9. תחילת העבודה של Fortinet v6.0. רישום ודיווח

ברכות! ברוכים הבאים לשיעור התשיעי של הקורס פורטינט תחילת העבודה. על שיעור אחרון בחנו את המנגנונים הבסיסיים לשליטה בגישה של משתמשים למשאבים שונים. כעת יש לנו משימה נוספת - עלינו לנתח את התנהגות המשתמשים ברשת, וגם להגדיר את קבלת הנתונים שיכולים לסייע בחקירת אירועי אבטחה שונים. לכן, בשיעור זה נבחן את מנגנון הרישום והדיווח. לשם כך נצטרך את FortiAnalyzer, אותו פרסנו בתחילת הקורס. התיאוריה הדרושה, כמו גם שיעור וידאו, זמינים תחת החתך.

ב- FotiGate, יומנים מחולקים לשלושה סוגים: יומני תנועה, יומני אירועים ויומני אבטחה. הם, בתורם, מחולקים לתת-סוגים.

יומני תנועה מתעדים מידע על זרימת תנועה כגון בקשות ותגובות, אם יש כאלה. סוג זה מכיל את תת-הסוגים Forward, Local ו-Sniffer.

תת-הסוג Forward מכיל מידע על תעבורה שה-FortiGate קיבל או דחה בהתבסס על מדיניות חומת האש.

תת-הסוג המקומי מכיל מידע על תעבורה ישירות מכתובת ה-IP של FortiGate ומכתובות ה-IP שמהן מתבצע הניהול. לדוגמה, חיבורים לממשק האינטרנט של FortiGate.

תת-הסוג Sniffer מכיל יומני תעבורה שהושגו באמצעות שיקוף תעבורה.

יומני אירועים מכילים אירועים מערכתיים או ניהוליים, כגון הוספה או שינוי של פרמטרים, הקמה ושבירה של מנהרות VPN, אירועי ניתוב דינמיים וכן הלאה. כל תת-הסוגים מוצגים באיור שלהלן.

והסוג השלישי הוא יומני אבטחה. יומנים אלו מתעדים אירועים הקשורים להתקפות וירוסים, ביקורים במשאבים אסורים, שימוש באפליקציות אסורות וכן הלאה. הרשימה המלאה מוצגת גם באיור שלהלן.

ניתן לאחסן יומנים במקומות שונים - גם ב-FortiGate עצמו וגם מחוצה לו. אחסון יומנים ב-FortiGate נחשב כרישום מקומי. בהתאם למכשיר עצמו, ניתן לאחסן יומנים בזיכרון ההבזק של המכשיר או בכונן הקשיח. ככלל, לדגמים מהאמצע יש כונן קשיח. די קל להבחין בין דגמים עם כונן קשיח - בסוף יש יחידה. לדוגמה, FortiGate 100E מגיע ללא כונן קשיח, ו-FortiGate 101E מגיע עם כונן קשיח.

לדגמים צעירים ומבוגרים יותר אין בדרך כלל כונן קשיח. במקרה זה, זיכרון הבזק משמש להקלטת יומנים. עם זאת, כדאי לקחת בחשבון שכתיבת יומנים מתמדת לזיכרון הפלאש יכולה להפחית את היעילות ואת חיי השירות שלו. לכן, כתיבת יומנים לזיכרון הבזק מושבתת כברירת מחדל. מומלץ להפעיל אותו רק עבור רישום אירועים תוך פתרון בעיות ספציפיות.

בעת רישום אינטנסיבי של יומנים, זה לא משנה לכונן הקשיח או זיכרון הבזק, ביצועי המכשיר יפחתו.

זה די נפוץ לאחסן יומנים בשרתים מרוחקים. FortiGate יכול לאחסן יומנים על שרתי Syslog, FortiAnalyzer או FortiManager. אתה יכול גם להשתמש בשירות הענן FortiCloud כדי לאחסן יומנים.

Syslog הוא שרת לאחסון מרכזי של יומנים מהתקני רשת.
FortiCloud הוא שירות ניהול אבטחה ואחסון יומנים מבוסס מנוי. בעזרתו תוכלו לאחסן מרחוק יומנים ולבנות דוחות מתאימים. אם יש לך רשת קטנה למדי, ייתכן שפתרון טוב הוא להשתמש בשירות הענן הזה במקום לרכוש ציוד נוסף. יש גרסה חינמית של FortiCloud הכוללת אחסון יומן שבועי. לאחר רכישת מנוי, יומנים יכולים להישמר למשך שנה.

FortiAnalyzer ו-FortiManager הם התקני אחסון יומנים חיצוניים. בשל העובדה שלכולם יש את אותה מערכת הפעלה - FortiOS - אינטגרציה של FortiGate עם מכשירים אלו אינה מעוררת קשיים.

עם זאת, יש לציין הבדלים בין מכשירי FortiAnalyzer ו-FortiManager. המטרה העיקרית של FortiManager היא ניהול מרוכז של מספר מכשירי FortiGate - לכן, כמות הזיכרון לאחסון יומנים ב-FortiManager קטנה משמעותית מאשר ב-FortiAnalyzer (אם, כמובן, נשווה דגמים מאותו פלח מחיר).

המטרה העיקרית של FortiAnalyzer היא בדיוק לאסוף ולנתח יומנים. לכן, עוד נשקול לעבוד איתו בפועל.

התיאוריה כולה, כמו גם החלק המעשי, מוצגת בשיעור וידאו זה:

בשיעור הבא, נסקור את היסודות של ניהול יחידת FortiGate. כדי לא לפספס, עקבו אחר העדכונים בערוצים הבאים:

• YouTube
• קהילת Vkontakte
• יאנדקס זן
• האתר שלנו
• ערוץ טלגרם

מקור: www.habr.com