Vi diamo il benvenuto alla terza lezione del corso . Su abbiamo implementato il layout necessario per eseguire i lavori di laboratorio. In questa lezione esamineremo i principi fondamentali del lavoro con i log su , ci familiarizzeremo con i gestori di eventi e esamineremo anche i meccanismi di protezione dei log. La parte teorica, così come la registrazione completa della lezione in video, si trova sotto il tag.
Per raccogliere i log dai dispositivi, è necessario registrarli su FortiAnalyzer. Ci sono due modalità di registrazione.
- La prima modalità consiste nell'attivare sull'apparecchiatura registrata l'opzione «inviare log a FortiAnalyzer» e specificare il suo indirizzo IP. successivamente, su FortiAnalyzer viene inviata una richiesta di registrazione di questo dispositivo. L'amministratore deve confermare o rifiutare la richiesta ricevuta. Se la tecnologia dei domini amministrativi è attivata, FortiGate può essere aggiunto sia al dominio ADOM principale (che si chiama root, con il quale abbiamo lavorato nella lezione precedente), sia a un ADOM creato manualmente, destinato ai dispositivi FortiGate.
- La seconda modalità è il cosiddetto Device Registration Wizard. La registrazione del dispositivo avviene direttamente su FortiAnalyzer. Per la registrazione sono necessarie informazioni sul dispositivo da registrare: numero di serie, indirizzo IP, tipo di dispositivo e versione del sistema operativo. Se la verifica dei dati ha successo, il dispositivo viene aggiunto all'elenco di FortiAnalyzer. Se la tecnologia dei domini amministrativi è attivata, il dispositivo verrà registrato automaticamente nel dominio amministrativo appropriato. Se hai creato più domini amministrativi simili, in tal caso è necessario registrare il dispositivo dal dominio amministrativo in cui desideri aggiungerlo.
Ogni dispositivo genera log di vari tipi. I principali tipi di log che possono essere generati dai dispositivi dell'azienda Fortinet sono mostrati nell'immagine sotto.
Abbiamo già parlato del trattamento iniziale dei log nella lezione precedente, ma penso sia il caso di rinfrescare la memoria. I log che arrivano su FortiAnalyzer vengono compressi e salvati in un file di log. Quando questo file raggiunge una dimensione specifica, viene sovrascritto e archiviato. Questi log vengono definiti archiviati. Sono considerati log offline, poiché non possono essere analizzati in tempo reale. Per la visualizzazione, sono disponibili solo in formato RAW. La politica di conservazione dei dati nel dominio amministrativo determina per quanto tempo tali log verranno conservati nella memoria di FortiAnalyzer.
Nel frattempo, i log vengono indicizzati nel database SQL per supportare l'analisi. Questi log vengono analizzati in FortiAnalyzer in tempo reale tramite i meccanismi Log View, FortiView e Reports. La politica di conservazione dei dati nel dominio amministrativo determina per quanto tempo tali log verranno conservati nella memoria di FortiAnalyzer. Dopo che questi log saranno stati rimossi dalla memoria di FortiAnalyzer, potrebbero rimanere sotto forma di log archiviati, ma ciò dipende dalla politica di conservazione dei dati nel dominio amministrativo.
Il processo di trattamento dei log è schematicamente rappresentato nell'immagine sottostante.
Quando i log arrivano sul dispositivo, vengono controllati dai gestori di eventi. Questi permettono di monitorare eventi di interesse tramite condizioni preimpostate. Le condizioni vengono impostate sui parametri contenuti nei log del formato RAW. Nel sistema, per ogni dominio amministrativo esiste un insieme di eventi predefiniti, tuttavia, se necessario, è possibile creare gestori di eventi personalizzati. Il principale vantaggio dei gestori di eventi è che, quando si verificano eventi di interesse, il sistema può inviare notifiche – via email o a server syslog anche tramite SNMP. Questo consente di reagire piuttosto rapidamente agli eventi che si verificano nella rete.
