Ciao, amici! Siamo felici di darvi il benvenuto nel nostro nuovo corso FortiAnalyzer Getting Started. Nel corso abbiamo già esaminato le funzionalità di FortiAnalyzer, ma le abbiamo trattate in modo piuttosto superficiale. Ora voglio parlarvi in modo più dettagliato di questo prodotto, dei suoi obiettivi, compiti e possibilità. Questo corso non sarà così ampio come il precedente, ma spero che sia interessante e istruttivo.
Poiché la lezione è risultata completamente teorica, per la vostra comodità abbiamo deciso di presentarla anche in formato articolo.
Durante questo corso copriremo i seguenti aspetti:
- Informazioni generali sul prodotto, il suo scopo, i problemi che risolve e le caratteristiche chiave
- Prepariamo un layout, durante la preparazione esamineremo in dettaglio la configurazione iniziale di FortiAnalyzer
- Ci familiarizzeremo con il meccanismo di archiviazione, elaborazione e filtraggio dei log per una ricerca conveniente, oltre a esaminare il meccanismo FortiView, che fornisce informazioni visive sullo stato della rete tramite vari grafici, diagrammi e altri widget.
- Esaminiamo il processo di creazione di report esistenti e impariamo a creare report personalizzati e a modificare quelli già esistenti.
- Passiamo in rassegna le principali questioni relative all'amministrazione di FortiAnalyzer.
- Parleremo di nuovo dello schema di licenza — ne ho già parlato nell'undicesima lezione del corso. , ma, come si suol dire, la ripetizione è la madre dell'insegnamento.
La funzione principale di FortiAnalyzer è l'archiviazione centralizzata dei log provenienti da uno o più dispositivi della società Fortinet, nonché la loro elaborazione e analisi. Questo consente agli amministratori della sicurezza di monitorare vari eventi di rete e di sicurezza da un unico luogo, di ottenere rapidamente le informazioni necessarie dai log e dai widget e di generare report su tutti o sui dispositivi di interesse.
L'elenco dei dispositivi da cui FortiAnalyzer può ricevere log e analizzarli è mostrato nella figura sottostante.
FortiAnalyzer presenta tre caratteristiche principali: reportistica, avvisi, archiviazione. Analizziamo ciascuna di esse.
La reportistica offre un resoconto chiaro degli eventi di rete, degli eventi di sicurezza e delle varie attività che si verificano sugli apparati supportati. Il meccanismo di reportistica raccoglie i dati necessari dai log disponibili e li presenta in un formato leggibile e analizzabile. Grazie ai report, è possibile ottenere rapidamente informazioni sulle prestazioni degli apparati, sulla sicurezza della rete, sulle risorse più visitate, e così via. Le possibilità sono molteplici. Inoltre, i report possono essere utilizzati per analizzare lo stato della rete e degli apparati supportati nel corso di un lungo periodo. Spesso risultano indispensabili per indagare su vari incidenti di sicurezza.
Le notifiche consentono una risposta rapida a diverse minacce che si verificano in rete. Il sistema genera notifiche quando appaiono registrazioni che soddisfano condizioni configurate in precedenza, come il rilevamento di virus, lo sfruttamento di varie vulnerabilità e così via. Queste notifiche possono essere visualizzate nell'interfaccia web di FortiAnalyzer e possono anche essere configurate per essere inviate tramite protocollo SNMP, a un server syslog, e a indirizzi email specifici.
L'archiviazione consente di salvare su FortiAnalyzer copie di vari contenuti che transitano sulla rete. Di solito, questo viene utilizzato insieme al meccanismo DLP per conservare vari file che rientrano sotto le diverse regole di questo meccanismo. Può anche essere utile per indagare su vari incidenti di sicurezza.
