🥇3. FortiAnalyzer Miwiti v6.4. Nggarap log

Sugeng rawuh ing wulangan katelu kursus kasebut. FortiAnalyzer Miwiti. Ing wulangan pungkasan kita wis masang tata letak sing dibutuhake kanggo ngrampungake karya lab. Ing pawulangan iki kita bakal ndeleng prinsip dhasar nggarap log on FortiAnalyzer, kita bakal kenalan karo pawang acara, lan uga nimbang mekanisme pangayoman log. Bagean teoretis, uga rekaman lengkap pelajaran video ana ing sangisore potong.

Kanggo ngumpulake log saka piranti, kudu didaftar ing FortiAnalyzer. Ana rong pilihan registrasi.

Opsi pisanan yaiku ngaktifake pilihan "kirim log menyang FortiAnalyzer" ing piranti sing didaftar lan nemtokake alamat IP. Sawise iku, panjalukan kanggo ndhaptar piranti iki dikirim menyang FortiAnalyzer. Administrator kudu konfirmasi utawa nolak panjalukan sing ditampa. Yen teknologi domain administratif diaktifake, FortiGate bisa ditambahake ing loro ADOM utama (disebut ROOT, kita kerjo karo ing pawulangan sadurungé) lan kanggo ADOM poto-digawe, kang dimaksudaké kanggo piranti FortiGate.
Opsi kapindho yaiku sing disebut Wisaya Registrasi Piranti. Registrasi piranti dumadi ing FortiAnalyzer dhewe. Kanggo registrasi, informasi babagan piranti sing kadhaptar dibutuhake - nomer seri, alamat IP, jinis piranti, lan versi sistem operasi. Yen verifikasi data sukses, piranti kasebut ditambahake menyang dhaptar FortiAnalyzer. Yen teknologi domain administratif diaktifake, piranti kasebut bakal kanthi otomatis ndhaptar ing domain administratif sing cocog. Yen sampeyan wis nggawe sawetara domain administratif kasebut, sampeyan kudu ndhaptar piranti saka domain administratif sing pengin ditambahake.

Saben piranti ngasilake macem-macem jinis log. Jinis utama log sing bisa digawe piranti Fortinet ditampilake ing gambar ing ngisor iki.

Kita wis ngomong babagan pangolahan awal log ing pawulangan sadurunge, nanging aku mikir sampeyan kudu nyegerake memori sampeyan. Log sing teka ing FortiAnalyzer dikompres lan disimpen ing file log. Nalika file iki tekan ukuran tartamtu, iku bakal ditumpuk lan diarsipaké. Log kasebut diarani arsip. Iki dianggep minangka log offline, amarga ora bisa dianalisis kanthi nyata. Padha kasedhiya kanggo ndeleng mung ing format RAW. Kabijakan penylametan data ing domain administratif nemtokake suwene log kasebut bakal disimpen ing memori FortiAnalyzer.

Ing wektu sing padha, log kasebut diindeks ing basis data SQL kanggo ndhukung analytics. Log iki dianalisis ing FortiAnalyzer kanthi nyata nggunakake mesin Log View, FortiView, lan Reports. Kabijakan penylametan data ing domain administratif nemtokake suwene log kasebut disimpen ing memori FortiAnalyzer. Sawise log kasebut dibusak saka memori FortiAnalyzer, bisa uga tetep minangka log arsip, nanging iki gumantung marang kabijakan penylametan data ing domain administratif.

Proses pangolahan log ditampilake kanthi skema ing gambar ing ngisor iki.

Nalika log teka ing piranti, lagi dicenthang dening pawang acara. Dheweke ngidini sampeyan nglacak acara sing menarik nggunakake kahanan sing wis dikonfigurasi. Kahanan kasebut disetel menyang paramèter sing ana ing log format RAW. Sistem kasebut nduweni sakumpulan acara sing wis dikonfigurasi kanggo saben domain administratif, nanging sampeyan bisa nggawe panangan acara dhewe yen perlu. Keuntungan utama panangan acara yaiku nalika acara sing menarik, sistem bisa ngirim kabar - menyang server email utawa syslog, uga liwat SNMP. Iki ngidini sampeyan nanggapi kanthi cepet kanggo acara sing kedadeyan ing jaringan.

