data ikke er oprettet, når rapporten starter, skal systemet først oprette hcache og derefter bygge rapporten. Dette øger tiden til rapportgenerering. Men hvis nye logfiler til rapporten ikke er modtaget, vil tidsforbruget til rapportgenerering ved genproduktion falde betydeligt, da hcache-data allerede er kompileret.
For at forbedre ydeevnen ved generering af rapporter kan du aktivere automatisk oprettelse af hcache i rapportindstillingerne. I så fald opdateres hcache automatisk, når nye logfiler modtages. Et eksempel på indstillingen er vist på billedet nedenfor.
Denne proces bruger mange systemressourcer (især for rapporter, der kræver lang tid til databehandling), så efter aktivering er det nødvendigt at overvåge tilstanden af FortiAnalyzer: er belastningen steget betydeligt, og er der kritisk forbrug af systemressourcer. Hvis FortiAnalyzer ikke kan håndtere belastningen, er det bedre at deaktivere denne proces.
Det skal også bemærkes, at automatisk opdatering af hcache-data som standard er aktiveret for planlagte rapporter.
Den anden metode til at fremskynde rapportgenerering er gruppering:
Hvis de samme (eller lignende) rapporter genereres for forskellige FortiGate-enheder (eller andre Fortinet-enheder), kan du betydeligt fremskynde genereringsprocessen ved at gruppere dem. Grupering af rapporter kan reducere antallet af hcache-tabeller og fremskynde tiden for automatisk caching, hvilket resulterer i hurtigere rapportgenerering.
I eksemplet vist på billedet nedenfor grupperes rapporterne, hvis titel indeholder strengen Security_Report, efter parameteren Device ID.
I video lektionen præsenteres det teoretiske materiale, der er behandlet ovenfor, samt de praktiske aspekter af arbejdet med rapporter - fra oprettelse af egne datasæt og diagrammer, skabeloner og rapporter til opsætning af videresendelse af rapporter til administratorer. God fornøjelse med at se!
I næste lektion vil vi se på forskellige aspekter af administrationen af FortiAnalyzer samt licenseringssystemet. For at sikre, at du ikke går glip af den, kan du tilmelde dig vores .
Du kan også følge opdateringer på følgende ressourcer:
Kilde: habr.com
