Ciao amici! Siamo felici di darvi il benvenuto nel nostro nuovo corso Introduzione a FortiAnalyzer. Nel corso abbiamo già esaminato le funzionalità di FortiAnalyzer, ma l'abbiamo fatto in modo piuttosto superficiale. Ora voglio spiegare più in dettaglio questo prodotto, i suoi obiettivi, compiti e possibilità. Questo corso dovrebbe essere meno voluminoso di quello precedente, ma spero che sarà interessante e istruttivo.
Poiché la lezione è stata completamente teorica, per vostre comodità abbiamo deciso di presentarla anche in formato articolo.
Durante questo corso esamineremo i seguenti punti:
- Informazioni generali sul prodotto, il suo scopo, i problemi risolti e le caratteristiche chiave
- Prepareremo un layout, durante la preparazione esamineremo in dettaglio la configurazione iniziale di FortiAnalyzer
- Ci familiarizzeremo con il meccanismo di archiviazione, elaborazione e filtraggio dei log per una ricerca comoda, e esamineremo anche il meccanismo FortiView, che fornisce informazioni visive sullo stato della rete tramite vari grafici, diagrammi e altri widget
- Esamineremo il processo di creazione di report esistenti e impareremo a creare i nostri report e a modificare quelli esistenti
- Affronteremo le questioni principali riguardanti l'amministrazione di FortiAnalyzer
- Discuteremo di nuovo dello schema di licenza — ne ho già parlato nella lezione 11 del corso , ma, come si suol dire, la ripetizione è la madre dell'insegnamento.
Lo scopo principale di FortiAnalyzer è l'archiviazione centralizzata dei log provenienti da uno o più dispositivi dell'azienda Fortinet, così come la loro elaborazione e analisi. Questo consente agli amministratori della sicurezza di monitorare vari eventi di rete e di sicurezza da un unico luogo, di ottenere rapidamente le informazioni necessarie dai log e dai widget, nonché di generare report su tutti i dispositivi o su quelli di interesse.
L'elenco dei dispositivi da cui FortiAnalyzer può ricevere log e analizzarli è riportato nell'immagine sottostante.
FortiAnalyzer presenta tre caratteristiche chiave: reportistica, avvisi, archiviazione. Esaminiamo ciascuna di esse.
La reportistica — i report offrono una rappresentazione visiva degli eventi di rete, degli eventi di sicurezza e delle varie attività che si svolgono sui dispositivi supportati. Il meccanismo di reportistica raccoglie i dati necessari dai log disponibili e li presenta in un formato leggibile e analizzabile. Con i report è possibile ottenere rapidamente informazioni sulla performance dei dispositivi, sulla sicurezza della rete, sulle risorse più visitate e così via. Ci sono molte varianti. I report possono essere utilizzati anche per analizzare lo stato della rete e dei dispositivi supportati nel corso del tempo. Spesso si rivelano indispensabili nell'indagine di vari incidenti di sicurezza.
Le notifiche consentono di rispondere rapidamente a varie minacce che si presentano nella rete. Il sistema genera notifiche quando appaiono log che soddisfano condizioni precedentemente configurate — rilevamento di virus, sfruttamento di vulnerabilità, e così via. Queste notifiche possono essere visualizzate nell'interfaccia web di FortiAnalyzer, e possono anche essere configurate per l'invio tramite il protocollo SNMP, al server syslog e a determinati indirizzi email.
L'archiviazione consente di conservare su FortiAnalyzer copie di vari contenuti transitanti nella rete. Questo è solitamente utilizzato in combinazione con il meccanismo DLP per memorizzare vari file che rientrano sotto diverse regole di questo meccanismo. Può anche essere utile per indagare su vari incidenti di sicurezza.
