Hallo, Freunde! Wir freuen uns, Sie in unserem neuen Kurs "FortiAnalyzer Getting Started" willkommen zu heißen. In diesem Kurs haben wir bereits die Funktionalität von FortiAnalyzer behandelt, jedoch nur oberflächlich. Jetzt möchte ich detaillierter über dieses Produkt, seine Ziele, Aufgaben und Möglichkeiten sprechen. Dieser Kurs soll nicht so umfangreich werden wie der vorherige, aber ich hoffe, dass er interessant und lehrreich sein wird.
Da die Lektion vollständig theoretisch war, haben wir uns entschlossen, sie Ihnen auch im Artikel-Format anzubieten.
Im Rahmen dieses Kurses werden wir folgende Punkte behandeln:
- Allgemeine Informationen über das Produkt, seine Bestimmung, die zu lösenden Aufgaben und die wichtigsten Merkmale
- Wir werden ein Layout vorbereiten, wobei wir die Anfangskonfiguration von FortiAnalyzer ausführlich betrachten werden
- Wir werden den Mechanismus zur Speicherung, Verarbeitung und Filterung von Protokollen kennenlernen, um deren bequeme Suche zu ermöglichen, und zudem den Mechanismus FortiView untersuchen, der visuelle Informationen über den Status des Netzwerks in Form verschiedener Diagramme und anderer Widgets darstellt
- Wir werden den Prozess der Erstellung bestehender Berichte betrachten, sowie lernen, eigene Berichte zu erstellen und bestehende Berichte zu bearbeiten
- Wir werden die wichtigsten Fragen rund um die Administration von FortiAnalyzer behandeln
- Wir werden das Lizenzierungsschema noch einmal besprechen – ich habe bereits im 11. Kurs erklärt, aber wie man so schön sagt, Wiederholung ist die Mutter der Weisheit.
Das Hauptziel von FortiAnalyzer ist die zentrale Speicherung von Protokollen von einem oder mehreren Geräten des Unternehmens Fortinet sowie deren Verarbeitung und Analyse. Dies ermöglicht Sicherheitsadministratoren, verschiedene Netzwerk- und Sicherheitsereignisse von einem zentralen Punkt aus zu überwachen, schnell die benötigten Informationen aus Protokollen und Widgets zu erhalten und Berichte über alle oder interessierende Geräte zu erstellen.
Die Liste der Geräte, von denen FortiAnalyzer Protokolle empfangen und analysieren kann, ist im Bild unten dargestellt.
FortiAnalyzer weist drei wichtige Merkmale auf – Berichterstattung, Benachrichtigungen, Archivierung. Lassen Sie uns jedes einzelne näher betrachten.
Berichtserstattung – Berichte bieten eine anschauliche Darstellung von Netzereignissen, Sicherheitsereignissen und verschiedenen Aktivitäten, die auf unterstützten Geräten stattfinden. Der Berichtmechanismus sammelt die erforderlichen Daten aus vorhandenen Protokollen und präsentiert sie in einem lesbaren und analysierbaren Format. Mit Hilfe von Berichten können Sie schnell die notwendigen Informationen über die Leistung der Geräte, die Sicherheit des Netzwerks, die am häufigsten besuchten Ressourcen und vieles mehr erhalten. Es gibt viele Variationen. Berichte können auch zur Analyse des Zustands des Netzwerks und der unterstützten Geräte über einen längeren Zeitraum verwendet werden. Sie sind oft unerlässlich bei der Untersuchung verschiedener Sicherheitsvorfälle.
Benachrichtigungen ermöglichen eine schnelle Reaktion auf verschiedene Bedrohungen, die im Netzwerk auftreten. Das System generiert Benachrichtigungen, wenn Protokolle erscheinen, die vordefinierten Bedingungen entsprechen – wie die Entdeckung eines Virus, die Ausnutzung verschiedener Schwachstellen usw. Diese Benachrichtigungen können im Web-Interface von FortiAnalyzer angezeigt werden, und es ist möglich, ihre Zustellung über das SNMP-Protokoll, an einen Syslog-Server sowie an bestimmte E-Mail-Adressen einzurichten.
Archivierung ermöglicht es, Kopien verschiedener Inhalte, die durch das Netzwerk laufen, auf FortiAnalyzer zu speichern. Dies wird normalerweise in Verbindung mit dem DLP-Mechanismus verwendet, um verschiedene Dateien zu speichern, die unter verschiedene Regeln dieses Mechanismus fallen. Dies kann auch nützlich sein, um verschiedene Sicherheitsvorfälle zu untersuchen.
