{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Aan de slag v6.4. Werken met logs.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nWelkom bij de derde les van de cursus FortiAnalyzer Beginnen<\/a><\/noindex>. Op de vorige les<\/a><\/noindex> we hebben de lay-out opgezet die nodig is voor het uitvoeren van de laboratoriumopdrachten. In deze les zullen we de basisprincipes van het werken met logs op FortiAnalyzer<\/a><\/noindex>, leren we over gebeurtenishandlers en bekijken we de mechanismen ter beveiliging van logs. De theoretische onderdelen en een volledige opname van de video-les zijn beschikbaar onder de kat. <\/a><\/noindex><\/p>\n

Om logs van apparaten te verzamelen, moet je ze registreren op FortiAnalyzer. Er zijn twee opties voor registratie.<\/p>\n

    \n
  1. De eerste optie is het inschakelen van de optie 'logs naar FortiAnalyzer verzenden' op het te registreren apparaat en het opgeven van het IP-adres. Vervolgens wordt een registratieverzoek naar FortiAnalyzer gestuurd voor dit apparaat. De beheerder moet het ontvangen verzoek bevestigen of afwijzen. Als de technologie voor administratieve domeinen is ingeschakeld, kan FortiGate zowel aan het hoofd-ADOM (dat 'root' heet en waarmee we in de vorige les hebben gewerkt) als aan een zelfgemaakt ADOM worden toegevoegd, dat is bedoeld voor FortiGate-apparaten. <\/li>\n
  2. De tweede optie is de zogenaamde Device Registration Wizard. De registratie van het apparaat gebeurt op FortiAnalyzer zelf. Voor registratie zijn de gegevens van het te registreren apparaat nodig \u2014 het serienummer, IP-adres, type apparaat en de versie van het besturingssysteem. Als de gegevensverificatie succesvol is, wordt het apparaat aan de lijst van FortiAnalyzer toegevoegd. Als de technologie voor administratieve domeinen is ingeschakeld, wordt het apparaat automatisch geregistreerd in het juiste administratieve domein. Als je meerdere van dergelijke administratieve domeinen hebt, moet je het apparaat registreren vanuit het administratieve domein waarin je het wilt toevoegen. <\/li>\n<\/ol>\n

    \nElk apparaat genereert logs van verschillende types. De belangrijkste types logs die Fortinet-apparaten kunnen genereren, zijn weergegeven in de afbeelding hieronder. <\/p>\n

    \"3.
    \n
    \nWe hebben al gesproken over de initi\u00eble verwerking van logs in de vorige les, maar ik denk dat het goed is om onze geheugen op te frissen. Logs die binnenkomen op de FortiAnalyzer worden gecomprimeerd en opgeslagen in een logbestand. Wanneer dit bestand een bepaalde grootte bereikt, wordt het opnieuw geschreven en gearchiveerd. Dergelijke logs worden gearchiveerd genoemd. Ze worden beschouwd als offline logs, omdat ze niet in real-time geanalyseerd kunnen worden. Voor weergave zijn ze alleen beschikbaar in RAW-formaat. Het gegevensopslagbeleid in het administratieve domein bepaalt hoe lang dergelijke logs in het geheugen van de FortiAnalyzer worden bewaard. <\/p>\n

    Tegelijkertijd worden de logs ge\u00efndexeerd in de SQL-database ter ondersteuning van de analytics. Deze logs worden in FortiAnalyzer in real-time geanalyseerd met de mechanismen Log View, FortiView en Reports. Het gegevensopslagbeleid in het administratieve domein bepaalt hoeveel van deze logs in het geheugen van de FortiAnalyzer worden bewaard. Nadat deze logs uit het geheugen van de FortiAnalyzer zijn verwijderd, kunnen ze blijven bestaan als gearchiveerde logs, maar dit hangt af van het gegevensopslagbeleid in het administratieve domein. <\/p>\n

    De schematische weergave van het logverwerkingsproces is weergegeven in de afbeelding hieronder. <\/p>\n

    \"3.
    \n
    \nWanneer logs op het apparaat aankomen, worden ze gecontroleerd door de gebeurtenishandlers. Deze stellen in staat om interessante gebeurtenissen te volgen met behulp van vooraf ingestelde voorwaarden. De voorwaarden worden ingesteld op de parameters die zich in de RAW logs bevinden. In het systeem is er voor elk administratief domein een set vooraf ingestelde gebeurtenissen, maar indien nodig kunnen er ook eigen gebeurtenishandlers worden gemaakt. Het belangrijkste voordeel van gebeurtenishandlers is dat wanneer interessante gebeurtenissen zich voordoen, het systeem notificaties kan verzenden - naar e-mail of syslog-servers, ook via SNMP. Dit maakt het mogelijk om snel te reageren op gebeurtenissen die zich in het netwerk voordoen. <\/p>\n

    \"3.
    \n
    \nLaten we het nu hebben over logbeveiliging. Aangezien logs belangrijke informatie bevatten over wat er in het netwerk gebeurt, moeten ze worden beschermd tegen mogelijke verlies door verschillende storingen, evenals tegen externe compromittering. De eerste technologie die helpt bij het beschermen van logs in geval van verschillende storingen is RAID. Hiermee kan de beschikbare opslagruimte op meerdere schijven in verschillende logische segmenten worden verdeeld, zodat gegevens niet verloren gaan bij een storing van \u00e9\u00e9n of meerdere schijven (afhankelijk van het type RAID). De belangrijkste RAID-types die kunnen worden gebruikt in FortiAnalyzer worden hieronder afgebeeld.<\/p>\n

    \"3.
    \n<\/p>\n