Ora parliamo della protezione dei log. Poiché nei log è memorizzata un'importante informazione su ciò che accade in rete, devono essere protetti sia da potenziali perdite causate da vari guasti, sia da compromissioni esterne. La prima tecnologia che può aiutare a proteggere i log in caso di diversi guasti è il RAID. Questa tecnologia permette di suddividere lo spazio disponibile su più dischi in vari segmenti logici in modo tale che, in caso di guasti a uno o più dischi (a seconda del tipo di RAID), i dati non vengano persi. I principali tipi di RAID utilizzabili in FortiAnalyzer sono rappresentati nell'immagine sottostante.
- Il RAID 0 distribuisce le informazioni su 2 o più dischi. L'obiettivo principale è la velocità e le prestazioni. Se uno o più dischi si guastano, l'intero array di dischi ne risentirà;
- Il RAID 1 distribuisce copie delle informazioni su 2 o più dischi. Se un disco si guasta, l'array di dischi continuerà a funzionare normalmente;
- Il RAID 5 distribuisce le informazioni su più dischi e riserva un disco per la ricostruzione dei dati in ogni cosiddetta "catena di informazioni". Se un disco si guasta, l'array di dischi continuerà a funzionare normalmente;
- Il RAID 6 funziona in modo simile, ma riserva due dischi per i dati di ripristino;
- Il RAID 10 combina le opzioni del RAID 0 e del RAID 1. Con questa configurazione, è possibile continuare a lavorare con le informazioni anche se si guastano 2 dischi (uno per ciascun RAID, altrimenti non sarà possibile considerare le informazioni);
- Il RAID 50 combina le funzionalità del RAID 0 e del RAID 5. In questo caso, il funzionamento stabile delle informazioni continuerà anche se in ogni RAID 5 si guasta un disco;
- Il RAID 60 combina le funzionalità del RAID 0 e del RAID 6. In questo caso, il funzionamento stabile delle informazioni continuerà anche se in ogni RAID 6 si guastano 2 dischi.
Il meccanismo successivo è il backup dei log. Ci sono diverse opzioni di backup: dal menu Visualizzazione Log, dove è possibile utilizzare un filtro specifico per salvare i log necessari, o Esplora Log, da cui è possibile scaricare i file di log registrati. È anche possibile eseguire backup dei log su server esterni tramite l'interfaccia CLI.
Un altro meccanismo che consente di proteggere le informazioni importanti contenute nei log è la ridondanza. Anche qui ci sono diverse opzioni.
- Il primo, in cui i dispositivi inviano i log immediatamente a 2 FortiAnalyzer, uno dei quali è principale e l'altro di riserva.
- Il secondo metodo l'abbiamo già discusso nella lezione precedente: un FortiAnalyzer opera in modalità collector e raccoglie i log da vari dispositivi. I log raccolti vengono inviati a FortiAnalyzer che lavora in modalità Analyzer secondo un programma prestabilito. In caso di guasto del secondo, il collector sarà in grado di inoltrare i log a un altro FortiAnalyzer.
- E la terza opzione è l'invio dei log dal FortiAnalyzer a server esterni, ad esempio a Syslog. In tal caso, la trasmissione dei log avviene in tempo reale.
Per proteggere i log da compromissioni, vengono utilizzati due meccanismi principali:
- Crittografia del canale di trasmissione dei dati tra FortiAnalyzer e gli altri dispositivi;
- Protezione dei log da modifiche mediante l'aggiunta di un checksum.
Nel video tutorial è presentato il materiale teorico discusso sopra, insieme ad aspetti pratici del lavoro con i log: la loro filtrazione, visualizzazione in diversi modi e configurazione dei gestori di eventi. Buona visione!
Nella prossima lezione esamineremo in dettaglio gli aspetti del lavoro con i report. Per non perderla, iscriviti al nostro .
Puoi anche seguire gli aggiornamenti sulle seguenti risorse:
Fonte: habr.com
