1. FortiAnalyzer תחילת העבודה v6.4. מבוא

שלום חברים! אנו שמחים לברך אותך לקורס ה-FortiAnalyzer תחילת העבודה החדש שלנו. במסלול פורטינט תחילת העבודה כבר הסתכלנו על הפונקציונליות של FortiAnalyzer, אבל עברנו אותה בצורה די שטחית. עכשיו אני רוצה לספר לכם בפירוט רב יותר על המוצר הזה, על המטרות, היעדים והיכולות שלו. הקורס הזה לא צריך להיות רחב כמו הקודם, אבל אני מקווה שהוא יהיה מעניין ואינפורמטיבי.

מכיוון שהשיעור התברר כתיאורטי לחלוטין, לנוחיותכם החלטנו להציג אותו גם בפורמט מאמר.

במהלך הקורס נעסוק בנקודות הבאות:

• מידע כללי על המוצר, מטרתו, משימותיו ותכונותיו העיקריות
• בואו נכין פריסה, במהלך ההכנה נסתכל מפורט על התצורה הראשונית של FortiAnalyzer
• בואו נכיר את מנגנון האחסון, העיבוד והסינון של יומנים לחיפוש קל, ונבחן גם את מנגנון FortiView המציג מידע ויזואלי על מצב הרשת בצורת גרפים, דיאגרמות ושאר ווידג'טים שונים.
• בואו נסתכל על תהליך יצירת דוחות קיימים, וגם למד כיצד ליצור דוחות משלכם ולערוך דוחות קיימים
• בואו נעבור על הנושאים העיקריים הקשורים לניהול FortiAnalyzer
• בוא נדון שוב בתכנית הרישוי - כבר דיברתי עליה בשיעור 11 של הקורס. פורטינט תחילת העבודה, אבל כמו שאומרים, החזרה היא אם הלמידה.

המטרה העיקרית של FortiAnalyzer היא אחסון מרכזי של יומנים ממכשיר Fortinet אחד או יותר, כמו גם עיבוד וניתוח שלהם. זה מאפשר למנהלי אבטחה לנטר אירועי רשת ואבטחה שונים ממקום אחד, להשיג במהירות את המידע הדרוש מיומנים וווידג'טים ולבנות דוחות על כל המכשירים או הספציפיים.
רשימת המכשירים שמהם FortiAnalyzer יכול לקבל יומנים ולנתח אותם מוצגת באיור שלהלן.

ל-FortiAnalyzer שלוש תכונות מפתח: דיווח, התראות וארכיון. בואו נסתכל על כל אחד מהם.

דיווח - דוחות מספקים ייצוג חזותי של אירועי רשת, אירועי אבטחה ופעילויות שונות המתרחשות במכשירים נתמכים. מנגנון הדיווח אוסף את הנתונים הדרושים מיומנים קיימים ומציג אותם בצורה קלה לקריאה ולניתוח. באמצעות דוחות, אתה יכול לקבל במהירות את המידע הדרוש על ביצועי המכשיר, אבטחת הרשת, המשאבים הפופולריים ביותר וכן הלאה. יש הרבה אפשרויות. ניתן להשתמש בדוחות גם כדי לנתח את מצב הרשת והמכשירים הנתמכים לאורך תקופה ארוכה. לעתים קרובות הם הכרחיים בעת חקירת אירועים ביטחוניים שונים.

התראות מאפשרות להגיב במהירות לאיומים שונים המתרחשים ברשת. המערכת מייצרת התראות כאשר מופיעים יומנים העומדים בתנאים שהוגדרו מראש – זיהוי וירוסים, ניצול של פגיעויות שונות וכו'. ניתן לראות התראות אלו בממשק האינטרנט של FortiAnalyzer, וניתן להגדיר את שליחתן באמצעות פרוטוקול SNMP, לשרת ה-syslog, וגם לכתובות דוא"ל ספציפיות.

ארכיון מאפשר לך לאחסן עותקים של תכנים שונים הזורמים ברחבי הרשת ב-FortiAnalyzer. זה משמש בדרך כלל בשילוב עם מנוע DLP כדי לאחסן קבצים שונים הנופלים תחת הכללים השונים של המנוע. זה יכול להיות שימושי גם לחקירת אירועי אבטחה שונים.

