{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Introduktion v6.4. Arbejde med logs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nVelkommen til den tredje lektion i kurset FortiAnalyzer Introduktion<\/a><\/noindex>. P\u00e5 den forrige lektion<\/a><\/noindex> har vi implementeret den n\u00f8dvendige skabelon til at udf\u00f8re laboratoriearbejde. I denne lektion vil vi gennemg\u00e5 grundprincipperne for arbejde med logs p\u00e5 FortiAnalyzer<\/a><\/noindex>, vi vil l\u00e6re om h\u00e6ndelsesbehandlere samt se p\u00e5 mekanismerne til beskyttelse af logs. Den teoretiske del samt den komplette videooptagelse af lektionen findes under kat. <\/a><\/noindex><\/p>\n

For at kunne indsamle logs fra enheder, skal de registreres p\u00e5 FortiAnalyzer. Der er to muligheder for registrering.<\/p>\n

    \n
  1. Den f\u00f8rste mulighed er, at der aktiveres en indstilling \"send logs til FortiAnalyzer\" p\u00e5 den registrerende enhed, og dens IP-adresse angives. Derefter sendes der en registreringsanmodning til FortiAnalyzer for denne enhed. Administratoren skal bekr\u00e6fte eller afvise den modtagne anmodning. Hvis teknologien med administrative dom\u00e6ner er aktiveret, kan FortiGate tilf\u00f8jes til enten det prim\u00e6re ADOM (som hedder root, og som vi arbejdede med i den forrige lektion) eller til et selvoprettet ADOM, der er beregnet til FortiGate-enheder. <\/li>\n
  2. Den anden mulighed er den s\u00e5kaldte Device Registration Wizard. Registreringen af enheden sker direkte p\u00e5 FortiAnalyzer. For registreringen kr\u00e6ves oplysninger om den registrerende enhed - serienummer, IP-adresse, enhedstype og version af operativsystemet. Hvis datavalideringen er vellykket, tilf\u00f8jes enheden til listen over FortiAnalyzer. Hvis teknologien med administrative dom\u00e6ner er aktiveret, registreres enheden automatisk i det passende administrative dom\u00e6ne. Hvis du har oprettet flere s\u00e5danne administrative dom\u00e6ner, skal enheden registreres fra det administrative dom\u00e6ne, som du \u00f8nsker at tilf\u00f8je den til. <\/li>\n<\/ol>\n

    \nHver enhed genererer logs af forskellige typer. De prim\u00e6re typer logs, som Fortinet-enheder kan generere, er vist i figuren nedenfor. <\/p>\n

    \"3.
    \n
    \nVi har allerede talt om den indledende behandling af logs i den forrige lektion, men jeg tror, det er v\u00e6rd at friske hukommelsen op. Logs, der sendes til FortiAnalyzer, komprimeres og gemmes i en logfil. N\u00e5r denne fil n\u00e5r en bestemt st\u00f8rrelse, overskrives den og archiveres. Disse logs kaldes arkiverede logs. De betragtes som offline-logs, da de ikke kan analyseres i realtid. De er kun tilg\u00e6ngelige til visning i RAW-format. Datapolitikken i det administrative dom\u00e6ne bestemmer, hvor l\u00e6nge disse logs opbevares i FortiAnalyzers hukommelse. <\/p>\n

    Sammen med dette indekseres logs i SQL-databasen for at underst\u00f8tte analysen. Disse logs analyseres i FortiAnalyzer i realtid ved hj\u00e6lp af mekanismer som Log View, FortiView og Reports. Datapolitikken i det administrative dom\u00e6ne bestemmer, hvor l\u00e6nge disse logs opbevares i FortiAnalyzers hukommelse. Efter at disse logs er blevet slettet fra FortiAnalyzers hukommelse, kan de forblive i form af arkiverede logs, men det afh\u00e6nger af datapolitikken i det administrative dom\u00e6ne. <\/p>\n

    Processen for logbehandling er skematisk pr\u00e6senteret p\u00e5 billedet nedenfor. <\/p>\n

    \"3.
    \n
    \nN\u00e5r logs ankommer til enheden, bliver de kontrolleret af h\u00e6ndelsesbehandlere. De g\u00f8r det muligt at spore interessante h\u00e6ndelser ved hj\u00e6lp af forudindstillede betingelser. Betingelserne er knyttet til de parametre, der findes i RAW-format-lagene. I systemet findes der et s\u00e6t forudindstillede h\u00e6ndelser for hvert administrativt dom\u00e6ne, men det er muligt at oprette dine egne h\u00e6ndelsesbehandlere efter behov. Den prim\u00e6re fordel ved h\u00e6ndelsesbehandlere er, at systemet kan sende meddelelser, n\u00e5r der opst\u00e5r interessante h\u00e6ndelser - til e-mail eller syslog-servere via SNMP. Dette muligg\u00f8r en hurtig reaktion p\u00e5 h\u00e6ndelser, der opst\u00e5r i netv\u00e6rket. <\/p>\n

    \"3.
    \n
    \nLad os tale om logbeskyttelse. Da vigtige oplysninger om netv\u00e6rket opbevares i logfilerne, skal de beskyttes mod mulig tab som f\u00f8lge af forskellige fejl samt mod ekstern kompromittering. Den f\u00f8rste teknologi, der kan hj\u00e6lpe med at beskytte logfiler i tilf\u00e6lde af forskellige fejl, er RAID. Den g\u00f8r det muligt at opdele det tilg\u00e6ngelige diskplads i flere logiske segmenter, s\u00e5 dataene ikke g\u00e5r tabt, hvis en eller flere diske fejler (afh\u00e6ngigt af typen af RAID). De prim\u00e6re RAID-typer, der kan bruges i FortiAnalyzer, er vist p\u00e5 billedet nedenfor.<\/p>\n

    \"3.
    \n<\/p>\n