{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. Introduzione a FortiAnalyzer v6.4. Gestione dei log","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nBenvenuti alla terza lezione del corso FortiAnalyzer Getting Started<\/a><\/noindex>. Su scorso lezione<\/a><\/noindex> abbiamo configurato il layout necessario per eseguire i laboratori. In questa lezione esamineremo i principi fondamentali del lavoro con i log su FortiAnalyzer<\/a><\/noindex>, scopriremo i gestori degli eventi e analizzeremo i meccanismi di protezione dei log. La parte teorica e la registrazione completa della lezione video si trovano sotto il tag. <\/a><\/noindex><\/p>\n

Per raccogliere i log dai dispositivi, \u00e8 necessario registrarli su FortiAnalyzer. Ci sono due opzioni per la registrazione.<\/p>\n

    \n
  1. La prima opzione consiste nell'attivare l'opzione \"inviare log a FortiAnalyzer\" sul dispositivo da registrare e specificarne l'indirizzo IP. Successivamente, viene inviato a FortiAnalyzer una richiesta di registrazione di questo dispositivo. L'amministratore deve confermare o rifiutare la richiesta ricevuta. Se la tecnologia dei domini amministrativi \u00e8 attivata, FortiGate pu\u00f2 essere aggiunto sia al dominio ADOM principale (chiamato root, con cui abbiamo lavorato nella lezione scorsa) che a un ADOM creato manualmente, destinato ai dispositivi FortiGate. <\/li>\n
  2. La seconda opzione \u00e8 il cosiddetto Device Registration Wizard. La registrazione del dispositivo avviene direttamente su FortiAnalyzer. \u00c8 necessario fornire informazioni sul dispositivo da registrare: numero di serie, indirizzo IP, tipo di dispositivo e versione del sistema operativo. Se la verifica dei dati ha esito positivo, il dispositivo viene aggiunto all'elenco di FortiAnalyzer. Se \u00e8 attivata la tecnologia dei domini amministrativi, il dispositivo si registrer\u00e0 automaticamente nel dominio amministrativo appropriato. Se avete creato pi\u00f9 domini amministrativi, dovete registrare il dispositivo dal dominio amministrativo in cui desiderate aggiungerlo. <\/li>\n<\/ol>\n

    \nOgni dispositivo genera log di vari tipi. I principali tipi di log che possono essere generati dai dispositivi di Fortinet sono rappresentati nell'immagine qui sotto. <\/p>\n

    \"3.
    \n
    \nAbbiamo gi\u00e0 parlato della gestione iniziale dei log nella lezione precedente, ma penso sia utile rinfrescare la memoria. I log che arrivano su FortiAnalyzer vengono compressi e salvati in un file di log. Quando questo file raggiunge una determinata dimensione, viene sovrascritto e archiviato. Tali log vengono definiti archiviati. Sono considerati log offline, poich\u00e9 non possono essere analizzati in tempo reale. Per la visualizzazione, sono disponibili solo in formato RAW. La politica di retention dei dati nell'ambito amministrativo stabilisce per quanto tempo questi log saranno conservati nella memoria di FortiAnalyzer. <\/p>\n

    Nel contempo, i log vengono indicizzati nel database SQL per supportare l'analisi. Questi log vengono analizzati in FortiAnalyzer in tempo reale tramite i meccanismi Log View, FortiView e Reports. La politica di retention dei dati nell'ambito amministrativo stabilisce per quanto tempo questi log saranno conservati nella memoria di FortiAnalyzer. Una volta che questi log verranno rimossi dalla memoria di FortiAnalyzer, potrebbero rimanere sotto forma di log archiviati, ma ci\u00f2 dipende dalla politica di retention dei dati nell'ambito amministrativo. <\/p>\n

    Il processo schematico di gestione dei log \u00e8 illustrato nell'immagine sottostante. <\/p>\n

    \"3.
    \n
    \nQuando i log vengono ricevuti sul dispositivo, vengono controllati dagli elaboratori di eventi. Questi consentono di monitorare gli eventi di interesse tramite condizioni preimpostate. Le condizioni sono impostate sui parametri contenuti nei log in formato RAW. Nel sistema esiste un insieme di eventi predefiniti per ogni dominio amministrativo, ma se necessario, \u00e8 possibile creare i propri elaboratori di eventi. Il principale vantaggio degli elaboratori di eventi \u00e8 che, al verificarsi di eventi di interesse, il sistema pu\u00f2 inviare notifiche - tramite email o server syslog, anche tramite SNMP. Questo consente di reagire rapidamente agli eventi che si verificano nella rete. <\/p>\n

    \"3.
    \n
    \nOra parliamo della protezione dei log. Poich\u00e9 nei log \u00e8 memorizzata informazione importante su quanto avviene in rete, \u00e8 fondamentale proteggerli sia da possibili perdite a causa di vari guasti, sia da compromissione esterna. La prima tecnologia che pu\u00f2 aiutare a proteggere i log in caso di vari guasti \u00e8 il RAID. Essa consente di suddividere lo spazio disponibile su dischi in pi\u00f9 segmenti logici, in modo che, in caso di guasto di uno o pi\u00f9 dischi (a seconda del tipo di RAID), i dati non vengano persi. I principali tipi di RAID utilizzabili in FortiAnalyzer sono mostrati nell'immagine sottostante.<\/p>\n

    \"3.
    \n<\/p>\n