4. FortiAnalyzer 시작하기 v6.4. 보고서 작업

안녕하세요 친구! ~에 마지막 수업 FortiAnalyzer에서 로그 작업의 기본 사항을 배웠습니다. 오늘은 더 나아가 보고서 작업의 주요 측면인 보고서의 정의, 구성 요소, 기존 보고서를 편집하고 새 보고서를 만드는 방법에 대해 살펴보겠습니다. 평소와 같이 먼저 약간의 이론을 배운 다음 실제로 보고서 작업을 할 것입니다. 컷 아래에는 강의의 이론적인 부분과 이론과 실습을 모두 포함하는 비디오 강의가 제공됩니다.

보고서의 주요 목적은 로그에 포함된 많은 양의 데이터를 결합하고 사용 가능한 설정에 따라 수신된 모든 정보를 그래프, 표, 차트 형식으로 읽을 수 있는 형식으로 표시하는 것입니다. 아래 그림은 FortiGate 장치에 대해 사전 설치된 보고서 목록을 보여줍니다(일부 보고서가 해당되지는 않지만 이 목록은 이미 상자에서 꺼내더라도 흥미롭고 유용한 많은 보고서를 작성할 수 있음을 보여줍니다).

그러나 보고서는 요청된 정보를 읽을 수 있는 방식으로만 제공하며 발견된 문제에 대한 추가 조치에 대한 권장 사항은 포함하지 않습니다.

보고서의 주요 구성 요소는 차트입니다. 각 보고서는 하나 이상의 차트로 구성됩니다. 차트는 로그에서 추출해야 하는 정보와 표시해야 하는 형식을 결정합니다. 데이터 세트는 정보 추출을 담당합니다. 데이터베이스에 대한 SELECT 쿼리입니다. 어디서부터 어떤 종류의 정보를 추출해야 하는지 정확하게 결정되는 것은 데이터 세트에 있습니다. 요청 결과 필요한 데이터가 나타나면 형식(또는 표시) 설정이 적용됩니다. 결과적으로 얻은 데이터는 다양한 유형의 표, 그래프 또는 차트로 작성됩니다.

SELECT 쿼리는 검색할 정보에 대한 조건을 설정하는 다양한 명령을 사용합니다. 고려해야 할 가장 중요한 사항은 이러한 명령이 아래 나열된 순서대로 특정 순서로 적용되어야 한다는 것입니다.
FROM은 SELECT 쿼리에 필요한 유일한 명령입니다. 정보를 추출해야 하는 로그 유형을 나타냅니다.
WHERE - 이 명령을 사용하여 로그 조건을 설정합니다(예: 애플리케이션/공격/바이러스의 특정 이름).
GROUP BY - 이 명령을 사용하면 관심 있는 하나 이상의 열로 정보를 그룹화할 수 있습니다.
ORDER BY - 이 명령을 사용하면 정보 출력을 라인별로 정렬할 수 있습니다.
LIMIT - 쿼리에서 반환되는 레코드 수를 제한합니다.

FortiAnalyzer에는 사전 정의된 보고서 템플릿이 포함되어 있습니다. 템플릿은 보고서 레이아웃이라고 하며 보고서의 텍스트, 차트 및 매크로를 포함합니다. 템플릿을 사용하면 미리 정의된 보고서에 최소한의 변경만 필요한 경우 새 보고서를 만들 수 있습니다. 그러나 사전 설치된 보고서는 편집하거나 삭제할 수 없습니다. 보고서를 복제하고 사본에서 필요한 사항을 변경할 수 있습니다. 자신만의 보고서 템플릿을 만드는 것도 가능합니다.

경우에 따라 다음과 같은 상황이 발생할 수 있습니다. 미리 정의된 보고서가 작업에 적합하지만 완전하지는 않습니다. 정보를 추가하거나 반대로 제거해야 할 수도 있습니다. 이 경우 템플릿 복제 및 변경 또는 보고서 자체의 두 가지 옵션이 있습니다. 여기에서 몇 가지 요인에 의존해야 합니다.

템플릿은 보고서의 레이아웃이며 차트와 보고서 텍스트만 포함합니다. 보고서 자체에는 소위 "레이아웃" 외에도 언어, 글꼴, 텍스트 색상, 생성 기간, 정보 필터링 등과 같은 다양한 보고서 매개 변수가 포함되어 있습니다. 따라서 보고서 레이아웃만 변경하면 되는 경우 템플릿을 사용할 수 있습니다. 추가 보고서 구성이 필요한 경우 보고서 자체(더 정확하게는 사본)를 편집할 수 있습니다.

