1. FortiAnalyzer 시작하기 v6.4. 소개

안녕하세요 친구! 새로운 FortiAnalyzer 시작하기 과정에 오신 것을 환영합니다. 코스 중 포티넷 시작하기 우리는 이미 FortiAnalyzer의 기능을 살펴봤지만 다소 피상적으로만 살펴보았습니다. 이제 이 제품, 목표, 목적 및 기능에 대해 더 자세히 설명하고 싶습니다. 이번 강좌는 지난 강좌만큼 방대하지는 않지만 흥미롭고 유익한 강좌가 되기를 바랍니다.

수업이 완전히 이론적인 것으로 판명되었으므로 귀하의 편의를 위해 기사 형식으로도 발표하기로 결정했습니다.

이 과정에서는 다음 사항을 다룹니다.

• 제품, 목적, 작업 및 주요 기능에 대한 일반 정보
• 레이아웃을 준비하겠습니다. 준비하는 동안 FortiAnalyzer의 초기 구성을 자세히 살펴보겠습니다.
• 간편한 검색을 위해 로그를 저장, 처리 및 필터링하는 메커니즘에 대해 알아보고, 네트워크 상태에 대한 시각적 정보를 다양한 그래프, 다이어그램 및 기타 위젯의 형태로 표시하는 FortiView 메커니즘도 고려해 보겠습니다.
• 기존 보고서를 만드는 과정을 살펴보고, 나만의 보고서를 만들고 기존 보고서를 편집하는 방법도 알아보세요.
• FortiAnalyzer 관리와 관련된 주요 문제를 살펴보겠습니다.
• 라이센스 체계에 대해 다시 논의해 보겠습니다. 이 과정의 11과에서 이미 이에 대해 이야기했습니다. 포티넷 시작하기, 그러나 그들이 말했듯이 반복은 배움의 어머니입니다.

FortiAnalyzer의 주요 목적은 하나 이상의 Fortinet 장치의 로그를 중앙 집중식으로 저장하고 처리 및 분석하는 것입니다. 이를 통해 보안 관리자는 다양한 네트워크 및 보안 이벤트를 한 곳에서 모니터링하고, 로그 및 위젯에서 필요한 정보를 신속하게 얻고, 전체 또는 특정 장치에 대한 보고서를 작성할 수 있습니다.
FortiAnalyzer가 로그를 수신하고 분석할 수 있는 장치 목록은 아래 그림에 나와 있습니다.

FortiAnalyzer에는 보고, 경고, 보관이라는 세 가지 주요 기능이 있습니다. 각각을 살펴보겠습니다.

보고 - 보고서는 지원되는 장치에서 발생하는 네트워크 이벤트, 보안 이벤트 및 다양한 활동을 시각적으로 표현합니다. 보고 메커니즘은 기존 로그에서 필요한 데이터를 수집하여 읽고 분석하기 쉬운 형식으로 제공합니다. 보고서를 사용하면 장치 성능, 네트워크 보안, 가장 많이 방문한 리소스 등에 대한 필요한 정보를 빠르게 얻을 수 있습니다. 많은 옵션이 있습니다. 보고서는 장기간에 걸쳐 네트워크 및 지원 장치의 상태를 분석하는 데에도 사용할 수 있습니다. 다양한 보안 사고를 조사할 때 필수적인 경우가 많습니다.

경고를 통해 네트워크에서 발생하는 다양한 위협에 신속하게 대응할 수 있습니다. 시스템은 바이러스 탐지, 다양한 취약점 악용 등 사전 구성된 조건을 충족하는 로그가 나타날 때 경고를 생성합니다. 이러한 경고는 FortiAnalyzer 웹 인터페이스에서 볼 수 있으며, SNMP 프로토콜을 통해 syslog 서버 및 특정 이메일 주소로 전송하도록 구성할 수 있습니다.

보관을 사용하면 네트워크를 통해 흐르는 다양한 콘텐츠의 복사본을 FortiAnalyzer에 저장할 수 있습니다. 이는 일반적으로 DLP 엔진과 함께 사용되어 엔진의 다양한 규칙에 속하는 다양한 파일을 저장합니다. 다양한 보안 사고를 조사하는 데에도 유용할 수 있습니다.

