Saudações, amigos! No nós estudamos os fundamentos da manipulação de logs no FortiAnalyzer. Hoje, vamos ir além e explorar os aspectos principais dos relatórios: o que são relatórios, de que são compostos, como editar relatórios existentes e criar novos. Como de costume, começaremos com um pouco de teoria e depois passaremos à prática com os relatórios. A parte teórica da aula está no código abaixo, assim como um vídeo aula que inclui tanto teoria quanto prática.
O principal objetivo dos relatórios é reunir grandes volumes de dados contidos nos logs e, com base nas configurações disponíveis, apresentar toda a informação obtida de forma legível: em gráficos, tabelas e diagramas. Na figura abaixo, há uma lista de relatórios pré-configurados para dispositivos FortiGate (não inclui todos os relatórios, mas, acredito, já é possível ver que mesmo ‘pronto para uso’ é possível construir muitos relatórios interessantes e úteis).
No entanto, os relatórios apenas apresentam as informações solicitadas de forma legível — eles não contêm recomendações sobre os próximos passos para lidar com os problemas identificados.
Os principais componentes dos relatórios são os gráficos. Cada relatório consiste em um ou mais gráficos. Os gráficos determinam que informações devem ser extraídas dos logs e de que forma elas serão apresentadas. A extração das informações é feita por conjuntos de dados — consultas SELECT na base de dados. Nos conjuntos de dados, está claramente definido de onde e que tipo de informação deve ser extraída. Após a consulta, os dados necessários são obtidos e são aplicadas as configurações de formato (ou de exibição). Como resultado, os dados obtidos são organizados em tabelas, gráficos ou diagramas de diferentes tipos.
Em uma consulta SELECT, são utilizadas diferentes comandos, com os quais são definidos os critérios para a informação extraída. O mais importante a ter em mente é que esses comandos devem ser aplicados em uma ordem específica, que é a seguinte:
FROM — é o único comando que é obrigatório em uma consulta SELECT. Ele indica o tipo de logs de onde a informação deve ser extraída;
WHERE — com este comando são definidos os critérios para os logs (por exemplo, um nome específico de aplicativo / ataque / vírus);
GROUP BY — este comando permite agrupar informações com base em uma ou mais colunas de interesse;
ORDER BY — com este comando, é possível ordenar a saída de informações por linhas;
LIMIT — limita o número de registros retornados pela consulta.
FortiAnalyzer contém modelos predefinidos para relatórios. Os modelos são uma espécie de layout de relatório — contêm o texto do relatório, seus gráficos e macros. Com os modelos, você pode criar novos relatórios se forem necessárias mudanças mínimas nos predefinidos. No entanto, os relatórios predefinidos não podem ser editados ou excluídos — você pode cloná-los e realizar as alterações necessárias na cópia. Também é possível criar seus próprios modelos para relatórios.
Às vezes, pode-se deparar com a seguinte situação: um relatório predefinido se encaixa na tarefa, mas não completamente. Pode ser necessário adicionar alguma informação ou, ao contrário — remover. Nesse caso, há duas opções: clonar e modificar o modelo ou o próprio relatório. Aqui, é preciso levar em consideração alguns fatores.
Os modelos são um layout para o relatório, contendo gráficos e texto do relatório, nada mais. Os próprios relatórios, por sua vez, além do chamado 'layout', contêm vários parâmetros de relatório: idioma, fonte, cor do texto, período de geração, filtragem de informações e assim por diante. Portanto, se precisar fazer alterações apenas no layout do relatório, é possível usar os modelos. Se for necessária uma configuração adicional do relatório, você pode editar o próprio relatório (ou, mais precisamente, sua cópia).
Com base nos modelos, é possível criar vários relatórios semelhantes, portanto, se você precisa gerar muitos relatórios parecidos, é preferível utilizar os modelos.
Caso os modelos e relatórios predefinidos não se adequem a você, é possível criar tanto um novo modelo quanto um novo relatório.
O FortiAnalyzer também oferece a possibilidade de configurar o envio de relatórios para administradores específicos por e-mail ou sua exportação para servidores externos. Isso é feito através do mecanismo Output Profile. Em cada domínio administrativo, são configurados perfis de saída separados. Ao configurar o Output Profile, os seguintes parâmetros são definidos:
- Formatos dos relatórios enviados — PDF, HTML, XML ou CSV;
- O local para onde os relatórios serão enviados. Isso pode ser o e-mail do administrador (para isso, é necessário vincular o FortiAnalyzer ao servidor de e-mail, o que discutimos na última aula). Também pode ser um servidor de arquivos externo — FTP, SFTP, SCP;
- É possível especificar o que fazer com os relatórios locais que permaneceram no dispositivo após o envio — mantê-los ou deletá-los.
Se necessário, há a possibilidade de acelerar a geração de relatórios. Vamos considerar duas maneiras:
Ao criar um relatório, o FortiAnalyzer constrói gráficos a partir de dados previamente compilados no cache SQL, conhecidos como hcache. Se os dados do hcache não foram criados no momento do início do relatório, o sistema deve primeiro criar o hcache e, em seguida, gerar o relatório. Isso aumenta o tempo de geração do relatório. No entanto, se novos registros para o relatório não foram recebidos, ao regenerar o relatório, o tempo de geração diminui significativamente, pois os dados do hcache já estão compilados.
Para melhorar o desempenho da geração de relatórios, pode-se habilitar a criação automática do hcache nas configurações do relatório. Neste caso, o hcache é atualizado automaticamente com a chegada de novos registros. Um exemplo de configuração é mostrado na ilustração abaixo.
Esse processo utiliza muitos recursos do sistema (especialmente para relatórios que exigem um longo tempo para a coleta de dados), portanto, após a ativação, é necessário monitorar o estado do FortiAnalyzer: se a carga aumentou significativamente, se há um consumo crítico de recursos do sistema. Caso o FortiAnalyzer não consiga lidar com a carga, é melhor desativar este processo.
Também vale ressaltar que a atualização automática dos dados do hcache é, por padrão, ativada para relatórios agendados.
A segunda maneira de acelerar a geração de relatórios é a agrupamento:
Se relatórios idênticos (ou semelhantes) são gerados para diferentes dispositivos FortiGate (ou outros dispositivos Fortinet), o processo de geração pode ser acelerado significativamente através do agrupamento. O agrupamento de relatórios pode reduzir o número de tabelas hcache e acelerar o tempo de cache automático, resultando em uma geração de relatórios mais rápida.
No exemplo, mostrado na ilustração abaixo, os relatórios que contêm a string Security_Report em seus títulos são agrupados pelo parâmetro Device ID.
O vídeo apresenta o material teórico discutido acima, assim como aspectos práticos do trabalho com relatórios — desde a criação de conjuntos de dados e gráficos próprios, até a configuração do envio de relatórios para os administradores. Boa visualização!
Na próxima lição, abordaremos diferentes aspectos da administração do FortiAnalyzer, assim como seu esquema de licenciamento. Para não perdê-la, inscreva-se em nosso .
Você também pode acompanhar as atualizações nos seguintes recursos:
Fonte: habr.com