템플릿을 기반으로 동일한 종류의 보고서를 여러 개 생성할 수 있으므로, 서로 유사한 보고서를 많이 만들어야 하는 경우에는 템플릿을 사용하는 것이 좋습니다.
사전 설치된 템플릿과 보고서가 적합하지 않은 경우 새 템플릿과 새 보고서를 모두 만들 수 있습니다.

또한 FortiAnalyzer에서는 개별 관리자에게 이메일로 보고서를 보내거나 외부 서버에 업로드하도록 구성할 수 있습니다. 이는 출력 프로필 메커니즘을 사용하여 수행됩니다. 별도의 출력 프로필은 각 관리 도메인에서 구성됩니다. 출력 프로필을 구성할 때 다음 매개변수가 정의됩니다.

• 전송된 보고서 형식 - PDF, HTML, XML 또는 CSV
• 보고서를 보낼 위치입니다. 이것은 관리자의 이메일일 수 있습니다(이를 위해 FortiAnalyzer를 메일 서버에 바인딩해야 합니다. 이 내용은 지난 강의에서 다루었습니다). FTP, SFTP, SCP와 같은 외부 파일 서버일 수도 있습니다.
• 전송 후 기기에 남아 있는 로컬 보고서를 유지할지 삭제할지 선택할 수 있습니다.

필요한 경우 보고서 생성 속도를 높일 수 있습니다. 두 가지 방법을 고려해 보겠습니다.
보고서를 생성할 때 FortiAnalyzer는 hcache로 알려진 미리 컴파일된 SQL 캐시 데이터에서 차트를 작성합니다. 보고서 실행 시 hcache 데이터가 생성되지 않으면 시스템에서 먼저 hcache를 생성한 다음 보고서를 작성해야 합니다. 이렇게 하면 보고서 생성 시간이 늘어납니다. 그러나 보고서에 대한 새 로그가 수신되지 않으면 보고서를 다시 생성할 때 hcache 데이터가 이미 컴파일되었기 때문에 생성 시간이 크게 단축됩니다.

보고서 생성 성능을 개선하기 위해 보고서 설정에서 자동 hcache 생성을 활성화할 수 있습니다. 이 경우 새 로그가 도착하면 hcache가 자동으로 업데이트됩니다. 설정 예는 아래 그림과 같습니다.

이 프로세스는 많은 양의 시스템 리소스를 사용하므로(특히 데이터 수집에 오랜 시간이 필요한 보고서의 경우) 전원을 켠 후 FortiAnalyzer의 상태를 모니터링해야 합니다. 시스템 자원 소모. FortiAnalyzer가 부하를 감당할 수 없는 경우 이 프로세스를 비활성화하는 것이 좋습니다.

또한 hcache 데이터의 자동 업데이트는 예약된 보고서에 대해 기본적으로 활성화된다는 점에 유의해야 합니다.

보고서 생성 속도를 높이는 두 번째 방법은 그룹화입니다.
다른 FortiGate(또는 다른 Fortinet) 장치에 대해 동일한(또는 유사한) 보고서가 생성되는 경우 그룹화하여 생성 프로세스 속도를 크게 높일 수 있습니다. 보고서를 그룹화하면 hcache 테이블 수를 줄이고 자동 캐싱 시간을 단축하여 보고서 생성 속도를 높일 수 있습니다.
아래 그림에 표시된 예에서 이름에 Security_Report 문자열이 포함된 보고서는 장치 ID 매개변수로 그룹화됩니다.

비디오 자습서는 위에서 설명한 이론적인 자료와 보고서 작업의 실제적인 측면(자신의 데이터 세트 및 차트, 템플릿 및 보고서 생성에서 관리자에게 보고서 보내기 설정에 이르기까지)을 제공합니다. 즐겁게 시청하세요!

다음 강의에서는 FortiAnalyzer 관리의 다양한 측면과 라이선스 체계를 살펴보겠습니다. 놓치지 않으려면 구독하십시오. 유튜브 채널.

다음 리소스에 대한 업데이트를 따를 수도 있습니다.

페이스 북 그룹
Yandex Zen
우리 사이트
텔레그램 채널

출처 : habr.com