{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. Wprowadzenie do FortiAnalyzer v6.4. Praca z logami","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nWitamy na trzeciej lekcji kursu FortiAnalyzer Wprowadzenie<\/a><\/noindex>. Na poprzedniej lekcji<\/a><\/noindex> Rozwin\u0119li\u015bmy makiet\u0119 potrzebn\u0105 do wykonania prac laboratoryjnych. W tej lekcji om\u00f3wimy podstawowe zasady pracy z dziennikami na FortiAnalyzer<\/a><\/noindex>, zapoznamy si\u0119 z obs\u0142ug\u0105 zdarze\u0144, a tak\u017ce przyjrzymy si\u0119 mechanizmom ochrony log\u00f3w. Cz\u0119\u015b\u0107 teoretyczna oraz pe\u0142ne nagranie wideo lekcji znajduj\u0105 si\u0119 poni\u017cej. <\/a><\/noindex><\/p>\n

Aby zbiera\u0107 logi z urz\u0105dze\u0144, musz\u0105 by\u0107 one zarejestrowane w FortiAnalyzer. Istniej\u0105 dwa warianty rejestracji.<\/p>\n

    \n
  1. Pierwszy wariant \u2014 w rejestrowanym urz\u0105dzeniu aktywowana jest opcja \u201ewysy\u0142ania log\u00f3w do FortiAnalyzer\u201d i podawany jest jego adres IP. Nast\u0119pnie do FortiAnalyzer wysy\u0142ane jest zapytanie o rejestracj\u0119 tego urz\u0105dzenia. Administrator musi potwierdzi\u0107 lub odrzuci\u0107 otrzymane zapytanie. Je\u015bli technologia domen administracyjnych jest aktywna, FortiGate mo\u017cna doda\u0107 zar\u00f3wno do g\u0142\u00f3wnego ADOM (nazywanego root, z kt\u00f3rym pracowali\u015bmy w poprzedniej lekcji), jak i do w\u0142asnor\u0119cznie stworzonego ADOM, kt\u00f3ry jest przeznaczony dla urz\u0105dze\u0144 FortiGate. <\/li>\n
  2. Drugi wariant \u2014 tzw. Kreator rejestracji urz\u0105dzenia. Rejestracja urz\u0105dzenia odbywa si\u0119 bezpo\u015brednio na FortiAnalyzer. Wymagana jest informacja o rejestrowanym urz\u0105dzeniu \u2014 numer seryjny, adres IP, typ urz\u0105dzenia i wersja systemu operacyjnego. Je\u015bli weryfikacja danych przebiega pomy\u015blnie, urz\u0105dzenie zostaje dodane do listy FortiAnalyzer. Je\u015bli technologia domen administracyjnych jest aktywna, urz\u0105dzenie automatycznie zarejestruje si\u0119 w odpowiedniej domenie administracyjnej. Je\u015bli masz utworzone kilka takich domen administracyjnych, w takim przypadku nale\u017cy zarejestrowa\u0107 urz\u0105dzenie z tej domeny administracyjnej, do kt\u00f3rej chcesz je doda\u0107. <\/li>\n<\/ol>\n

    \nKa\u017cde urz\u0105dzenie generuje logi r\u00f3\u017cnych typ\u00f3w. G\u0142\u00f3wne typy log\u00f3w, kt\u00f3re mog\u0105 generowa\u0107 urz\u0105dzenia firmy Fortinet, przedstawione s\u0105 na rysunku poni\u017cej. <\/p>\n

    \"3.
    \n
    \nO pocz\u0105tkowym przetwarzaniu log\u00f3w m\u00f3wili\u015bmy ju\u017c na poprzedniej lekcji, ale my\u015bl\u0119, \u017ce warto od\u015bwie\u017cy\u0107 pami\u0119\u0107. Logi wysy\u0142ane do FortiAnalyzer s\u0105 kompresowane i przechowywane w pliku log. Gdy ten plik osi\u0105ga okre\u015blony rozmiar, jest nadpisywany i archiwizowany. Takie logi nazywane s\u0105 archiwalnymi. Uwa\u017cane s\u0105 za logi offline, poniewa\u017c nie mo\u017cna ich analizowa\u0107 w czasie rzeczywistym. Mo\u017cna je przegl\u0105da\u0107 tylko w formacie RAW. Polityka przechowywania danych w obszarze administracyjnym okre\u015bla, jak d\u0142ugo takie logi b\u0119d\u0105 przechowywane w pami\u0119ci FortiAnalyzer. <\/p>\n

    W tym samym czasie logi s\u0105 indeksowane w bazie danych SQL w celu wsparcia analityki. Te logi s\u0105 analizowane w FortiAnalyzer w czasie rzeczywistym za pomoc\u0105 mechanizm\u00f3w Log View, FortiView i Reports. Polityka przechowywania danych w obszarze administracyjnym okre\u015bla, jak d\u0142ugo te logi b\u0119d\u0105 przechowywane w pami\u0119ci FortiAnalyzer. Po tym, jak logi zostan\u0105 usuni\u0119te z pami\u0119ci FortiAnalyzer, mog\u0105 pozosta\u0107 w formie archiwalnych log\u00f3w, jednak zale\u017cy to od polityki przechowywania danych w obszarze administracyjnym. <\/p>\n

    Schematycznie proces przetwarzania log\u00f3w przedstawiony jest na poni\u017cszym rysunku. <\/p>\n

    \"3.
    \n
    \nGdy logi trafiaj\u0105 do urz\u0105dzenia, s\u0105 sprawdzane przez przetwarzacze zdarze\u0144. Umo\u017cliwiaj\u0105 one \u015bledzenie interesuj\u0105cych zdarze\u0144 za pomoc\u0105 wst\u0119pnie zdefiniowanych warunk\u00f3w. Warunki te s\u0105 ustawiane na parametrach zawartych w logach formatu RAW. W systemie dla ka\u017cdego obszaru administracyjnego istnieje zbi\u00f3r wst\u0119pnie zdefiniowanych zdarze\u0144, jednak w razie potrzeby mo\u017cna tworzy\u0107 w\u0142asne przetwarzacze zdarze\u0144. G\u0142\u00f3wn\u0105 korzy\u015bci\u0105 z przetwarzaczy zdarze\u0144 jest to, \u017ce w przypadku wyst\u0105pienia interesuj\u0105cych wydarze\u0144 system mo\u017ce wysy\u0142a\u0107 powiadomienia \u2013 na email lub serwery syslog, tak\u017ce za po\u015brednictwem SNMP. Umo\u017cliwia to do\u015b\u0107 szybkie reagowanie na zdarzenia, kt\u00f3re maj\u0105 miejsce w sieci. <\/p>\n

    \"3.
    \n
    \nTeraz porozmawiajmy o ochronie log\u00f3w. Poniewa\u017c logi zawieraj\u0105 wa\u017cne informacje o zdarzeniach w sieci, nale\u017cy je chroni\u0107 zar\u00f3wno przed utrat\u0105 spowodowan\u0105 r\u00f3\u017cnymi awariami, jak i przed zewn\u0119trzn\u0105 kompromitacj\u0105. Pierwsz\u0105 technologi\u0105, kt\u00f3ra pomo\u017ce zabezpieczy\u0107 logi w przypadku r\u00f3\u017cnych awarii, jest RAID. Pozwala ona podzieli\u0107 przestrze\u0144 dost\u0119pnych dysk\u00f3w na kilka logicznych segment\u00f3w w taki spos\u00f3b, aby w przypadku awarii jednego lub kilku dysk\u00f3w (w zale\u017cno\u015bci od typu RAID) dane nie zosta\u0142y utracone. G\u0142\u00f3wne typy RAID, kt\u00f3re mo\u017cna wykorzysta\u0107 w FortiAnalyzer, przedstawione s\u0105 na rysunku poni\u017cej.<\/p>\n

    \"3.
    \n<\/p>\n