{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Erste Schritte v6.4. Arbeiten mit Logs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nWillkommen zu der dritten Lektion des Kurses FortiAnalyzer Erste Schritte<\/a><\/noindex>. Auf der in der vorherigen Lektion<\/a><\/noindex> wir haben das Layout bereitgestellt, das f\u00fcr die Durchf\u00fchrung der Laborarbeiten erforderlich ist. In dieser Lektion werden wir die grundlegenden Prinzipien der Arbeit mit Protokollen auf FortiAnalyzer<\/a><\/noindex>, uns mit Ereignis-Handlern vertrautmachen und auch die Schutzmechanismen f\u00fcr Protokolle betrachten. Der theoretische Teil sowie die vollst\u00e4ndige Aufzeichnung des Videounterrichts sind unter dem Link zu finden. <\/a><\/noindex><\/p>\n

Um Protokolle von Ger\u00e4ten zu sammeln, m\u00fcssen diese bei FortiAnalyzer registriert werden. Es gibt zwei Registrierungsm\u00f6glichkeiten.<\/p>\n

    \n
  1. Die erste M\u00f6glichkeit besteht darin, dass auf dem registrierenden Ger\u00e4t die Option \u201eProtokolle an FortiAnalyzer senden\u201c aktiviert wird und die IP-Adresse angegeben wird. Danach wird an FortiAnalyzer eine Anfrage zur Registrierung dieses Ger\u00e4ts gesendet. Der Administrator muss die eingegangene Anfrage best\u00e4tigen oder ablehnen. Falls die Technologie der administrativen Dom\u00e4nen aktiviert ist, kann FortiGate sowohl im Haupt-ADOM (das als root bezeichnet wird und mit dem wir in der letzten Lektion gearbeitet haben) als auch in einem selbst erstellten ADOM hinzugef\u00fcgt werden, der f\u00fcr FortiGate-Ger\u00e4te bestimmt ist. <\/li>\n
  2. Die zweite M\u00f6glichkeit ist der sogenannte Device Registration Wizard. Die Registrierung des Ger\u00e4ts erfolgt direkt auf dem FortiAnalyzer. F\u00fcr die Registrierung sind Informationen \u00fcber das registrierende Ger\u00e4t erforderlich \u2013 Seriennummer, IP-Adresse, Ger\u00e4tetyp und Version des Betriebssystems. Wenn die Datenverifizierung erfolgreich verl\u00e4uft, wird das Ger\u00e4t der Liste des FortiAnalyzer hinzugef\u00fcgt. Wenn die Technologie der administrativen Dom\u00e4nen aktiviert ist, wird das Ger\u00e4t automatisch im passenden administrativen Dom\u00e4nen registriert. Falls Sie mehrere solche administrativen Dom\u00e4nen erstellt haben, m\u00fcssen Sie das Ger\u00e4t in dem administrativen Dom\u00e4nen registrieren, in das Sie es hinzuf\u00fcgen m\u00f6chten. <\/li>\n<\/ol>\n

    \nJedes Ger\u00e4t erzeugt Protokolle verschiedener Typen. Die Haupttypen von Protokollen, die von Ger\u00e4ten des Unternehmens Fortinet generiert werden k\u00f6nnen, sind im Bild unten dargestellt. <\/p>\n

    \"3.
    \n
    \n\u00dcber die initiale Verarbeitung von Logs haben wir bereits im letzten Unterricht gesprochen, aber ich denke, es ist ratsam, das Ged\u00e4chtnis aufzufrischen. Die Logs, die auf den FortiAnalyzer gelangen, werden komprimiert und in eine Log-Datei gespeichert. Wenn diese Datei eine bestimmte Gr\u00f6\u00dfe erreicht, wird sie \u00fcberschrieben und archiviert. Solche Logs werden als archivierte Logs bezeichnet. Sie gelten als Offline-Logs, da sie nicht in Echtzeit analysiert werden k\u00f6nnen. Zur Ansicht sind sie nur im RAW-Format verf\u00fcgbar. Die Datenaufbewahrungsrichtlinie im administrativen Bereich bestimmt, wie lange solche Logs im Speicher des FortiAnalyzers aufbewahrt werden. <\/p>\n

    Zur gleichen Zeit werden die Logs in der SQL-Datenbank indiziert, um Analysen zu unterst\u00fctzen. Diese Logs werden in FortiAnalyzer in Echtzeit mit Hilfe der Mechanismen Log View, FortiView und Reports analysiert. Die Datenaufbewahrungsrichtlinie im administrativen Bereich bestimmt, wie lange solche Logs im Speicher des FortiAnalyzers aufbewahrt werden. Nachdem diese Logs aus dem Speicher des FortiAnalyzers gel\u00f6scht wurden, k\u00f6nnen sie als archivierte Logs verbleiben, aber das h\u00e4ngt von der Datenaufbewahrungsrichtlinie im administrativen Bereich ab. <\/p>\n

    Schematisch ist der Prozess der Log-Verarbeitung im folgenden Bild dargestellt. <\/p>\n

    \"3.
    \n
    \nWenn die Logs auf das Ger\u00e4t gelangen, werden sie von den Ereignis-Handlern \u00fcberpr\u00fcft. Diese erm\u00f6glichen es, interessante Ereignisse anhand vordefinierter Bedingungen nachzuvollziehen. Die Bedingungen werden auf die Parameter angewendet, die in den RAW-Logs enthalten sind. Im System gibt es f\u00fcr jeden administrativen Bereich eine Reihe vordefinierter Ereignisse, jedoch k\u00f6nnen bei Bedarf auch eigene Ereignis-Handler erstellt werden. Der Hauptvorteil der Ereignis-Handler besteht darin, dass das System bei Auftreten interessanter Ereignisse Benachrichtigungen senden kann \u2013 per E-Mail oder an Syslog-Server auch \u00fcber SNMP. Dies erm\u00f6glicht eine relativ schnelle Reaktion auf Ereignisse im Netzwerk. <\/p>\n

    \"3.
    \n
    \nLassen Sie uns nun \u00fcber den Schutz von Protokollen sprechen. Da in Protokollen wichtige Informationen \u00fcber das Geschehene im Netzwerk gespeichert sind, m\u00fcssen sie sowohl vor m\u00f6glichem Verlust durch verschiedene St\u00f6rungen als auch vor externer Kompromittierung gesch\u00fctzt werden. Die erste Technologie, die dabei hilft, Protokolle im Falle verschiedener St\u00f6rungen zu sch\u00fctzen, ist RAID. Sie erm\u00f6glicht es, den Speicherplatz auf verf\u00fcgbaren Festplatten in mehrere logische Segmente aufzuteilen, sodass bei einem Ausfall einer oder mehrerer Festplatten (je nach Art des RAID) keine Daten verloren gehen. Die wichtigsten RAID-Typen, die im FortiAnalyzer verwendet werden k\u00f6nnen, sind im folgenden Bild dargestellt.<\/p>\n

    \"3.
    \n<\/p>\n