תכונה מעניינת נוספת היא היכולת להשתמש בדומיינים ניהוליים. טכנולוגיה זו מאפשרת ליצור קבוצות של מכשירים על פי קריטריונים שונים – סוגי מכשירים, מיקום גיאוגרפי וכדומה. יצירת קבוצות מכשירים כאלה משרתת את המטרות הבאות:

• קיבוץ התקנים המבוססים על מאפיינים דומים לצורך קלות ניטור וניהול - לדוגמה, מכשירים מקובצים לפי מיקום גיאוגרפי. אתה צריך למצוא קצת מידע ביומנים של מכשירים שנמצאים באותה קבוצה. במקום לסנן בקפידה את היומנים, אתה פשוט מסתכל על היומנים של הדומיין הניהולי הנדרש ומחפש את המידע הדרוש.
• כדי להבדיל גישה מנהלתית - לכל דומיין מנהלי יכול להיות מנהל מערכת אחד או יותר שיש להם גישה רק לדומיין מנהלי זה
• ניהול יעיל של שטח דיסק ומדיניות אחסון עבור נתוני המכשיר - במקום ליצור תצורת אחסון יחידה עבור כל המכשירים, דומיינים ניהוליים מאפשרים לך להגדיר תצורות מתאימות יותר עבור קבוצות בודדות של מכשירים. זה יכול להיות שימושי אם יש לך כמה מכשירים, ומקבוצה אחת של מכשירים אתה צריך לאחסן נתונים במשך שנה, ומאחר - 3 שנים. בהתאם לכך, ניתן להקצות שטח דיסק מתאים לכל קבוצה - לקבוצה המייצרת מספר רב של לוגים, להקצות יותר מקום ולקבוצה אחרת - פחות מקום.

FortiAnalyzer יכול לפעול בשני מצבים - Analyzer ואספן. מצב ההפעלה נבחר בהתאם לדרישות האישיות ולטופולוגיית הרשת.

כאשר FortiAnalyzer פועל במצב Analyzer, הוא פועל כמצבר ראשי של יומנים מאוספי יומנים אחד או יותר. אוספי יומנים הם גם FortiAnalyzer במצב Collector וגם מכשירים אחרים הנתמכים על ידי FortiAnalyzer (הרשימה שלהם הוצגה למעלה באיור). מצב הפעלה זה משמש כברירת מחדל.

כאשר FortiAnalyzer פועל במצב Collector, הוא אוסף יומנים ממכשירים אחרים ולאחר מכן מעביר אותם למכשיר אחר, כגון FortiAnalyzer במצב Analyzer או Syslog. במצב Collector, FortiAnalyzer לא יכול להשתמש ברוב התכונות, כגון דיווח והתראות, מכיוון שמטרתו העיקרית היא איסוף והעברה של יומנים.

שימוש במספר התקני FortiAnalyzer במצבים שונים יכול להגביר את הפרודוקטיביות - FortiAnalyzer במצב Collector אוסף יומנים מכל המכשירים ושולח אותם ל-Analyzer לניתוח עוקב, מה שמאפשר ל-FortiAnalyzer במצב Analyzer לחסוך במשאבים המושקעים בקבלת יומנים ממספר מכשירים ולהתמקד לחלוטין ב עיבוד יומן.

FortiAnalyzer תומך בשפת שאילתות SQL הצהרתית לרישום ודיווח. בעזרתו, יומנים מוצגים בצורה קריא. כמו כן, באמצעות שפת שאילתה זו, נבנים דוחות שונים. חלק מיכולות הדיווח דורשות קצת ידע ב-SQL ובבסיס נתונים, אך היכולות המובנות של FortiAnalyzer לרוב מבטלות את הידע הזה. ניתקל בכך שוב כאשר נשקול את מנגנון הדיווח.

FortiAnalyzer עצמו מגיע בכמה טעמים. זה יכול להיות מכשיר פיזי נפרד, מכונה וירטואלית - היפרוויזורים שונים נתמכים, ניתן למצוא את הרשימה המלאה שלהם ב טופס מידע. ניתן לפרוס אותו גם בתשתיות מיוחדות - AWS. Azure, Google Cloud ואחרים. והאפשרות האחרונה היא FortiAnalyzer Cloud, שירות ענן שמסופק על ידי Fortinet.

בשיעור הבא נכין פריסה לעבודה מעשית נוספת. כדי לא לפספס את זה, הירשמו לנו ערוץ יוטיוב.

תוכל גם לעקוב אחר העדכונים במשאבים הבאים:

קהילת Vkontakte
יאנדקס זן
האתר שלנו
ערוץ טלגרם

מקור: www.habr.com