Un'altra interessante caratteristica è la possibilità di utilizzare domini amministrativi. Questa tecnologia consente di creare gruppi di dispositivi in base a vari criteri, come i tipi di dispositivi, la posizione geografica e così via. La creazione di tali gruppi di dispositivi perseguita i seguenti obiettivi:
- Raggruppamento dei dispositivi in base a caratteristiche simili per facilitare il monitoraggio e la gestione: ad esempio, i dispositivi possono essere raggruppati in base alla posizione geografica. Se hai bisogno di trovare informazioni specifiche nei log relativi a dispositivi all'interno dello stesso gruppo, invece di filtrare i log in modo dettagliato, puoi semplicemente visualizzare i log per il dominio amministrativo necessario e cercare le informazioni di cui hai bisogno.
- Per delimitare l'accesso amministrativo: ogni dominio amministrativo può avere uno o più amministratori che hanno accesso solo a quel specifico dominio amministrativo.
- Gestione efficace dello spazio su disco e delle politiche di archiviazione dei dati ricevuti dai dispositivi — invece di creare un'unica configurazione di archiviazione per tutti i dispositivi, i domini amministrativi consentono di impostare configurazioni più adatte per gruppi specifici di dispositivi. Questo è utile se hai più dispositivi e da un gruppo di dispositivi hai bisogno di conservare i dati per un anno, mentre dall'altro per tre anni. Di conseguenza, si può assegnare il giusto spazio su disco per ciascun gruppo — per un gruppo che genera un grande numero di log, assegnare più spazio, mentre per un altro gruppo, meno spazio.
FortiAnalyzer può funzionare in due modalità — Analyzer e Collector. La modalità operativa viene scelta in base ai requisiti specifici e alla topologia della rete.
Quando FortiAnalyzer opera in modalità Analyzer, funge da principale aggregatore di log provenienti da uno o più collezionatori di log. I collezionatori di log possono essere sia FortiAnalyzer in modalità Collector che altri dispositivi supportati da FortiAnalyzer (l'elenco è stato fornito sopra nell'immagine). Questa modalità è utilizzata per impostazione predefinita.
Quando FortiAnalyzer opera in modalità Collector, raccoglie i log da altri dispositivi e li invia a un altro dispositivo, come FortiAnalyzer in modalità Analyzer o Syslog. In modalità Collector, FortiAnalyzer non può utilizzare la maggior parte delle funzionalità, come report e avvisi, poiché il suo obiettivo principale è raccogliere e inviare log.
Utilizzando più dispositivi FortiAnalyzer in diverse modalità, è possibile aumentare le prestazioni: FortiAnalyzer in modalità Collector raccoglie i log da tutti i dispositivi e li inoltra all'Analyzer per ulteriori analisi, consentendo a FortiAnalyzer in modalità Analyzer di risparmiare risorse spese nella ricezione di log da numerosi dispositivi e di concentrarsi completamente sull'elaborazione dei log.
FortiAnalyzer supporta un linguaggio di query dichiarativo SQL per la registrazione e la reportistica. Con questo linguaggio, i log vengono presentati in modo leggibile. Inoltre, vengono generati vari report utilizzando questo linguaggio di query. Per alcune funzionalità di reportistica sono necessarie conoscenze specifiche di SQL e di database, ma spesso le capacità integrate di FortiAnalyzer consentono di funzionare senza tali conoscenze. Ci imbatteremo in questo aspetto quando esamineremo il meccanismo di reportistica.
Il FortiAnalyzer può essere disponibile in diverse varianti. Può essere un dispositivo fisico dedicato o una macchina virtuale — vengono supportati diversi hypervisor, l'elenco completo è disponibile nel . Può anche essere implementato in infrastrutture specializzate — AWS, Azure, Google Cloud e altre. L'ultima opzione è FortiAnalyzer Cloud — un servizio cloud offerto da Fortinet.
Nella prossima lezione prepareremo un layout per ulteriori lavori pratici. Per non perderlo, iscriviti al nostro .
Puoi anche seguire gli aggiornamenti sui seguenti canali:
Fonte: habr.com
