4. FortiAnalyzer Getting Started v6.4. Töö raportitega

Tere, sõbrad! Eelmisel tunnil uurisime FortiAnalyzeri logide põhialuseid. Täna liigume edasi ja vaatleme raportite töö põhiaspekte: mis need raportid on, millest nad koosnevad, kuidas olemasolevaid redigeerida ja uusi luua. Nagu tavaliselt, alustame natuke teooriast, pärast mida töötame raportitega praktikas. Artikli all on esitatud teoreetiline osa tunnist ning ka videotund, mis sisaldab nii teooriat kui praktikat.

Raportite peamine eesmärk on koondada suured andmemahtusid, mis on logides, ja presentiseerida saadud teavet loetaval kujul seadete FortiGate jaoks, kasutades olemasolevaid seadeid: graafikute, tabelite, diagrammide näol. Alloleval joonisel on esitatud FortiGate-seadmete eelnevalt määratud raportite loetelu (seal ei ole kõiki raporteid, kuid ma usun, et juba sellest nimekirjast on näha, et isegi 'karbist välja' on võimalik koostada palju huvitavaid ja kasulikke raporteid).

Aruanded esitlevad ainult nõutud teavet loetaval kujul - need ei sisalda soovitusi edasisteks toiminguteks tuvastatud probleemidega.

Aruannete peamised koostisosad on diagrammid. Iga aruanne koosneb ühest või mitmest diagrammist. Diagrammid määravad, millist teavet logidest tuleb välja tuua ja millises vormingus seda esitada. Teabe väljavõtmise eest vastutavad andmekogud - SELECT-päringud andmebaasi. Just andmekogudes määratakse täpselt, kust ja millist teavet on vajalik välja võtta. Pärast seda, kui päringu tulemuses ilmnevad vajalikud andmed, rakendatakse neile vormindamise (või kuvamise) seadeid. Tulemuseks saadud andmed esitatakse erinevat tüüpi tabelites, diagrammides või graafikutes.

SELECT-päringus kasutatakse erinevaid käske, millega määratakse tingimused väljavõetavale teabele. Kõige olulisem, mida tuleks arvesse võtta, on see, et need käsklused peavad olema rakendatud kindlas järjekorras, just sellises järjekorras need allpool esitatakse:
FROM — ainus käsk, mis on SELECT-päringus kohustuslik. See näitab logitüüpe, millest teavet hankida;
WHERE — selle käsuga määratakse logide tingimused (nt teatud rakenduse/rünnaku/viiruse nimi);
GROUP BY — see käsk võimaldab teavet grupeerida ühe või mitme huvipakkuva veeru alusel;
ORDER BY — selle käsuga saab teabe esitluse ridade kaupa järjestada;
LIMIT — Piirab päringuga tagastatavate kirjeid.

FortiAnalyzer sisaldab eelnevalt määratud aruandeid. Mallid on nii-öelda aruande vorm — need sisaldavad aruande teksti, selle diagramme ja makrosid. Mallide abil saab luua uusi aruandeid, kui eelnevalt määratud eeldavad minimaalset muutmist. Siiski ei saa eelnevaid aruandeid redigeerida ega kustutada — neid saab kloonida ja klooni peale vajalikud muudatused teha. Samuti on võimalus luua oma aruande mallid.

Mõnikord võib tekkida olukord, kus eelnevalt seadistatud raport sobib ülesandele, kuid mitte täielikult. Võib-olla on vajalik lisainfot lisada või hoopis eemaldada. Sellisel juhul on kaks varianti: kloonida ja muuta šablooni või raportit ise. Siin tuleb tugineda mitmele tegurile.

Šabloonid on raporti mallid, need sisaldavad graafikuid ja raporti teksti, mitte enamat. Ise raportid sisaldavad lisaks nn ‘mallile’ ka erinevaid raporti parameetreid: keel, font, teksti värv, genereerimisperiood, teabe filtreerimine ja nii edasi. Seetõttu, kui on vaja teha muudatusi ainult raporti mallis, saab kasutada šabloone. Kui on vajalik raporti täiendav konfiguratsioon, saab redigeerida ise raportit (täpsemalt selle koopiat).