Un'altra interessante funzionalità è la possibilità di utilizzare domini amministrativi. Questa tecnologia consente di creare gruppi di dispositivi in base a vari criteri — tipi di dispositivi, posizione geografica e così via. La creazione di tali gruppi di dispositivi mira a raggiungere i seguenti obiettivi:
- Raggruppamento di dispositivi con caratteristiche simili per facilitare il monitoraggio e la gestione — ad esempio, i dispositivi sono raggruppati in base alla posizione geografica. È necessario trovare qualche informazione nei log sui dispositivi che si trovano all'interno dello stesso gruppo. Invece di filtrare con attenzione i log, è sufficiente visualizzare i log del dominio amministrativo necessario e cercare le informazioni richieste.
- Per delimitare l'accesso amministrativo, ogni dominio amministrativo può avere uno o più amministratori che hanno accesso solo a quel particolare dominio amministrativo.
- Una gestione efficace dello spazio su disco e delle politiche di archiviazione dei dati provenienti dai dispositivi: invece di creare una configurazione di archiviazione unificata per tutti i dispositivi, i domini amministrativi consentono di impostare configurazioni più appropriate per gruppi di dispositivi specifici. Questo può risultare utile se hai più dispositivi e da un gruppo è necessario archiviare i dati per un anno, mentre da un altro gruppo per tre anni. Di conseguenza, possiamo dedicare spazio su disco adeguato per ogni gruppo: per un gruppo che genera un gran numero di log, si può riservare più spazio, mentre per un altro gruppo, meno spazio.
FortiAnalyzer può operare in due modalità: Analyzer e Collector. La modalità di funzionamento viene scelta in base alle esigenze specifiche e alla topologia di rete.
Quando FortiAnalyzer opera in modalità Analyzer, funge da principale aggregatore di log da uno o più collezionatori di log. I collezionatori di log includono sia FortiAnalyzer in modalità Collector che altri dispositivi supportati da FortiAnalyzer (l'elenco è stato fornito sopra nell'immagine). Questa modalità di funzionamento è utilizzata per impostazione predefinita.
Quando FortiAnalyzer opera in modalità Collector, raccoglie log da altri dispositivi e poi li inoltra a un altro dispositivo, come FortiAnalyzer in modalità Analyzer o Syslog. In modalità Collector, FortiAnalyzer non può utilizzare la maggior parte delle funzionalità, come reportistica e avvisi, poiché il suo obiettivo principale è raccogliere e inoltrare i log.
Utilizzando più dispositivi FortiAnalyzer in varie modalità è possibile aumentare le prestazioni: FortiAnalyzer in modalità Collector raccoglie i log da tutti i dispositivi e li inoltra ad Analyzer per l'analisi successiva, il che consente a FortiAnalyzer in modalità Analyzer di risparmiare risorse utilizzate per ricevere log da numerosi dispositivi e di concentrarsi completamente sull'elaborazione dei log.
FortiAnalyzer supporta un linguaggio di query dichiarativo SQL per la registrazione e la reportistica. Con esso, i log vengono presentati in un formato leggibile. Inoltre, questo linguaggio di query viene utilizzato per generare vari report. Per alcune funzionalità di reportistica sono necessarie alcune conoscenze di SQL e di database, ma spesso le funzionalità integrate di FortiAnalyzer permettono di farne a meno. Ci occuperemo di questo quando esamineremo il meccanismo di reportistica.
Lo stesso FortiAnalyzer può essere presentato in diverse varianti. Può essere un dispositivo fisico separato, una macchina virtuale – supporta diversi hypervisor, l'elenco completo è disponibile in . Può anche essere implementato in infrastrutture specializzate – AWS, Azure, Google Cloud e altri. L'ultima opzione è FortiAnalyzer Cloud – un servizio cloud offerto da Fortinet.
Nella prossima lezione prepareremo un modello per ulteriori lavori pratici. Per non perdertelo, iscriviti al nostro .
Puoi anche seguire gli aggiornamenti sulle seguenti risorse:
Fonte: habr.com
