{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Einstieg v6.4. Arbeiten mit Logs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nWillkommen zur dritten Lektion des Kurses FortiAnalyzer Erste Schritte<\/a><\/noindex>. In der letzten Lektion<\/a><\/noindex> wir haben das Layout eingerichtet, das f\u00fcr die Laborarbeiten ben\u00f6tigt wird. In dieser Lektion werden wir die grundlegenden Prinzipien der Protokollbearbeitung auf FortiAnalyzer<\/a><\/noindex>, die Ereignis-Handler kennenlernen und die Mechanismen zum Schutz der Protokolle betrachten. Der theoretische Teil sowie die vollst\u00e4ndige Videoaufnahme der Lektion befinden sich hinter dem Link. <\/a><\/noindex><\/p>\n

Um Protokolle von Ger\u00e4ten zu sammeln, m\u00fcssen diese im FortiAnalyzer registriert werden. Es gibt zwei Registrierungsoptionen.<\/p>\n

    \n
  1. Die erste Option besteht darin, die Funktion \u201eProtokolle an FortiAnalyzer senden\u201c auf dem zu registrierenden Ger\u00e4t zu aktivieren und die IP-Adresse anzugeben. Danach wird eine Registrierungsanforderung an FortiAnalyzer gesendet. Der Administrator muss die erhaltene Anfrage best\u00e4tigen oder ablehnen. Wenn die Technologie der Administrationsdom\u00e4nen aktiviert ist, kann FortiGate sowohl zum Haupt-ADOM (der \u201eroot\u201c hei\u00dft und den wir in der vorherigen Lektion verwendet haben) als auch zu einem selbst angelegten ADOM, das f\u00fcr FortiGate-Ger\u00e4te gedacht ist, hinzugef\u00fcgt werden. <\/li>\n
  2. Die zweite Option ist der sogenannte Device Registration Wizard. Die Registrierung des Ger\u00e4ts erfolgt direkt auf dem FortiAnalyzer. F\u00fcr die Registrierung sind Informationen \u00fcber das zu registrierende Ger\u00e4t erforderlich: die Seriennummer, die IP-Adresse, der Ger\u00e4tetyp und die Version des Betriebssystems. Wenn die Datenverifizierung erfolgreich ist, wird das Ger\u00e4t zur Liste des FortiAnalyzer hinzugef\u00fcgt. Ist die Technologie der administrativen Dom\u00e4nen aktiviert, wird das Ger\u00e4t automatisch in der entsprechenden administrativen Dom\u00e4ne registriert. Wenn Sie mehrere solcher administrativen Dom\u00e4nen erstellt haben, m\u00fcssen Sie das Ger\u00e4t \u00fcber die administrative Dom\u00e4ne registrieren, in die Sie es hinzuf\u00fcgen m\u00f6chten. <\/li>\n<\/ol>\n

    \nJedes Ger\u00e4t generiert Protokolle verschiedener Typen. Die Haupttypen von Protokollen, die von Ger\u00e4ten des Unternehmens Fortinet generiert werden k\u00f6nnen, sind in der Abbildung unten dargestellt. <\/p>\n

    \"3.
    \n
    \nWir haben bereits im letzten Unterricht \u00fcber die anf\u00e4ngliche Verarbeitung von Protokollen gesprochen, aber ich denke, es ist sinnvoll, das Ged\u00e4chtnis aufzufrischen. Protokolle, die an den FortiAnalyzer gesendet werden, werden komprimiert und in einer Log-Datei gespeichert. Wenn diese Datei eine bestimmte Gr\u00f6\u00dfe erreicht, wird sie \u00fcberschrieben und archiviert. Solche Protokolle werden als archiviert bezeichnet. Sie gelten als Offline-Protokolle, da sie nicht in Echtzeit analysiert werden k\u00f6nnen. Zum Ansehen sind sie nur im RAW-Format verf\u00fcgbar. Die Datenschutzrichtlinie im administrativen Bereich legt fest, wie lange diese Protokolle im Speicher des FortiAnalyzer aufbewahrt werden. <\/p>\n

    Gleichzeitig werden die Protokolle in der SQL-Datenbank indiziert, um Analysen zu unterst\u00fctzen. Diese Protokolldaten werden in FortiAnalyzer in Echtzeit mit Hilfe der Mechanismen Log View, FortiView und Reports analysiert. Die Datenschutzrichtlinie im administrativen Bereich legt fest, wie lange diese Protokolle im Speicher des FortiAnalyzer aufbewahrt werden. Nachdem diese Protokolldaten aus dem Speicher des FortiAnalyzer gel\u00f6scht wurden, k\u00f6nnen sie als archivierte Protokolle verbleiben, was jedoch von der Datenschutzrichtlinie im administrativen Bereich abh\u00e4ngt. <\/p>\n

    Der Prozess der Protokollverarbeitung ist schematisch im folgenden Bild dargestellt. <\/p>\n

    \"3.
    \n
    \nWenn die Protokolle auf das Ger\u00e4t \u00fcbertragen werden, \u00fcberpr\u00fcfen sie die Ereignisverarbeiter. Diese erm\u00f6glichen es, interessante Ereignisse anhand vordefinierter Bedingungen zu verfolgen. Die Bedingungen werden f\u00fcr die in den RAW-Protokollen enthaltenen Parameter festgelegt. In dem System gibt es f\u00fcr jede administrative Dom\u00e4ne einen Satz vordefinierter Ereignisse, jedoch k\u00f6nnen bei Bedarf auch eigene Ereignisverarbeiter erstellt werden. Der Hauptvorteil der Ereignisverarbeiter besteht darin, dass das System bei Auftreten interessanter Ereignisse Benachrichtigungen versenden kann \u2014 an E-Mail oder Syslog-Server ebenso \u00fcber SNMP. Dies erm\u00f6glicht eine recht schnelle Reaktion auf Ereignisse, die im Netzwerk auftreten. <\/p>\n

    \"3.
    \n
    \nJetzt sprechen wir \u00fcber den Schutz von Logs. Da in Logs wichtige Informationen \u00fcber das Geschehen im Netzwerk gespeichert werden, m\u00fcssen sie sowohl vor m\u00f6glichen Verlusten durch verschiedene Ausf\u00e4lle als auch vor externer Kompromittierung gesch\u00fctzt werden. Die erste Technologie, die hilft, Logs im Falle verschiedener Ausf\u00e4lle zu sch\u00fctzen, ist RAID. Sie erm\u00f6glicht es, den Speicherplatz aus verf\u00fcgbaren Festplatten in mehrere logische Segmente aufzuteilen, sodass bei einem Ausfall einer oder mehrerer Festplatten (je nach RAID-Typ) keine Daten verloren gehen. Die grundlegenden RAID-Typen, die in FortiAnalyzer verwendet werden k\u00f6nnen, sind im folgenden Bild dargestellt.<\/p>\n

    \"3.
    \n<\/p>\n