Šabloonide põhjal saab luua mitu sarnast raportit, seega kui tuleb teha palju omavahel sarnaseid rapportes, on eelistatum kasutada šabloone.
Kui eelnevalt seadistatud šabloonid ja raportid ei sobi, on võimalik luua nii uus šabloon kui ka uus raport.

FortiAnalyzer võimaldab seadistada aruannete edastamist eraldi administraatoritele e-posti teel või nende eksportimist välistele serveritele. Selleks kasutatakse Output Profile mehhanismi. Igas administratiivses domeenis seadistatakse eraldi Output Profiles. Output Profile'i konfigureerimisel määratakse järgmised parameetrid:

• Edastatavad aruande vormingud — PDF, HTML, XML või CSV;
• Koht, kuhu aruanded saadetakse. See võib olla administraatori e-posti aadress (selleks on vajalik FortiAnalyzer sidumine meiliserveriga, mida arutasime eelmises õppes). Samuti võib see olla väline failiserver — FTP, SFTP, SCP;
• Võimalik on määrata, mida teha seadmes pärast edastamist jäänud kohalike aruannetega — jäta need alles või eemalda need.

Vajadusel on võimalik aruannete genereerimist kiirendada. Vaatame kahte meetodit:
FortiAnalyzeri aruande loomisel loob süsteem SQL-i vahemälus eeltöödeldud andmetest tuntud kui hcache diagramme. Kui hcache andmed ei loodud aruande koostamise ajal, peab süsteem esmalt hcache'i looma ja seejärel aruande koostama. See pikendab aruande genereerimise aega. Kui siiski uusi logisid aruande jaoks ei saadud, väheneb aruande uus genereerimise aeg oluliselt, kuna hcache andmed on juba eelnevalt töödeldud.

Aruande genereerimise jõudluse parandamiseks on võimalik aktiveerida hcache'i automaatne loomine aruande seadetes. Sel juhul värskendatakse hcache'i automaatselt, kui uusi logisid saabub. Seadistamise näide on toodud alloleval joonisel.

See protsess kasutab palju süsteemiressursse (eriti aruannete puhul, kus andmete kogumine nõuab pikka aega), seetõttu on pärast aktiveerimist vajalik jälgida FortiAnalyzeri olekut: kas koormus on tõusnud, kas süsteemiressursse tarbitakse kriitiliselt. Kui FortiAnalyzer ei suuda koormusega toime tulla, on parem see protsess välja lülitada.

Samuti tasub märkida, et hcache andmete automaatne uuendamine on vaikimisi aktiveeritud ajastatud raportite jaoks.

Teine viis raportite genereerimise kiirendamiseks on rühmitamine:
Kui samu (või sarnaseid) raporteid genereeritakse erinevate FortiGate seadmete (või muude Fortinet seadmete) jaoks, saab nende genereerimise protsessi oluliselt kiirendada rühmitamise abil. Raportite rühmitamine võib vähendada hcache tabelite arvu ja kiirendada automaatset vahemälu loomise aega, mistõttu kiirendab see raportite genereerimist.
Alloleval joonisel esitatud näites rühmitatakse raporteid, mille pealkirjas on string Security_Report, seadme ID järgi.

Videoõpetuses esitletakse varem käsitletud teoreetilisi materjale ning arutatakse praktilisi aspekte raportitega töötamisest — alates oma andmestike ja diagrammide, mallide ja raportite loomise kuni raportite edastamise konfigureerimiseni administraatoritele. Head vaatamist!

Järgmisel tunnil käsitleme FortiAnalyzeri haldamise erinevaid aspekte ning selle litsentsimise skeemi. Et mitte millestki ilma jääda, tellige meie Youtube kanal.

Samuti saate jälgida uuendusi järgmistel ressurssidel:

Vkontakte grupp
Yandex Zen
Meie veebisait
Telegrami kanal

Allikas: habr.com