Hei, venner! Vi er glade for Ä Þnske dere velkommen til vÄrt nye kurs, FortiAnalyzer Getting Started. I kurset har vi allerede sett pÄ funksjonaliteten til FortiAnalyzer, men vi har vÊrt ganske overfladiske. NÄ vil jeg gjerne fortelle mer detaljert om dette produktet, om dets mÄl, oppgaver og muligheter. Dette kurset skal ikke bli sÄ omfattende som det forrige, men jeg hÄper det vil bli interessant og lÊrerikt.
Ettersom leksjonen ble helt teoretisk, har vi besluttet Ä presentere den ogsÄ i artikkelformat for deres bekvemmelighet.
I lĂžpet av dette kurset vil vi vurdere fĂžlgende punkter:
- Generell informasjon om produktet, dets formÄl, oppgaver og nÞkkelfunksjoner
- Vi skal lage en mal, der vi i prosessen skal se nÊrmere pÄ den innledende konfigurasjonen av FortiAnalyzer
- Vi vil bli kjent med mekanismen for lagring, behandling og filtrering av logger for lettere sÞk, samt se pÄ mekanismen FortiView, som presenterer visuell informasjon om nettverkstilstanden i form av ulike grafer, diagrammer og andre widgets
- Vi vil gÄ gjennom prosessen med Ä lage eksisterende rapporter, samt lÊre Ä opprette egne rapporter og redigere eksisterende rapporter
- Vi vil ta en gjennomgang av de viktigste spÞrsmÄlene knyttet til administrasjon av FortiAnalyzer
- Vi vil diskutere lisensieringsskjemaet pĂ„ nytt â jeg har allerede snakket om det i leksjon 11 i kurset , men som sagt, repetisjon er lĂŠringens mor.
HovedformÄlet med FortiAnalyzer er sentralisert lagring av logger fra ett eller flere Fortinet-enheter, samt behandling og analyse av dem. Dette gjÞr det mulig for sikkerhetsadministratorer Ä overvÄke ulike nettverks- og sikkerhetshendelser fra ett sted, raskt hente nÞdvendig informasjon fra logger og widgets, samt lage rapporter for alle eller spesifikke enheter.
Listen over enheter som FortiAnalyzer kan motta logger fra og analysere dem, er vist i figuren nedenfor.
FortiAnalyzer har tre nĂžkkelfunksjoner â rapportering, varsling, arkivering. La oss se nĂŠrmere pĂ„ hver av dem.
Rapportering â rapportene gir en visuell fremstilling av nettverksbegivenheter, sikkerhetsbegivenheter og ulike aktiviteter som skjer pĂ„ de stĂžttede enhetene. Rapporteringssystemet samler inn nĂždvendige data fra eksisterende logger og presenterer dem i en lettlest og analyserbar form. Med rapportene kan man raskt fĂ„ nĂždvendig informasjon om enhetenes ytelse, nettverkssikkerhet, de mest besĂžkte ressursene og sĂ„ videre. Det finnes mange varianter. Rapportene kan ogsĂ„ brukes til Ă„ analysere tilstanden til nettverket og de stĂžttede enhetene over en lengre periode. De er ofte uunnvĂŠrlige i etterforskningen av ulike sikkerhetsrelaterte hendelser.
Varsler gjĂžr det mulig Ă„ raskt reagere pĂ„ ulike trusler som skjer i nettverket. Systemet genererer varsler nĂ„r logger dukker opp som oppfyller pĂ„ forhĂ„nd konfigurerte betingelser â oppdagelse av virus, utnyttelse av ulike sĂ„rbarheter og sĂ„ videre. Disse varslene kan ses i nettgrensesnittet til FortiAnalyzer, og man kan ogsĂ„ sette opp sending via SNMP-protokollen, til en syslog-server, samt til bestemte e-postadresser.
Arkivering gjÞr det mulig Ä lagre kopier av ulikt innhold som passerer gjennom nettverket pÄ FortiAnalyzer. Dette brukes vanligvis i forbindelse med DLP-mekanismen for lagring av ulike filer som omfattes av ulike regler for denne mekanismen. Dette kan ogsÄ vÊre nyttig i etterforskningen av ulike sikkerhetshendelser.
En annen interessant funksjon er muligheten for Ă„ bruke administrative domener. Denne teknologien gjĂžr det mulig Ă„ opprette grupper av enheter basert pĂ„ ulike kriterier â enhetstype, geografisk plassering og sĂ„ videre. MĂ„let med Ă„ opprette slike gruppeenheter er:
- Gruppering av enheter etter lignende kriterier for lettere overvĂ„king og administrasjon â for eksempel kan enhetene vĂŠre gruppert etter geografisk plassering. Du mĂ„ finne en viss informasjon i loggene om enhetene som befinner seg i samme gruppe. I stedet for Ă„ grundig filtrere loggene, ser du bare pĂ„ loggene for det aktuelle administrative domenet og sĂžker etter den nĂždvendige informasjonen.
- For the separation of administrative access â each administrative domain can have one or more administrators who have access only to that specific administrative domain.
- Effective management of disk space and data retention policies from devices â instead of creating a single data storage configuration for all devices, administrative domains allow for more suitable configurations for individual groups of devices. This can be useful if you have multiple devices, with one group needing to retain data for a year, and another for three years. Accordingly, appropriate disk space can be allocated for each group â allocating more space for a group generating a large number of logs, and less for another group.
FortiAnalyzer can operate in two modes â Analyzer and Collector. The operating mode is chosen based on individual requirements and network topology.
When FortiAnalyzer operates in Analyzer mode, it acts as the primary aggregator of logs from one or more log collectors. Log collectors include both FortiAnalyzer in Collector mode and other devices supported by FortiAnalyzer (their list was presented above in the figure). This operating mode is used by default.
When FortiAnalyzer operates in Collector mode, it gathers logs from other devices and then forwards them to another device, such as FortiAnalyzer in Analyzer mode or Syslog. In Collector mode, FortiAnalyzer cannot use most functions, such as reporting and alerts, as its main purpose is to collect and forward logs.
Using multiple FortiAnalyzer devices in various modes can enhance performance â FortiAnalyzer in Collector mode collects logs from all devices and forwards them to Analyzer for further analysis, allowing FortiAnalyzer in Analyzer mode to conserve resources spent on receiving logs from numerous devices and fully focus on log processing.
FortiAnalyzer stÞtter et deklarativt SQL-spÞrringssprÄk for logging og rapportering. Med dette kan logger presenteres i lesbar form. Dette spÞrringssprÄket brukes ogsÄ til Ä lage ulike rapporter. For noen rapporteringsfunksjoner kreves det spesifikke kunnskaper om SQL og databaser, men ofte lar de innebygde funksjonene i FortiAnalyzer deg klare deg uten disse kunnskapene. Vi vil komme tilbake til dette nÄr vi tar for oss rapporteringsmekanismen.
FortiAnalyzer kan tilbys i flere varianter. Det kan vĂŠre en separat fysisk enhet, en virtuell maskin â ulike hypervisorer stĂžttes, og den komplette listen finner du i . Det kan ogsĂ„ distribueres i spesialiserte infrastrukturer â AWS, Azure, Google Cloud og andre. Den siste varianten er FortiAnalyzer Cloud â en skybasert tjeneste levert av Fortinet.
I neste leksjon vil vi forberede et oppsett for videre praktisk arbeid. For ikke Ä gÄ glipp av det, abonner pÄ vÄr .
Du kan ogsÄ fÞlge med pÄ oppdateringer pÄ fÞlgende ressurser:
Kilde: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Lithuanian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish