Willkommen zur dritten Lektion des Kurses . In wir haben das Layout eingerichtet, das für die Laborarbeiten benötigt wird. In dieser Lektion werden wir die grundlegenden Prinzipien der Protokollbearbeitung auf , die Ereignis-Handler kennenlernen und die Mechanismen zum Schutz der Protokolle betrachten. Der theoretische Teil sowie die vollständige Videoaufnahme der Lektion befinden sich hinter dem Link.
Um Protokolle von Geräten zu sammeln, müssen diese im FortiAnalyzer registriert werden. Es gibt zwei Registrierungsoptionen.
- Die erste Option besteht darin, die Funktion „Protokolle an FortiAnalyzer senden“ auf dem zu registrierenden Gerät zu aktivieren und die IP-Adresse anzugeben. Danach wird eine Registrierungsanforderung an FortiAnalyzer gesendet. Der Administrator muss die erhaltene Anfrage bestätigen oder ablehnen. Wenn die Technologie der Administrationsdomänen aktiviert ist, kann FortiGate sowohl zum Haupt-ADOM (der „root“ heißt und den wir in der vorherigen Lektion verwendet haben) als auch zu einem selbst angelegten ADOM, das für FortiGate-Geräte gedacht ist, hinzugefügt werden.
- Die zweite Option ist der sogenannte Device Registration Wizard. Die Registrierung des Geräts erfolgt direkt auf dem FortiAnalyzer. Für die Registrierung sind Informationen über das zu registrierende Gerät erforderlich: die Seriennummer, die IP-Adresse, der Gerätetyp und die Version des Betriebssystems. Wenn die Datenverifizierung erfolgreich ist, wird das Gerät zur Liste des FortiAnalyzer hinzugefügt. Ist die Technologie der administrativen Domänen aktiviert, wird das Gerät automatisch in der entsprechenden administrativen Domäne registriert. Wenn Sie mehrere solcher administrativen Domänen erstellt haben, müssen Sie das Gerät über die administrative Domäne registrieren, in die Sie es hinzufügen möchten.
Jedes Gerät generiert Protokolle verschiedener Typen. Die Haupttypen von Protokollen, die von Geräten des Unternehmens Fortinet generiert werden können, sind in der Abbildung unten dargestellt.
Wir haben bereits im letzten Unterricht über die anfängliche Verarbeitung von Protokollen gesprochen, aber ich denke, es ist sinnvoll, das Gedächtnis aufzufrischen. Protokolle, die an den FortiAnalyzer gesendet werden, werden komprimiert und in einer Log-Datei gespeichert. Wenn diese Datei eine bestimmte Größe erreicht, wird sie überschrieben und archiviert. Solche Protokolle werden als archiviert bezeichnet. Sie gelten als Offline-Protokolle, da sie nicht in Echtzeit analysiert werden können. Zum Ansehen sind sie nur im RAW-Format verfügbar. Die Datenschutzrichtlinie im administrativen Bereich legt fest, wie lange diese Protokolle im Speicher des FortiAnalyzer aufbewahrt werden.
Gleichzeitig werden die Protokolle in der SQL-Datenbank indiziert, um Analysen zu unterstützen. Diese Protokolldaten werden in FortiAnalyzer in Echtzeit mit Hilfe der Mechanismen Log View, FortiView und Reports analysiert. Die Datenschutzrichtlinie im administrativen Bereich legt fest, wie lange diese Protokolle im Speicher des FortiAnalyzer aufbewahrt werden. Nachdem diese Protokolldaten aus dem Speicher des FortiAnalyzer gelöscht wurden, können sie als archivierte Protokolle verbleiben, was jedoch von der Datenschutzrichtlinie im administrativen Bereich abhängt.
Der Prozess der Protokollverarbeitung ist schematisch im folgenden Bild dargestellt.
Wenn die Protokolle auf das Gerät übertragen werden, überprüfen sie die Ereignisverarbeiter. Diese ermöglichen es, interessante Ereignisse anhand vordefinierter Bedingungen zu verfolgen. Die Bedingungen werden für die in den RAW-Protokollen enthaltenen Parameter festgelegt. In dem System gibt es für jede administrative Domäne einen Satz vordefinierter Ereignisse, jedoch können bei Bedarf auch eigene Ereignisverarbeiter erstellt werden. Der Hauptvorteil der Ereignisverarbeiter besteht darin, dass das System bei Auftreten interessanter Ereignisse Benachrichtigungen versenden kann — an E-Mail oder Syslog-Server ebenso über SNMP. Dies ermöglicht eine recht schnelle Reaktion auf Ereignisse, die im Netzwerk auftreten.
