{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. Introducci\u00f3n a FortiAnalyzer v6.4. Trabajando con logs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nBienvenido al tercer m\u00f3dulo del curso Introducci\u00f3n a FortiAnalyzer<\/a><\/noindex>. En la lecci\u00f3n pasada<\/a><\/noindex> hemos desplegado el dise\u00f1o necesario para llevar a cabo los trabajos de laboratorio. En esta lecci\u00f3n, revisaremos los principios b\u00e1sicos del trabajo con registros en FortiAnalyzer<\/a><\/noindex>, nos familiarizaremos con los controladores de eventos y tambi\u00e9n examinaremos los mecanismos de protecci\u00f3n de los registros. La parte te\u00f3rica y la grabaci\u00f3n completa del video de la lecci\u00f3n est\u00e1n disponibles en el enlace. <\/a><\/noindex><\/p>\n

Para poder recopilar registros de los dispositivos, es necesario registrarlos en FortiAnalyzer. Existen dos opciones para el registro.<\/p>\n

    \n
  1. La primera opci\u00f3n consiste en activar en el dispositivo que se va a registrar la opci\u00f3n 'enviar registros a FortiAnalyzer' e ingresar su direcci\u00f3n IP. Luego, se env\u00eda una solicitud de registro de este dispositivo a FortiAnalyzer. El administrador debe aceptar o rechazar la solicitud recibida. Si la tecnolog\u00eda de dominios administrativos est\u00e1 activada, FortiGate puede a\u00f1adirse tanto al ADOM principal (denominado root, que es el que hemos utilizado en la lecci\u00f3n anterior) como a un ADOM creado por el usuario, destinado a dispositivos FortiGate. <\/li>\n
  2. La segunda opci\u00f3n es el llamado Asistente de Registro de Dispositivos. El registro del dispositivo se realiza directamente en FortiAnalyzer. Para el registro, se necesita informaci\u00f3n sobre el dispositivo que se va a registrar: n\u00famero de serie, direcci\u00f3n IP, tipo de dispositivo y versi\u00f3n del sistema operativo. Si la verificaci\u00f3n de los datos es exitosa, el dispositivo se a\u00f1ade a la lista de FortiAnalyzer. Si la tecnolog\u00eda de dominios administrativos est\u00e1 activada, el dispositivo se registrar\u00e1 autom\u00e1ticamente en el dominio administrativo correspondiente. Si has creado varios dominios administrativos similares, en este caso, es necesario registrar el dispositivo desde el dominio administrativo en el que deseas a\u00f1adirlo. <\/li>\n<\/ol>\n

    \nCada dispositivo genera registros de diversos tipos. Los principales tipos de registros que pueden generar los dispositivos de Fortinet se presentan en la imagen de abajo. <\/p>\n

    \"3.
    \n
    \nYa hemos hablado sobre el procesamiento inicial de registros en la lecci\u00f3n pasada, pero creo que es \u00fatil refrescar la memoria. Los registros que llegan al FortiAnalyzer se comprimen y se guardan en un archivo de registro. Cuando este archivo alcanza un tama\u00f1o espec\u00edfico, se sobrescribe y se archiva. Estos registros se llaman registros archivados. Se consideran registros fuera de l\u00ednea, ya que no se pueden analizar en tiempo real. Para su visualizaci\u00f3n, solo est\u00e1n disponibles en formato RAW. La pol\u00edtica de retenci\u00f3n de datos en el dominio administrativo determina cu\u00e1nto tiempo se almacenar\u00e1n estos registros en la memoria del FortiAnalyzer. <\/p>\n

    Al mismo tiempo, los registros se indexan en la base de datos SQL para soportar la anal\u00edtica. Estos registros se analizan en FortiAnalyzer en tiempo real utilizando los mecanismos de Log View, FortiView e Informes. La pol\u00edtica de retenci\u00f3n de datos en el dominio administrativo determina cu\u00e1nto tiempo se almacenar\u00e1n estos registros en la memoria del FortiAnalyzer. Despu\u00e9s de que estos registros sean eliminados de la memoria del FortiAnalyzer, pueden permanecer como registros archivados, pero esto depende de la pol\u00edtica de retenci\u00f3n de datos en el dominio administrativo. <\/p>\n

    Esquem\u00e1ticamente, el proceso de procesamiento de registros se presenta en la ilustraci\u00f3n a continuaci\u00f3n. <\/p>\n

    \"3.
    \n
    \nCuando los registros llegan al dispositivo, son verificados por los controladores de eventos. Estos permiten rastrear eventos de inter\u00e9s mediante condiciones preconfiguradas. Las condiciones se establecen en los par\u00e1metros contenidos en los registros en formato RAW. En el sistema, para cada dominio administrativo, existe un conjunto de eventos preestablecidos, aunque si es necesario, se pueden crear controladores de eventos personalizados. La principal ventaja de los controladores de eventos es que, cuando ocurren eventos de inter\u00e9s, el sistema puede enviar notificaciones \u2014 por correo electr\u00f3nico o servidores syslog, tambi\u00e9n a trav\u00e9s de SNMP. Esto permite reaccionar r\u00e1pidamente a los eventos que ocurren en la red. <\/p>\n

    \"3.
    \n
    \nAhora hablemos sobre la protecci\u00f3n de los registros. Dado que los registros contienen informaci\u00f3n importante sobre lo que est\u00e1 sucediendo en la red, deben protegerse tanto de posibles p\u00e9rdidas debido a fallos como de compromisos externos. La primera tecnolog\u00eda que ayudar\u00e1 a proteger los registros en caso de diversos fallos es el RAID. Permite dividir el espacio de los discos disponibles en varios segmentos l\u00f3gicos de tal manera que, si uno o varios discos fallan (dependiendo del tipo de RAID), los datos no se pierdan. Los tipos principales de RAID que se pueden usar en FortiAnalyzer se presentan en la imagen a continuaci\u00f3n.<\/p>\n

    \"3.
    \n<\/p>\n