Benvenuti alla terza lezione del corso . Su abbiamo configurato il layout necessario per eseguire i laboratori. In questa lezione esamineremo i principi fondamentali del lavoro con i log su , scopriremo i gestori degli eventi e analizzeremo i meccanismi di protezione dei log. La parte teorica e la registrazione completa della lezione video si trovano sotto il tag.
Per raccogliere i log dai dispositivi, è necessario registrarli su FortiAnalyzer. Ci sono due opzioni per la registrazione.
- La prima opzione consiste nell'attivare l'opzione "inviare log a FortiAnalyzer" sul dispositivo da registrare e specificarne l'indirizzo IP. Successivamente, viene inviato a FortiAnalyzer una richiesta di registrazione di questo dispositivo. L'amministratore deve confermare o rifiutare la richiesta ricevuta. Se la tecnologia dei domini amministrativi è attivata, FortiGate può essere aggiunto sia al dominio ADOM principale (chiamato root, con cui abbiamo lavorato nella lezione scorsa) che a un ADOM creato manualmente, destinato ai dispositivi FortiGate.
- La seconda opzione è il cosiddetto Device Registration Wizard. La registrazione del dispositivo avviene direttamente su FortiAnalyzer. È necessario fornire informazioni sul dispositivo da registrare: numero di serie, indirizzo IP, tipo di dispositivo e versione del sistema operativo. Se la verifica dei dati ha esito positivo, il dispositivo viene aggiunto all'elenco di FortiAnalyzer. Se è attivata la tecnologia dei domini amministrativi, il dispositivo si registrerà automaticamente nel dominio amministrativo appropriato. Se avete creato più domini amministrativi, dovete registrare il dispositivo dal dominio amministrativo in cui desiderate aggiungerlo.
Ogni dispositivo genera log di vari tipi. I principali tipi di log che possono essere generati dai dispositivi di Fortinet sono rappresentati nell'immagine qui sotto.
Abbiamo già parlato della gestione iniziale dei log nella lezione precedente, ma penso sia utile rinfrescare la memoria. I log che arrivano su FortiAnalyzer vengono compressi e salvati in un file di log. Quando questo file raggiunge una determinata dimensione, viene sovrascritto e archiviato. Tali log vengono definiti archiviati. Sono considerati log offline, poiché non possono essere analizzati in tempo reale. Per la visualizzazione, sono disponibili solo in formato RAW. La politica di retention dei dati nell'ambito amministrativo stabilisce per quanto tempo questi log saranno conservati nella memoria di FortiAnalyzer.
Nel contempo, i log vengono indicizzati nel database SQL per supportare l'analisi. Questi log vengono analizzati in FortiAnalyzer in tempo reale tramite i meccanismi Log View, FortiView e Reports. La politica di retention dei dati nell'ambito amministrativo stabilisce per quanto tempo questi log saranno conservati nella memoria di FortiAnalyzer. Una volta che questi log verranno rimossi dalla memoria di FortiAnalyzer, potrebbero rimanere sotto forma di log archiviati, ma ciò dipende dalla politica di retention dei dati nell'ambito amministrativo.
Il processo schematico di gestione dei log è illustrato nell'immagine sottostante.
Quando i log vengono ricevuti sul dispositivo, vengono controllati dagli elaboratori di eventi. Questi consentono di monitorare gli eventi di interesse tramite condizioni preimpostate. Le condizioni sono impostate sui parametri contenuti nei log in formato RAW. Nel sistema esiste un insieme di eventi predefiniti per ogni dominio amministrativo, ma se necessario, è possibile creare i propri elaboratori di eventi. Il principale vantaggio degli elaboratori di eventi è che, al verificarsi di eventi di interesse, il sistema può inviare notifiche - tramite email o server syslog, anche tramite SNMP. Questo consente di reagire rapidamente agli eventi che si verificano nella rete.
Ora parliamo della protezione dei log. Poiché nei log è memorizzata informazione importante su quanto avviene in rete, è fondamentale proteggerli sia da possibili perdite a causa di vari guasti, sia da compromissione esterna. La prima tecnologia che può aiutare a proteggere i log in caso di vari guasti è il RAID. Essa consente di suddividere lo spazio disponibile su dischi in più segmenti logici, in modo che, in caso di guasto di uno o più dischi (a seconda del tipo di RAID), i dati non vengano persi. I principali tipi di RAID utilizzabili in FortiAnalyzer sono mostrati nell'immagine sottostante.
- Il RAID 0 distribuisce le informazioni su 2 o più dischi. L'obiettivo principale è la velocità e le prestazioni. Se uno o più dischi si guastano, l'intero array di dischi subirà danni.
- Il RAID 1 distribuisce copie delle informazioni su 2 o più dischi. Se un disco si guasta, l'array di dischi continuerà a funzionare normalmente.
- Il RAID 5 distribuisce le informazioni su più dischi e riserva un disco per i dati di ripristino in ogni 'catena di informazione'. Se un disco si guasta, il RAID continua a funzionare normalmente;
- Il RAID 6 funziona in modo simile, ma riserva già due dischi per i dati di ripristino;
- Il RAID 10 combina le opzioni del RAID 0 e del RAID 1. In questo modo, è possibile continuare a lavorare con le informazioni anche se si guastano 2 dischi (uno da ciascun RAID, altrimenti non sarà possibile recuperare le informazioni);
- Il RAID 50 combina le funzionalità del RAID 0 e del RAID 5. In questo caso, il funzionamento stabile delle informazioni continuerà anche se in ogni RAID 5 si guasta un disco;
- Il RAID 60 combina le funzionalità del RAID 0 e del RAID 6. In questo caso, il funzionamento stabile delle informazioni continuerà anche se in ogni RAID 6 si guastano 2 dischi.
Il meccanismo successivo è il backup dei log. Ci sono diverse opzioni per eseguire il backup: dal menu Log View, dove puoi utilizzare un filtro specifico per salvare i log necessari, o da Log Browse, da cui puoi scaricare i file di log registrati. È anche possibile eseguire il backup dei log su server esterni tramite l'interfaccia CLI.
Un altro meccanismo per proteggere le informazioni importanti contenute nei log è la ridondanza. Anche qui ci sono diverse opzioni.
- La prima, in cui i dispositivi inviano i log a due FortiAnalyzer, uno dei quali è principale e l'altro di riserva.
- Il secondo metodo che abbiamo già discusso nell'ultima lezione — un FortiAnalyzer opera in modalità collector e raccoglie i log da vari dispositivi. Con cadenza programmata, i log raccolti vengono inviati a un FortiAnalyzer che opera in modalità Analyzer. In caso di guasto del secondo, il collector può inoltrare i log a un altro FortiAnalyzer.
- E la terza opzione — la trasmissione dei log dal FortiAnalyzer a server esterni, ad esempio a Syslog. In tal caso, la trasmissione dei log avverrà in tempo reale.
Per proteggere i log da compromissioni vengono utilizzati due meccanismi principali:
- Crittografia del canale di comunicazione tra FortiAnalyzer e gli altri dispositivi.
- Protezione dei log contro le modifiche tramite l'aggiunta di un checksum.
Nel video tutorial viene presentato il materiale teorico discusso in precedenza, insieme agli aspetti pratici del lavoro con i log — la loro filtrazione, visualizzazione in diverse modalità e la configurazione dei gestori degli eventi. Buona visione!
Nella prossima lezione esamineremo in dettaglio gli aspetti del lavoro con i report. Per non perderla, iscriviti al nostro .
Puoi anche seguire gli aggiornamenti sui seguenti canali:
Fonte: habr.com