또 다른 흥미로운 기능은 관리 도메인을 사용하는 기능입니다. 이 기술을 사용하면 장치 유형, 지리적 위치 등 다양한 기준에 따라 장치 그룹을 생성할 수 있습니다. 이러한 장치 그룹을 생성하는 목적은 다음과 같습니다.

• 간편한 모니터링 및 관리를 위해 유사한 특성을 기반으로 장치를 그룹화합니다. 예를 들어 장치는 지리적 위치를 기준으로 그룹화됩니다. 동일한 그룹에 있는 장치에 대한 로그에서 일부 정보를 찾아야 합니다. 로그를 주의 깊게 필터링하는 대신 필요한 관리 도메인에 대한 로그를 보고 필요한 정보를 찾으면 됩니다.
• 관리 액세스를 차별화하기 위해 - 각 관리 도메인에는 이 관리 도메인에만 액세스할 수 있는 관리자가 한 명 이상 있을 수 있습니다.
• 장치 데이터에 대한 디스크 공간 및 저장소 정책을 효율적으로 관리 - 모든 장치에 대해 단일 저장소 구성을 만드는 대신 관리 도메인을 사용하면 개별 장치 그룹에 대해 보다 적절한 구성을 설정할 수 있습니다. 이는 여러 장치가 있고 한 장치 그룹에서 3년 동안, 다른 장치 그룹에서는 XNUMX년 동안 데이터를 저장해야 하는 경우 유용할 수 있습니다. 따라서 각 그룹에 적합한 디스크 공간을 할당할 수 있습니다. 로그를 많이 생성하는 그룹에는 더 많은 공간을 할당하고 다른 그룹에는 더 적은 공간을 할당할 수 있습니다.

FortiAnalyzer는 분석기와 수집기의 두 가지 모드로 작동할 수 있습니다. 작동 모드는 개별 요구 사항 및 네트워크 토폴로지에 따라 선택됩니다.

FortiAnalyzer는 분석기 모드에서 작동할 때 하나 이상의 로그 수집기의 기본 로그 수집기 역할을 합니다. 로그 수집기는 수집기 모드의 FortiAnalyzer와 FortiAnalyzer에서 지원하는 기타 장치입니다(해당 목록은 그림 위에 표시되어 있음). 이 작동 모드는 기본적으로 사용됩니다.

FortiAnalyzer가 수집기 모드에서 실행되면 다른 장치에서 로그를 수집한 다음 분석기 또는 Syslog 모드의 FortiAnalyzer와 같은 다른 장치로 전달합니다. 수집기 모드에서는 FortiAnalyzer의 주요 목적이 로그를 수집하고 전달하는 것이기 때문에 보고 및 경고와 같은 대부분의 기능을 사용할 수 없습니다.

다양한 모드에서 여러 FortiAnalyzer 장치를 사용하면 생산성이 향상될 수 있습니다. 수집기 모드의 FortiAnalyzer는 모든 장치에서 로그를 수집하여 후속 분석을 위해 분석기로 보냅니다. 로그 처리.

FortiAnalyzer는 로깅 및 보고를 위한 선언적 SQL 쿼리 언어를 지원합니다. 도움을 받으면 로그가 읽을 수 있는 형식으로 표시됩니다. 또한 이 쿼리 언어를 사용하여 다양한 보고서가 작성됩니다. 일부 보고 기능에는 SQL 및 데이터베이스 지식이 필요하지만 FortiAnalyzer의 내장 기능으로 인해 이러한 지식이 필요하지 않은 경우가 많습니다. 보고 메커니즘을 고려할 때 이 문제를 다시 만나게 됩니다.

FortiAnalyzer 자체는 다양한 형태로 제공됩니다. 이는 별도의 물리적 장치, 가상 머신일 수 있습니다. 다양한 하이퍼바이저가 지원되며 전체 목록은 다음에서 찾을 수 있습니다. 데이터 시트. 또한 AWS라는 전문 인프라에 배포할 수도 있습니다. Azure, Google Cloud 등. 그리고 마지막 옵션은 포티넷이 제공하는 클라우드 서비스인 FortiAnalyzer Cloud입니다.

다음 강의에서는 추가적인 실제 작업을 위한 레이아웃을 준비하겠습니다. 놓치지 않으려면 구독하세요. 유튜브 채널.

다음 리소스에 대한 업데이트를 따를 수도 있습니다.

페이스 북 그룹
Yandex Zen
우리 사이트
텔레그램 채널

출처 : habr.com