Hallo, Freunde! Auf haben wir die Grundlagen der Arbeit mit Protokollen auf FortiAnalyzer untersucht. Heute gehen wir einen Schritt weiter und betrachten die grundlegenden Aspekte der Berichterstellung: Was sind Berichte, aus welchen Komponenten bestehen sie, wie kann man bestehende Berichte bearbeiten und neue Berichte erstellen. Wie gewohnt beginnen wir mit etwas Theorie, bevor wir dann in der Praxis an Berichten arbeiten. Im Folgenden finden Sie den theoretischen Teil der Lektion sowie ein Video, das sowohl Theorie als auch Praxis umfasst.
Das Hauptziel von Berichten ist es, groĂe Datenmengen aus den Protokollen zu aggregieren und auf Basis der vorhandenen Einstellungen die gesammelten Informationen in lesbarer Form darzustellen: in Form von Grafiken, Tabellen und Diagrammen. In der Abbildung unten finden Sie eine Liste der vordefinierten Berichte fĂŒr FortiGate-GerĂ€te (nicht alle Berichte sind enthalten, aber ich denke, aus dieser Liste wird bereits ersichtlich, dass selbst âout of the boxâ viele interessante und nĂŒtzliche Berichte erstellt werden können).
Berichte stellen die angeforderten Informationen lediglich in lesbarer Form dar â sie enthalten keine Empfehlungen fĂŒr weitere MaĂnahmen bezĂŒglich der festgestellten Probleme.
Die Hauptbestandteile von Berichten sind Charts. Jeder Bericht besteht aus einem oder mehreren Charts. Charts bestimmen, welche Informationen aus den Protokollen extrahiert werden mĂŒssen und in welchem Format sie dargestellt werden sollen. FĂŒr die Datenextraktion sind DatensĂ€tze verantwortlich â SELECT-Abfragen in der Datenbank. In den DatensĂ€tzen wird genau festgelegt, woher und welche Informationen extrahiert werden sollen. Nachdem die erforderlichen Daten durch die Anfrage zurĂŒckgegeben werden, werden die Formatierungs- (oder Anzeige-) Einstellungen angewendet. Infolgedessen werden die erhaltenen Daten in Tabellen, Grafiken oder in verschiedenen Diagrammtypen aufbereitet.
In der SELECT-Abfrage werden verschiedene Befehle verwendet, mit denen die Bedingungen fĂŒr die extrahierten Informationen festgelegt werden. Am wichtigsten ist, dass diese Befehle in einer bestimmten Reihenfolge angewendet werden mĂŒssen; genau in dieser Reihenfolge werden sie im Folgenden aufgefĂŒhrt:
FROM â der einzige Befehl, der in der SELECT-Abfrage zwingend erforderlich ist. Er gibt den Typ der Protokolle an, aus denen Informationen extrahiert werden mĂŒssen;
WHERE â mit diesem Befehl werden Bedingungen an die Protokolle gestellt (zum Beispiel, ein bestimmter Name einer Anwendung/Attacke/Virus);
GROUP BY â dieser Befehl ermöglicht es, Informationen nach einer oder mehreren interessierenden Spalten zu gruppieren;
ORDER BY â mit diesem Befehl kann die Ausgabe von Informationen nach Zeilen sortiert werden;
LIMIT â begrenzt die Anzahl der durch die Anfrage zurĂŒckgegebenen DatensĂ€tze.
FortiAnalyzer enthĂ€lt vordefinierte Vorlagen fĂŒr Berichte. Vorlagen sind so genannte BerichtsentwĂŒrfe â sie enthalten den Berichtstext, dessen Diagramme und Makros. Mit Hilfe von Vorlagen können neue Berichte erstellt werden, wenn in den vordefinierten nur minimale Ănderungen erforderlich sind. Vordefinierte Berichte können jedoch nicht bearbeitet oder gelöscht werden â sie können kloniert werden, und an der Kopie können die erforderlichen Ănderungen vorgenommen werden. AuĂerdem gibt es die Möglichkeit, eigene Vorlagen fĂŒr Berichte zu erstellen.
Manchmal kann man auf die folgende Situation stoĂen: der vordefinierte Bericht passt zur Aufgabe, aber nicht vollstĂ€ndig. Möglicherweise muss er mit Informationen ergĂ€nzt oder, umgekehrt, Informationen entfernt werden. In diesem Fall gibt es zwei Optionen: die Vorlage oder den Bericht klonen und Ă€ndern. Hier muss man sich auf mehrere Faktoren stĂŒtzen.
Vorlagen sind EntwĂŒrfe fĂŒr Berichte, sie enthalten Diagramme und den Berichtstext, nicht mehr. Die Berichte selbst enthalten neben dem sogenannten "Entwurf" verschiedene Parameter des Berichts: Sprache, Schriftart, Textfarbe, Erzeugungszeitraum, Informationsfilterung und so weiter. Daher, wenn Ănderungen nur am Entwurf des Berichts erforderlich sind, können Vorlagen verwendet werden. Wenn eine zusĂ€tzliche Konfiguration des Berichts notwendig ist, kann der Bericht selbst (oder genauer gesagt, seine Kopie) bearbeitet werden.
