{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Guide de d\u00e9marrage v6.4. Travailler avec les journaux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nBienvenue \u00e0 la troisi\u00e8me le\u00e7on du cours Introduction \u00e0 FortiAnalyzer<\/a><\/noindex>. \u00c0 la le\u00e7on pr\u00e9c\u00e9dente<\/a><\/noindex> Nous avons d\u00e9ploy\u00e9 la maquette n\u00e9cessaire \u00e0 l'ex\u00e9cution des travaux pratiques. Dans cette le\u00e7on, nous examinerons les principes de base de travail avec les journaux sur FortiAnalyzer<\/a><\/noindex>, nous d\u00e9couvrirons les gestionnaires d'\u00e9v\u00e9nements, ainsi que les m\u00e9canismes de protection des journaux. La partie th\u00e9orique, ainsi qu'un enregistrement complet de la le\u00e7on vid\u00e9o, se trouve sous le lien. <\/a><\/noindex><\/p>\n

Pour collecter des journaux \u00e0 partir des appareils, il faut les enregistrer sur FortiAnalyzer. Il existe deux options d'enregistrement.<\/p>\n

    \n
  1. La premi\u00e8re option consiste \u00e0 activer sur l'appareil \u00e0 enregistrer l'option \u00ab envoyer les journaux \u00e0 FortiAnalyzer \u00bb et \u00e0 indiquer son adresse IP. Ensuite, un appel \u00e0 FortiAnalyzer est envoy\u00e9 pour enregistrer cet appareil. L'administrateur doit approuver ou refuser la demande re\u00e7ue. Si la technologie des domaines administratifs est activ\u00e9e, FortiGate peut \u00eatre ajout\u00e9 \u00e0 la fois dans le domaine ADOM principal (appel\u00e9 root, avec lequel nous avons travaill\u00e9 dans la le\u00e7on pr\u00e9c\u00e9dente) et dans un ADOM cr\u00e9\u00e9 par vos soins, destin\u00e9 aux appareils FortiGate. <\/li>\n
  2. La deuxi\u00e8me option est ce que l'on appelle l\u2019Assistant d'Enregistrement d'Appareil. L'enregistrement de l'appareil se fait sur FortiAnalyzer lui-m\u00eame. Pour l'enregistrement, des informations sur l'appareil \u00e0 enregistrer sont n\u00e9cessaires : num\u00e9ro de s\u00e9rie, adresse IP, type d'appareil, et version du syst\u00e8me d'exploitation. Si la v\u00e9rification des donn\u00e9es r\u00e9ussit, l'appareil est ajout\u00e9 \u00e0 la liste de FortiAnalyzer. Si la technologie des domaines administratifs est activ\u00e9e, l'appareil sera automatiquement enregistr\u00e9 dans le domaine administratif appropri\u00e9. Si vous avez cr\u00e9\u00e9 plusieurs de ces domaines administratifs, vous devez enregistrer l'appareil \u00e0 partir de ce domaine administratif o\u00f9 vous souhaitez l'ajouter. <\/li>\n<\/ol>\n

    \nChaque appareil g\u00e9n\u00e8re des journaux de diff\u00e9rents types. Les principaux types de journaux que peuvent g\u00e9n\u00e9rer les appareils de la soci\u00e9t\u00e9 Fortinet sont pr\u00e9sent\u00e9s ci-dessous. <\/p>\n

    \"3.
    \n
    \nNous avons d\u00e9j\u00e0 parl\u00e9 du traitement initial des journaux lors de la derni\u00e8re le\u00e7on, mais je pense qu'il est bon de rafra\u00eechir notre m\u00e9moire. Les journaux re\u00e7us par le FortiAnalyzer sont compress\u00e9s et enregistr\u00e9s dans un fichier log. Lorsque ce fichier atteint une certaine taille, il est r\u00e9\u00e9crit et \u0430\u0440\u0445\u0438\u0432\u00e9. Ces journaux sont appel\u00e9s journaux archiv\u00e9s. Ils sont consid\u00e9r\u00e9s comme des journaux hors ligne, car il est impossible de les analyser en temps r\u00e9el. Pour consultation, ils ne sont disponibles qu'au format RAW. La politique de conservation des donn\u00e9es dans le domaine administratif d\u00e9finit la dur\u00e9e de stockage de ces journaux dans la m\u00e9moire du FortiAnalyzer. <\/p>\n

    En parall\u00e8le, les journaux sont index\u00e9s dans une base de donn\u00e9es SQL pour supporter l'analyse. Ces journaux sont analys\u00e9s dans FortiAnalyzer en temps r\u00e9el \u00e0 l'aide des m\u00e9canismes Log View, FortiView et Reports. La politique de conservation des donn\u00e9es dans le domaine administratif d\u00e9termine combien de temps ces journaux seront conserv\u00e9s dans la m\u00e9moire du FortiAnalyzer. Une fois que ces journaux ont \u00e9t\u00e9 supprim\u00e9s de la m\u00e9moire du FortiAnalyzer, ils peuvent rester sous forme de journaux archiv\u00e9s, mais cela d\u00e9pend de la politique de conservation des donn\u00e9es du domaine administratif. <\/p>\n

    Sch\u00e9matiquement, le processus de traitement des journaux est pr\u00e9sent\u00e9 sur l'illustration ci-dessous. <\/p>\n

    \"3.
    \n
    \nLorsque les journaux arrivent sur l'appareil, ils sont v\u00e9rifi\u00e9s par des gestionnaires d'\u00e9v\u00e9nements. Cela permet de suivre les \u00e9v\u00e9nements d'int\u00e9r\u00eat \u00e0 l'aide de conditions pr\u00e9d\u00e9finies. Les conditions sont \u00e9tablies sur les param\u00e8tres pr\u00e9sents dans les journaux au format RAW. Dans le syst\u00e8me, chaque domaine administratif dispose d'un ensemble d'\u00e9v\u00e9nements pr\u00e9d\u00e9finis, mais si n\u00e9cessaire, il est possible de cr\u00e9er ses propres gestionnaires d'\u00e9v\u00e9nements. L'avantage principal des gestionnaires d'\u00e9v\u00e9nements est que lorsqu'un \u00e9v\u00e9nement d'int\u00e9r\u00eat se produit, le syst\u00e8me peut envoyer des notifications \u2014 par email ou vers des serveurs syslog \u00e9galement via SNMP. Cela permet de r\u00e9agir assez rapidement aux \u00e9v\u00e9nements survenant dans le r\u00e9seau. <\/p>\n

    \"3.
    \n
    \nParlons maintenant de la protection des journaux. \u00c9tant donn\u00e9 que les journaux contiennent des informations importantes sur ce qui se passe dans le r\u00e9seau, ils doivent \u00eatre prot\u00e9g\u00e9s \u00e0 la fois contre la perte potentielle due \u00e0 divers pannes et contre la compromission externe. La premi\u00e8re technologie qui peut aider \u00e0 prot\u00e9ger les journaux en cas de pannes diverses est le RAID. Elle permet de diviser l'espace des disques disponibles en plusieurs segments logiques de mani\u00e8re \u00e0 ce qu'en cas de d\u00e9faillance d'un ou plusieurs disques (selon le type de RAID), les donn\u00e9es ne soient pas perdues. Les principaux types de RAID qui peuvent \u00eatre utilis\u00e9s dans FortiAnalyzer sont pr\u00e9sent\u00e9s dans l'image ci-dessous.<\/p>\n

    \"3.
    \n<\/p>\n