Eine weitere interessante Funktion ist die Möglichkeit der Verwendung von administrativen Domänen. Diese Technologie ermöglicht es, Gerätgruppen nach verschiedenen Merkmalen zu erstellen – Gerätetypen, geografische Lage usw. Die Erstellung solcher Gerätgruppen verfolgt folgende Ziele:
- Gruppierung von Geräten nach ähnlichen Merkmalen für eine einfachere Überwachung und Verwaltung – zum Beispiel sind die Geräte nach geografischer Lage gruppiert. Sie müssen bestimmte Informationen in den Protokollen für Geräte, die sich in einer Gruppe befinden, finden. Anstatt die Protokolle sorgfältig zu filtern, schauen Sie einfach in die Protokolle der relevanten administrativen Domäne und suchen die benötigten Informationen.
- Zur Abgrenzung des Administrationszugangs kann jeder Administrationsbereich einen oder mehrere Administratoren haben, die nur Zugang zu diesem speziellen Administrationsbereich haben.
- Effizientes Management des Speicherplatzes und der Aufbewahrungspolitiken für Daten von Geräten – anstelle einer einheitlichen Konfiguration für alle Geräte ermöglichen es Administrationsbereiche, passendere Konfigurationen für bestimmte Gerätegruppen festzulegen. Dies kann nützlich sein, wenn Sie mehrere Geräte haben und für eine Gruppe von Geräten die Daten ein Jahr und für eine andere Gruppe drei Jahre aufbewahren müssen. Dementsprechend kann für jede Gruppe entsprechender Speicherplatz zugewiesen werden – für eine Gruppe, die viele Protokolle generiert, mehr Platz und für eine andere Gruppe weniger Platz.
FortiAnalyzer kann in zwei Modus arbeiten – Analyzer und Collector. Der Betriebsmodus wird je nach individuellen Anforderungen und Netzwerk-Topologie gewählt.
Wenn FortiAnalyzer im Modus Analyzer arbeitet, fungiert es als Hauptaggregator für Protokolle von einem oder mehreren Protokollsammlern. Zu den Protokollsammlern gehören sowohl FortiAnalyzer im Collector-Modus als auch andere Geräte, die von FortiAnalyzer unterstützt werden (die Liste wurde oben in der Abbildung angegeben). Dieser Modus wird standardmäßig verwendet.
Wenn FortiAnalyzer im Collector-Modus arbeitet, sammelt es Protokolle von anderen Geräten und leitet sie dann an ein anderes Gerät weiter, wie FortiAnalyzer im Modus Analyzer oder Syslog. Im Collector-Modus kann FortiAnalyzer die meisten Funktionen wie Berichterstattung und Benachrichtigungen nicht nutzen, da sein Hauptziel darin besteht, Protokolle zu sammeln und weiterzuleiten.
Durch den Einsatz mehrerer FortiAnalyzer-Geräte in verschiedenen Modi kann die Leistung gesteigert werden – FortiAnalyzer im Collector-Modus sammelt Protokolle von allen Geräten und leitet sie an den Analyzer zur weiteren Analyse weiter, was es FortiAnalyzer im Analyzer-Modus ermöglicht, die Ressourcen zu schonen, die für den Empfang der Protokolle von vielen Geräten benötigt werden, und sich vollständig auf die Verarbeitung der Protokolle zu konzentrieren.
FortiAnalyzer unterstützt eine deklarative SQL-Abfragesprache für Protokollierung und Berichterstattung. Damit werden Protokolle in lesbarer Form präsentiert. Mit dieser Abfragesprache werden auch verschiedene Berichte erstellt. Für bestimmte Berichterstattungsfunktionen sind grundlegende Kenntnisse in SQL und Datenbanken erforderlich, aber oft ermöglichen die integrierten Funktionen von FortiAnalyzer, darauf zu verzichten. Darauf werden wir stoßen, wenn wir den Berichtmechanismus betrachten.
Der FortiAnalyzer kann in mehreren Varianten bereitgestellt werden. Er kann als separates physisches Gerät oder als virtuelle Maschine präsentiert werden – verschiedene Hypervisoren werden unterstützt, eine vollständige Liste finden Sie in . Er kann auch in spezialisierten Infrastrukturen wie AWS, Azure, Google Cloud und anderen bereitgestellt werden. Die letzte Variante ist FortiAnalyzer Cloud – ein cloudbasierter Dienst, der von Fortinet angeboten wird.
In der nächsten Lektion werden wir ein Layout für zukünftige praktische Arbeiten vorbereiten. Um nichts zu verpassen, abonnieren Sie unser .
Sie können auch den Updates auf folgenden Ressourcen folgen:
Quelle: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish