{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Introduksjon v6.4. Arbeide med logger","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nVelkommen til den tredje leksjonen av kurset FortiAnalyzer Kom i Gang<\/a><\/noindex>. P\u00e5 forrige leksjon<\/a><\/noindex> vi har rullet ut malen som er n\u00f8dvendig for \u00e5 utf\u00f8re laboratoriearbeid. I denne leksjonen skal vi se p\u00e5 de grunnleggende prinsippene for loggbehandling p\u00e5 FortiAnalyzer<\/a><\/noindex>, bli kjent med hendelsesbehandlere, og vi vil ogs\u00e5 se p\u00e5 mekanismene for loggsikring. Teoridelen og full opptak av videoleksjonen ligger under kat. <\/a><\/noindex><\/p>\n

For \u00e5 samle inn logger fra enheter, m\u00e5 de registreres p\u00e5 FortiAnalyzer. Det finnes to metoder for registrering.<\/p>\n

    \n
  1. Den f\u00f8rste metoden \u2014 p\u00e5 den registrerte enheten aktiveres alternativet \u00absend logger til FortiAnalyzer\u00bb og IP-adressen angis. Deretter sendes en registreringsforesp\u00f8rsel til FortiAnalyzer for denne enheten. Administratoren m\u00e5 bekrefte eller avvise den mottatte foresp\u00f8rselen. Hvis teknologien for administrative domener er aktivert, kan FortiGate legges til i hoved ADOM (som kalles root, og som vi jobbet med i forrige leksjon), s\u00e5 vel som i et eget opprettet ADOM for FortiGate-enheter. <\/li>\n
  2. Den andre metoden \u2014 den s\u00e5kalte Device Registration Wizard. Registreringen skjer p\u00e5 selve FortiAnalyzer. For registreringen er informasjon om den registrerte enheten n\u00f8dvendig \u2014 serienummer, IP-adresse, enhetstype og operativsystemversjon. Hvis datavalideringen er vellykket, legges enheten til i listen over FortiAnalyzer. Hvis teknologien for administrative domener er aktivert, registreres enheten automatisk i det relevante administrative domenet. Hvis du har opprettet flere lignende administrative domener, m\u00e5 enheten registreres fra det administrative domenet du \u00f8nsker \u00e5 legge den til. <\/li>\n<\/ol>\n

    \nHver enhet genererer logger av forskjellige typer. Hovedtypene av logger som kan genereres av Fortinet-enheter, vises p\u00e5 bildet nedenfor. <\/p>\n

    \"3.
    \n
    \nVi har allerede snakket om den innledende behandlingen av logger i forrige leksjon, men det kan v\u00e6re lurt \u00e5 friske opp hukommelsen. Logger som kommer til FortiAnalyzer, komprimeres og lagres i en loggfil. N\u00e5r denne filen n\u00e5r en viss st\u00f8rrelse, blir den overskrevet og arkivert. Slike logger kalles arkiverte logger. De anses som offline logger, siden de ikke kan analyseres i sanntid. For visning er de kun tilgjengelige i RAW-format. Datapolitikken i det administrative domenet definerer hvor lenge slike logger vil bli lagret i minnet til FortiAnalyzer. <\/p>\n

    Samtidig indekseres logger i SQL-databasen for \u00e5 st\u00f8tte analyser. Disse loggene analyseres i FortiAnalyzer i sanntid ved hjelp av mekanismer som Log View, FortiView og Reports. Datapolitikken i det administrative domenet definerer hvor lenge slike logger vil bli lagret i minnet til FortiAnalyzer. Etter at disse loggene er slettet fra minnet til FortiAnalyzer, kan de fortsatt eksistere i form av arkiverte logger, men dette avhenger av datapolitikken i det administrative domenet. <\/p>\n

    Prosessen for behandling av logger er skjematisk vist i bildet nedenfor. <\/p>\n

    \"3.
    \n
    \nN\u00e5r logger sendes til enheten, sjekkes de av hendelsesbehandlere. De gj\u00f8r det mulig \u00e5 spore interessante hendelser ved hjelp av forh\u00e5ndsinnstilte betingelser. Betingelsene settes til parametrene som finnes i RAW-loggene. I systemet finnes det et sett med forh\u00e5ndsinnstilte hendelser for hvert administrativt domene, men det er ogs\u00e5 mulig \u00e5 opprette egne hendelsesbehandlere om n\u00f8dvendig. Den prim\u00e6re fordelen med hendelsesbehandlere er at n\u00e5r interessante hendelser oppst\u00e5r, kan systemet sende varsler \u2014 til e-post eller syslog-servere, ogs\u00e5 via SNMP. Dette gj\u00f8r det mulig \u00e5 reagere ganske raskt p\u00e5 hendelser som skjer i nettverket. <\/p>\n

    \"3.
    \n
    \nLa oss n\u00e5 snakke om loggbeskyttelse. Siden logger inneholder viktig informasjon om hva som skjer i nettverket, m\u00e5 de beskyttes mot b\u00e5de mulig tap som f\u00f8lge av forskjellige feil, samt mot ekstern kompromittering. Den f\u00f8rste teknologien som kan bidra til \u00e5 beskytte logger ved ulike feil, er RAID. Den tillater \u00e5 dele plassen p\u00e5 tilgjengelige disker inn i flere logiske segmenter, slik at hvis en eller flere disker skulle svikte (avhengig av RAID-typen), vil ikke dataene g\u00e5 tapt. De viktigste RAID-typene som kan brukes med FortiAnalyzer, er vist i figuren nedenfor.<\/p>\n

    \"3.
    \n<\/p>\n