1. FortiAnalyzer Започнување v6.4. Вовед

Здраво пријатели! Со задоволство ви посакуваме добредојде на нашиот нов курс FortiAnalyzer Getting Started. На курсот Fortinet Започнување Веќе ја разгледавме функционалноста на FortiAnalyzer, но поминавме низ неа прилично површно. Сега сакам да ви кажам подетално за овој производ, за неговите цели, цели и можности. Овој курс не треба да биде обемен како минатиот, но се надевам дека ќе биде интересен и информативен.

Бидејќи лекцијата се покажа како целосно теоретска, за ваша погодност решивме да ја претставиме и во формат на статија.

Во текот на овој курс ќе ги покриеме следниве точки:

• Општи информации за производот, неговата намена, задачи и клучни карактеристики
• Ајде да подготвиме распоред за време на подготовката, ќе ја разгледаме поблиску почетната конфигурација на FortiAnalyzer
• Ајде да се запознаеме со механизмот за складирање, обработка и филтрирање на дневници за лесно пребарување, а исто така да го разгледаме механизмот FortiView, кој прикажува визуелни информации за состојбата на мрежата во форма на различни графикони, дијаграми и други графички контроли
• Да го погледнеме процесот на креирање постоечки извештаи, а исто така да научиме како да креирате сопствени извештаи и да ги уредувате постоечките извештаи
• Ајде да ги разгледаме главните прашања поврзани со администрацијата на FortiAnalyzer
• Ајде повторно да разговараме за шемата за лиценцирање - веќе зборував за тоа во лекцијата 11 од курсот. Fortinet Започнување, но како што велат, повторувањето е мајка на учењето.

Главната цел на FortiAnalyzer е централизирано складирање на дневници од еден или повеќе уреди на Fortinet, како и нивна обработка и анализа. Ова им овозможува на администраторите за безбедност да следат различни мрежни и безбедносни настани од едно место, брзо да ги добијат потребните информации од дневници и виџети и да градат извештаи на сите или одредени уреди.
Списокот на уреди од кои FortiAnalyzer може да прима дневници и да ги анализира е претставен на сликата подолу.

FortiAnalyzer има три клучни карактеристики: известување, предупредувања и архивирање. Ајде да погледнеме во секој од нив.

Известување - Извештаите обезбедуваат визуелно претставување на мрежни настани, безбедносни настани и различни активности што се случуваат на поддржаните уреди. Механизмот за известување ги собира потребните податоци од постоечките дневници и ги прикажува во форма која е лесна за читање и анализа. Користејќи извештаи, можете брзо да ги добиете потребните информации за перформансите на уредот, мрежната безбедност, најпосетуваните ресурси итн. Има многу опции. Извештаите може да се користат и за анализа на статусот на мрежата и поддржаните уреди во текот на подолг временски период. Доста често тие се незаменливи кога се истражуваат разни безбедносни инциденти.

Известувањата ви овозможуваат брзо да одговорите на разни закани што се случуваат на мрежата. Системот генерира предупредувања кога се појавуваат дневници кои ги задоволуваат однапред конфигурираните услови - откривање вируси, искористување на различни пропусти итн. Овие предупредувања може да се видат во веб-интерфејсот на FortiAnalyzer и можете да го конфигурирате нивното испраќање преку протоколот SNMP, до серверот за логови, а исто така и до одредени адреси на е-пошта.

Архивирањето ви овозможува да складирате копии од различни содржини што течат низ мрежата на FortiAnalyzer. Ова обично се користи заедно со моторот DLP за складирање на различни датотеки што спаѓаат во различни правила на моторот. Може да биде корисен и за истражување на разни безбедносни инциденти.

Друга интересна карактеристика е можноста за користење на административни домени. Оваа технологија ви овозможува да креирате групи уреди врз основа на различни критериуми - типови на уреди, географска локација итн. Создавањето на такви групи уреди служи за следните цели:

• Групирање уреди врз основа на слични карактеристики за полесно следење и управување - на пример, уредите се групирани по географска локација. Треба да најдете некои информации во дневниците за уреди лоцирани во истата група. Наместо внимателно да ги филтрирате дневниците, едноставно ги гледате дневниците за потребниот административен домен и ги барате потребните информации.
• За да се разликува административниот пристап - секој административен домен може да има еден или повеќе администратори кои имаат пристап само до овој административен домен
• Ефикасно управувајте со просторот на дискот и политиките за складирање податоци за уредот - Наместо да креирате единствена конфигурација за складирање за сите уреди, административните домени ви дозволуваат да поставите посоодветни конфигурации за поединечни групи уреди. Ова може да биде корисно ако имате неколку уреди, а од една група уреди треба да складирате податоци една година, а од друга - 3 години. Соодветно на тоа, можете да одвоите соодветен простор на дискот за секоја група - за група која генерира голем број дневници, да одвоите повеќе простор, а за друга група - помалку простор.

FortiAnalyzer може да работи во два режима - Анализатор и колектор. Режимот на работа е избран во зависност од индивидуалните барања и мрежната топологија.

Кога FortiAnalyzer работи во режим на анализатор, тој делува како примарен агрегатор на дневници од еден или повеќе собирачи на дневници. Собирачите на дневници се и FortiAnalyzer во режим на колектор и други уреди што се поддржани од FortiAnalyzer (нивната листа е прикажана погоре на сликата). Овој режим на работа се користи стандардно.

Кога FortiAnalyzer работи во режим на колектор, тој собира дневници од други уреди и потоа ги препраќа на друг уред, како што е FortiAnalyzer во режим на анализатор или Syslog. Во режим на колектор, FortiAnalyzer не може да ги користи повеќето функции, како што се известување и предупредувања, бидејќи неговата главна цел е да собира и проследува дневници.

Користењето на повеќе уреди на FortiAnalyzer во различни режими може да ја зголеми продуктивноста - FortiAnalyzer во режим на колектор ги собира дневниците од сите уреди и ги испраќа до Анализаторот за последователна анализа, што му овозможува на FortiAnalyzer во режим на анализатор да заштеди ресурси потрошени за примање дневници од повеќе уреди и целосно да се фокусира на обработка на дневници.

FortiAnalyzer поддржува декларативен јазик за пребарување SQL за евидентирање и известување. Со негова помош, дневниците се претставени во читлива форма. Исто така, користејќи го овој јазик за пребарување, се градат различни извештаи. Некои способности за известување бараат одредено знаење за SQL и база на податоци, но вградените способности на FortiAnalyzer често го елиминираат ова знаење. Ќе се сретнеме со ова повторно кога ќе го разгледаме механизмот за известување.

Самиот FortiAnalyzer доаѓа во неколку вкусови. Ова може да биде посебен физички уред, виртуелна машина - поддржани се различни хипервизори, нивната целосна листа може да се најде во податоци. Може да се распореди и во специјализирани инфраструктури - AWS. Azure, Google Cloud и други. Конечната опција е FortiAnalyzer Cloud, облак услуга обезбедена од Fortinet.

Во следната лекција ќе подготвиме распоред за понатамошна практична работа. За да не го пропуштите, претплатете се на нашата YouTube канал.

Можете исто така да ги следите ажурирањата на следните ресурси:

Vkontakte заедница
Јандекс Зен
Нашата страница
Телеграмски канал

Извор: www.habr.com