Saiki ayo ngomong babagan proteksi log. Wiwit log nyimpen informasi penting babagan apa sing kedadeyan ing jaringan, mula kudu dilindhungi saka kemungkinan kerugian amarga macem-macem kegagalan lan saka kompromi eksternal. Teknologi pisanan sing bakal mbantu nglindhungi log yen ana macem-macem kegagalan yaiku RAID. Iku ngijini sampeyan kanggo dibagi spasi saka disk kasedhiya menyang sawetara perangan logis supaya yen siji utawa luwih disk gagal (gumantung saka jinis RAID), data ora ilang. Jinis RAID utama sing bisa digunakake ing FortiAnalyzer ditampilake ing gambar ing ngisor iki.

RAID 0 nyebarake informasi ing 2 utawa luwih disk. Tujuan utama yaiku kacepetan lan kinerja. Yen siji utawa luwih disk gagal, kabeh disk array bakal nandhang sangsara;
RAID 1 nyebarake salinan informasi ing 2 utawa luwih disk. Yen salah siji disk gagal, array disk bakal terus mlaku kanthi normal;
RAID 5 nyebarake informasi ing pirang-pirang disk, lan uga nyedhiyakake siji disk ing saben sing disebut "rantai informasi" kanggo pemulihan data. Yen salah siji disk gagal, array disk bakal terus mlaku kanthi normal;
RAID 6 dianggo kanthi cara sing padha, mung rong disk sing diparengake kanggo data pemulihan;
RAID 10 nggabungake opsi RAID 0 lan RAID 1. Iki bakal ngidini sampeyan terus nggarap informasi yen 2 disk gagal (siji saka saben RAID, yen ora, ora bisa maca informasi kasebut);
RAID 50 nggabungke fungsi RAID 0 lan RAID 5. Ing kasus iki, karya stabil karo informasi bakal terus sanajan siji disk ing saben RAID 5 gagal;
RAID 60 nggabungake fungsi RAID 0 lan RAID 6. Ing kasus iki, karya stabil kanthi informasi bakal terus sanajan 6 disk gagal ing saben RAID 2.

Mekanisme sabanjure yaiku serep log. Ana sawetara pilihan serep - saka menu Log View, ing ngendi sampeyan bisa nggunakake panyaring khusus kanggo nyimpen log sing dibutuhake, utawa Log Browse, saka ngendi sampeyan bisa ngundhuh file log sing direkam. Sampeyan uga bisa nggawe serep log menyang server eksternal nggunakake antarmuka CLI.

Mekanisme liyane sing ngidini sampeyan nglindhungi informasi penting sing ana ing log yaiku redundansi. Ing kene uga ana sawetara opsi.

Kapisan yaiku nalika piranti ngirim log menyang 2 FortiAnalyzers bebarengan - salah sijine yaiku sing utama, sing liyane minangka serep.
Cara liya sing wis dibahas ing pawulangan sadurunge - siji FortiAnalyzer beroperasi ing mode kolektor lan ngumpulake log saka macem-macem piranti. Miturut jadwal, log sing diklumpukake dikirim menyang FortiAnalyzer, sing beroperasi ing mode Analyzer. Yen gagal kaping pindho, kolektor bakal bisa nerusake log menyang FortiAnalyzer liyane.
Lan pilihan katelu kanggo nransfer log saka FortiAnalyzer menyang server njaba, contone, kanggo Syslog. Ing kasus iki, log bakal ditransfer ing wektu nyata.

Kanggo nglindhungi log saka kompromi, rong mekanisme utama digunakake:

Enkripsi saluran transmisi data antarane FortiAnalyzer lan piranti liyane;
Nglindhungi log saka modifikasi kanthi nambah checksum.

Tutorial video nyedhiyakake materi teoretis sing dibahas ing ndhuwur, lan uga nliti aspek praktis nggarap log - nyaring, ndeleng ing macem-macem mode, nyetel panangan acara. Seneng nonton!