Auf der Grundlage von Vorlagen können mehrere Ă€hnliche Berichte erstellt werden, weshalb es vorzuziehen ist, Vorlagen zu verwenden, wenn viele Ă€hnliche Berichte erstellt werden mĂŒssen.
Falls die vordefinierten Vorlagen und Berichte fĂŒr Sie nicht geeignet sind, können sowohl eine neue Vorlage als auch ein neuer Bericht erstellt werden.
AuĂerdem besteht auf dem FortiAnalyzer die Möglichkeit, den Versand von Berichten an einzelne Administratoren per E-Mail oder deren Export auf externe Server einzurichten. Dies geschieht ĂŒber den Mechanismus Output Profile. In jedem administrativen Bereich werden separate Output Profiles konfiguriert. Bei der Konfiguration des Output Profiles werden die folgenden Parameter festgelegt:
- Formate der versandten Berichte â PDF, HTML, XML oder CSV;
- Der Ort, an den die Berichte gesendet werden. Dies kann die E-Mail-Adresse des Administrators sein (dafĂŒr muss FortiAnalyzer mit dem E-Mail-Server verbunden werden, das haben wir im letzten Unterricht besprochen). Es kann auch ein externer Dateiserver â FTP, SFTP, SCP â sein;
- Es kann festgelegt werden, was mit den lokalen Berichten geschehen soll, die nach der Ăbertragung auf dem GerĂ€t verbleiben â sie entweder zu belassen oder zu löschen.
Bei Bedarf gibt es die Möglichkeit, die Generierung von Berichten zu beschleunigen. Wir betrachten zwei Methoden:
Bei der Erstellung eines Berichts erstellt FortiAnalyzer Diagramme aus zuvor kompilierte SQL-Cache-Daten, die als hcache bekannt sind. Wenn die hcache-Daten beim Start des Berichts nicht erstellt wurden, muss das System zuerst die hcache erstellen und dann den Bericht erstellen. Dies erhöht die Zeit zur Erstellung des Berichts. Wenn jedoch keine neuen Protokolle fĂŒr den Bericht empfangen werden, wird die Zeit fĂŒr die erneute Generierung des Berichts erheblich verkĂŒrzt, da die hcache-Daten bereits kompiliert sind.
Um die Leistung der Berichterstellung zu erhöhen, kann die automatische Erstellung von hcache in den Berichtseinstellungen aktiviert werden. In diesem Fall wird hcache automatisch aktualisiert, wenn neue Protokolle eingehen. Ein Beispiel fĂŒr die Einstellung ist im folgenden Bild dargestellt.
Dieser Prozess nutzt eine groĂe Menge an Systemressourcen (insbesondere fĂŒr Berichte, die lange Zeit zur Datensammlung benötigen), daher muss nach der Aktivierung darauf geachtet werden, wie sich der Zustand von FortiAnalyzer verhĂ€lt: Hat die Last stark zugenommen, gibt es eine kritische Ressourcennutzung? Falls FortiAnalyzer mit der Last nicht zurechtkommt, sollte dieser Prozess besser deaktiviert werden.
Es sollte auch erwĂ€hnt werden, dass die automatische Aktualisierung der hcache-Daten standardmĂ€Ăig fĂŒr geplante Berichte aktiviert ist.
Eine zweite Methode zur Beschleunigung der Berichtserstellung ist die Gruppierung:
Wenn dieselben (oder Ă€hnliche) Berichte fĂŒr verschiedene FortiGate-GerĂ€te (oder andere Fortinet-GerĂ€te) erstellt werden, kann der Prozess ihrer Generierung erheblich beschleunigt werden, indem sie gruppiert werden. Die Gruppierung von Berichten kann die Anzahl der hcache-Tabellen verringern und die Zeit des automatischen Cachens beschleunigen, wodurch die Generierung von Berichten schneller wird.
Im Beispiel, das im folgenden Bild dargestellt ist, werden die Berichte, deren Titel die Zeichenfolge Security_Report enthalten, nach dem Parameter GerÀteeintrag gruppiert.
Im Video-Tutorial wird das bereits oben besprochene theoretische Material vorgestellt, und es werden praktische Aspekte der Arbeit mit Berichten behandelt â von der Erstellung eigener DatensĂ€tze und Charts, Vorlagen und Berichten bis hin zur Konfiguration des Versands von Berichten an Administratoren. Viel SpaĂ beim Zuschauen!
Im nÀchsten Unterricht werden wir verschiedene Aspekte der Administration von FortiAnalyzer sowie das Lizenzierungsmodell betrachten. Um nichts zu verpassen, abonnieren Sie unseren .
Sie können auch den Updates auf folgenden Ressourcen folgen:
Quelle: habr.com
