Ciao a tutti! Oggi abbiamo esplorato le basi del funzionamento dei log su FortiAnalyzer. Oggi andremo oltre e approfondiremo gli aspetti fondamentali del lavoro con i report: cosa sono i report, da cosa sono composti e come è possibile modificare quelli esistenti e crearne di nuovi. Come al solito, iniziamo con un po' di teoria, per poi passare alla pratica con i report. Di seguito troverete la parte teorica della lezione, insieme a un video che include sia teoria che pratica.
L'obiettivo principale dei report è quello di unire grandi quantità di dati presenti nei log e, sulla base delle impostazioni disponibili, presentare tutte le informazioni ottenute in un formato leggibile: sotto forma di grafici, tabelle e diagrammi. Nella figura qui sotto è riportato un elenco dei report preimpostati per i dispositivi FortiGate (non tutti i report sono inclusi, ma penso che già da questo elenco si possa vedere che anche 'out of the box' è possibile creare molti report interessanti e utili).
Tuttavia, i report presentano solo le informazioni richieste in un formato leggibile — non contengono alcuna raccomandazione su come procedere riguardo ai problemi riscontrati.
I principali componenti dei report sono i grafici. Ogni report è composto da uno o più grafici. I grafici definiscono quali informazioni devono essere estratte dai log e in quale formato devono essere presentate. L'estrazione delle informazioni è affidata ai dataset — query SELECT nel database. È nei dataset che si definisce esattamente da dove e quali informazioni devono essere estratte. Dopo che i dati richiesti vengono restituiti dalla query, vengono applicate le impostazioni di formato (o di visualizzazione). Di conseguenza, i dati ottenuti sono presentati in tabelle, grafici o diagrammi di vario tipo.
Nella query SELECT vengono utilizzati vari comandi, attraverso i quali vengono impostate le condizioni per le informazioni da estrarre. La cosa più importante da considerare è che questi comandi devono essere applicati in un ordine specifico, ed è proprio in questo ordine che vengono presentati di seguito:
FROM — è l'unico comando obbligatorio in una query SELECT. Indica il tipo di log da cui estrarre le informazioni;
WHERE — con questo comando vengono definiti i criteri per i log (ad esempio, un nome specifico di applicazione/attacco/virus);
GROUP BY — questo comando consente di raggruppare le informazioni in base a una o più colonne di interesse;
ORDER BY — con questo comando è possibile ordinare l'output delle informazioni per righe;
LIMIT — limita il numero di record restituiti dalla query.
FortiAnalyzer contiene modelli preimpostati per i report. Questi modelli fungono da layout per i report — comprendono il testo del report, i grafici e i macro. Utilizzando i modelli, è possibile creare nuovi report se sono richieste solo modifiche minime ai modelli predefiniti. Tuttavia, i report predefiniti non possono essere modificati o eliminati — è possibile clonare questi report e apportare le modifiche necessarie sulla copia. C'è anche la possibilità di creare i propri modelli di report.
A volte ci si può trovare nella seguente situazione: il report preimpostato è adatto per l'uso, ma non completamente. Potrebbe essere necessario aggiungere alcune informazioni o, al contrario, eliminarne altre. In questo caso ci sono due opzioni: clonare e modificare il modello, oppure modificare direttamente il report. Qui è importante fare riferimento a diversi fattori.
I modelli fungono da layout per il report, contengono grafici e testo del report, niente di più. I report stessi, d'altra parte, oltre al cosiddetto 'layout', contengono diverse impostazioni del report: lingua, carattere, colore del testo, periodo di generazione, filtraggio delle informazioni e così via. Pertanto, se sono necessarie modifiche solo al layout del report, è possibile utilizzare i modelli. Se è necessaria una configurazione aggiuntiva del report, è possibile modificare il report stesso (più precisamente, la sua copia).
Sulla base dei modelli è possibile creare diversi report simili, quindi se è necessario realizzare molti report simili tra loro, è preferibile utilizzare i modelli.
Nel caso in cui i modelli e i report preimpostati non siano adatti, è possibile creare sia un nuovo modello che un nuovo report.
Su FortiAnalyzer è possibile configurare l'invio dei rapporti a singoli amministratori tramite email o il loro caricamento su server esterni. Questo avviene tramite il meccanismo dell'Output Profile. In ogni dominio amministrativo si configurano profili di output separati. Durante la configurazione dell'Output Profile si definiscono i seguenti parametri:
- Formati dei rapporti inviati: PDF, HTML, XML o CSV;
- Luogo in cui verranno inviati i rapporti. Questo può essere l'email dell'amministratore (per fare ciò, è necessario collegare FortiAnalyzer al server di posta, come abbiamo esaminato nella lezione precedente). Può anche essere un server di file esterno: FTP, SFTP, SCP;
- È possibile specificare cosa fare con i rapporti locali che sono rimasti sul dispositivo dopo l'invio: mantenerli o eliminarli.
Se necessario, è possibile accelerare la generazione dei rapporti. Esamineremo due metodi:
Quando si crea un report, FortiAnalyzer genera grafici da dati di cache SQL precompilati, noti come hcache. Se i dati hcache non vengono creati all'avvio del report, il sistema deve prima generare l'hcache e poi costruire il report. Questo aumenta il tempo di generazione del report. Tuttavia, se non vengono ricevuti nuovi log per il report, la rigenerazione del report ridurrà significativamente il tempo di generazione, poiché i dati hcache sono già stati compilati.
Per migliorare le prestazioni della generazione dei report, è possibile abilitare la creazione automatica dell'hcache nelle impostazioni del report. In questo caso, l'hcache si aggiorna automaticamente all'arrivo di nuovi log. Un esempio di impostazione è mostrato nella figura sottostante.
Questo processo utilizza un gran numero di risorse di sistema (soprattutto per report che richiedono un lungo tempo per la raccolta dei dati), quindi dopo l'attivazione è necessario monitorare lo stato di FortiAnalyzer: se il carico è notevolmente aumentato e se ci sono consumi critici delle risorse di sistema. Se FortiAnalyzer non riesce a gestire il carico, è meglio disattivare questo processo.
È importante notare che l'aggiornamento automatico dei dati hcache è attivato per impostazione predefinita per i report programmati.
Un secondo modo per velocizzare la generazione dei report è la raggruppamento:
Se vengono generati report identici (o simili) per diversi dispositivi FortiGate (o altri dispositivi Fortinet), è possibile accelerare significativamente il processo di generazione raggruppando i report. Il raggruppamento dei report può ridurre il numero di tabelle hcache e velocizzare i tempi di caching automatico, di conseguenza accelerando la generazione dei report.
Nell'esempio mostrato nell'immagine sottostante, i report i cui titoli contengono la stringa Security_Report vengono raggruppati per parametro Device ID.
Il video tutorial presenta il materiale teorico discusso sopra e tratta anche gli aspetti pratici del lavoro con i report — dalla creazione di set di dati e grafici personalizzati, modelli e report fino alla configurazione dell'invio dei report agli amministratori. Buona visione!
Nella prossima lezione esamineremo vari aspetti dell'amministrazione di FortiAnalyzer, oltre allo schema di licenza. Per non perderla, iscriviti al nostro .
Puoi anche seguire gli aggiornamenti sui seguenti canali:
Fonte: habr.com