Jetzt sprechen wir über den Schutz von Logs. Da in Logs wichtige Informationen über das Geschehen im Netzwerk gespeichert werden, müssen sie sowohl vor möglichen Verlusten durch verschiedene Ausfälle als auch vor externer Kompromittierung geschützt werden. Die erste Technologie, die hilft, Logs im Falle verschiedener Ausfälle zu schützen, ist RAID. Sie ermöglicht es, den Speicherplatz aus verfügbaren Festplatten in mehrere logische Segmente aufzuteilen, sodass bei einem Ausfall einer oder mehrerer Festplatten (je nach RAID-Typ) keine Daten verloren gehen. Die grundlegenden RAID-Typen, die in FortiAnalyzer verwendet werden können, sind im folgenden Bild dargestellt.
- RAID 0 verteilt Informationen auf 2 oder mehr Festplatten. Das Hauptziel ist Geschwindigkeit und Leistung. Bei einem Ausfall einer oder mehrerer Festplatten ist der gesamte Festplattenspeicher betroffen;
- RAID 1 verteilt Kopien von Informationen auf 2 oder mehr Festplatten. Wenn eine Festplatte ausfällt, funktioniert der Festplattenspeicher weiterhin normal;
- RAID 5 verteilt die Informationen auf mehrere Festplatten und reserviert in jeder so genannten 'Informationskette' eine Festplatte für Wiederherstellungsdaten. Wenn eine Festplatte ausfällt, bleibt das RAID funktionsfähig.
- RAID 6 funktioniert ähnlich, jedoch sind bereits zwei Festplatten für die Wiederherstellungsdaten reserviert.
- RAID 10 kombiniert die Optionen von RAID 0 und RAID 1. So kann die Arbeit mit den Informationen fortgesetzt werden, selbst wenn zwei Festplatten ausfallen (jeweils eine aus jedem RAID, andernfalls kann die Information nicht mehr erfasst werden).
- RAID 50 vereint die Funktionalitäten von RAID 0 und RAID 5. In diesem Fall bleibt die stabile Nutzung der Informationen gewährleistet, auch wenn in jedem RAID 5 eine Festplatte ausfällt.
- RAID 60 kombiniert die Funktionalitäten von RAID 0 und RAID 6. In diesem Fall bleibt die stabile Nutzung der Informationen gewährleistet, auch wenn in jedem RAID 6 zwei Festplatten ausfallen.
Der nächste Mechanismus sind die Log-Backups. Es gibt mehrere Optionen für Backups: über das Menü Log View, wo ein bestimmter Filter verwendet werden kann, um die benötigten Protokolle zu speichern, oder Log Browse, von wo die gespeicherten Log-Dateien heruntergeladen werden können. Außerdem gibt es die Möglichkeit, Log-Backups auf externe Server über die CLI-Schnittstelle zu erstellen.
Ein weiterer Mechanismus, der hilft, wichtige Informationen in den Protokollen zu schützen, ist die Redundanz. Auch hier stehen mehrere Optionen zur Verfügung.
- Die erste Option besteht darin, dass die Geräte die Logs an zwei FortiAnalyzer senden – einer von ihnen ist der Hauptanalyzer, der andere der Backup-Analyzer.
- Die zweite Methode haben wir bereits in der letzten Lektion besprochen – ein FortiAnalyzer arbeitet im Sammelmodus und sammelt Protokolle von verschiedenen Geräten. Nach einem festgelegten Zeitplan werden die gesammelten Protokolle an den FortiAnalyzer gesendet, der im Analyzer-Modus arbeitet. Falls der zweite ausfällt, kann der Collector die Protokolle an einen anderen FortiAnalyzer weiterleiten.
- Und die dritte Option ist die Übertragung der Logs vom FortiAnalyzer auf externe Server, zum Beispiel auf Syslog. In diesem Fall erfolgt die Übertragung der Protokolle in Echtzeit.
Zum Schutz der Logs vor Kompromittierung werden zwei Hauptmechanismen eingesetzt:
- Verschlüsselung des Datenübertragungskanals zwischen dem FortiAnalyzer und anderen Geräten;
- Schutz der Protokolle vor Manipulation durch Hinzufügen einer Prüfziffer.
Im Video-Tutorial wird das oben behandelte theoretische Material präsentiert, sowie praktische Aspekte der Arbeit mit Protokollen – deren Filterung, Anzeige in verschiedenen Modi und die Einrichtung von Ereignis-Handlern. Viel Spaß beim Anschauen!
Im nächsten Unterricht werden wir die Aspekte der Berichterstellung im Detail betrachten. Um nichts zu verpassen, abonnieren Sie unser .
. Sie können auch die Aktualisierungen auf den folgenden Ressourcen verfolgen:
Quelle: habr.com
