{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Come\u00e7ando v6.4. Trabalhando com logs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nBem-vindo ao terceiro aula do curso Introdu\u00e7\u00e3o ao FortiAnalyzer<\/a><\/noindex>. No \u00faltima aula<\/a><\/noindex> n\u00f3s configuramos o layout necess\u00e1rio para realizar os trabalhos laboratoriais. Nesta aula, abordaremos os princ\u00edpios b\u00e1sicos de trabalho com logs no FortiAnalyzer<\/a><\/noindex>, conheceremos os processadores de eventos e tamb\u00e9m analisaremos os mecanismos de prote\u00e7\u00e3o dos logs. A parte te\u00f3rica, bem como a grava\u00e7\u00e3o completa da videoaula, est\u00e3o dispon\u00edveis abaixo. <\/a><\/noindex><\/p>\n

Para coletar logs dos dispositivos, \u00e9 necess\u00e1rio registr\u00e1-los no FortiAnalyzer. Existem duas op\u00e7\u00f5es de registro.<\/p>\n

    \n
  1. A primeira op\u00e7\u00e3o \u00e9 ativar a op\u00e7\u00e3o \"enviar logs para o FortiAnalyzer\" no dispositivo que est\u00e1 sendo registrado e informar seu endere\u00e7o IP. Ap\u00f3s isso, uma solicita\u00e7\u00e3o de registro desse dispositivo ser\u00e1 enviada ao FortiAnalyzer. O administrador deve confirmar ou rejeitar a solicita\u00e7\u00e3o recebida. Se a tecnologia de dom\u00ednios administrativos estiver ativada, o FortiGate pode ser adicionado tanto ao ADOM principal (chamado root, com o qual trabalhamos na aula anterior) quanto a um ADOM criado manualmente, destinado a dispositivos FortiGate. <\/li>\n
  2. A segunda op\u00e7\u00e3o \u00e9 o chamado Assistente de Registro de Dispositivos. O registro do dispositivo ocorre no pr\u00f3prio FortiAnalyzer. Para registrar, s\u00e3o necess\u00e1rias as informa\u00e7\u00f5es sobre o dispositivo a ser registrado \u2014 n\u00famero de s\u00e9rie, endere\u00e7o IP, tipo de dispositivo e vers\u00e3o do sistema operacional. Se a verifica\u00e7\u00e3o dos dados for bem-sucedida, o dispositivo ser\u00e1 adicionado \u00e0 lista do FortiAnalyzer. Se a tecnologia de dom\u00ednios administrativos estiver ativada, o dispositivo ser\u00e1 registrado automaticamente no dom\u00ednio administrativo adequado. Se voc\u00ea tiver v\u00e1rios dom\u00ednios administrativos semelhantes, ser\u00e1 necess\u00e1rio registrar o dispositivo a partir do dom\u00ednio administrativo em que deseja adicion\u00e1-lo. <\/li>\n<\/ol>\n

    \nCada dispositivo gera logs de v\u00e1rios tipos. Os principais tipos de logs que podem ser gerados pelos dispositivos da Fortinet est\u00e3o apresentados na figura abaixo. <\/p>\n

    \"3.
    \n
    \nJ\u00e1 falamos sobre o processamento inicial de logs na aula anterior, mas acho que \u00e9 bom refrescar a mem\u00f3ria. Os logs que chegam ao FortiAnalyzer s\u00e3o compactados e armazenados em um arquivo de log. Quando esse arquivo atinge um determinado tamanho, ele \u00e9 sobrescrito e arquivado. Esses logs s\u00e3o chamados de logs arquivados. Eles s\u00e3o considerados logs offline, pois n\u00e3o podem ser analisados em tempo real. Para visualiza\u00e7\u00e3o, eles est\u00e3o dispon\u00edveis apenas em formato RAW. A pol\u00edtica de armazenamento de dados no dom\u00ednio administrativo define por quanto tempo esses logs ser\u00e3o mantidos na mem\u00f3ria do FortiAnalyzer. <\/p>\n

    Ao mesmo tempo, os logs s\u00e3o indexados em um banco de dados SQL para suportar a an\u00e1lise. Esses logs s\u00e3o analisados no FortiAnalyzer em tempo real por meio dos mecanismos Log View, FortiView e Reports. A pol\u00edtica de armazenamento de dados no dom\u00ednio administrativo define por quanto tempo esses logs ser\u00e3o mantidos na mem\u00f3ria do FortiAnalyzer. Ap\u00f3s a exclus\u00e3o desses logs da mem\u00f3ria do FortiAnalyzer, eles podem permanecer como logs arquivados, mas isso depende da pol\u00edtica de armazenamento de dados no dom\u00ednio administrativo. <\/p>\n

    O processo de tratamento de logs est\u00e1 esquematizado na figura abaixo. <\/p>\n

    \"3.
    \n
    \nQuando os logs chegam ao dispositivo, eles s\u00e3o verificados pelos manipuladores de eventos. Eles permitem rastrear eventos de interesse usando condi\u00e7\u00f5es pr\u00e9-configuradas. As condi\u00e7\u00f5es s\u00e3o configuradas para os par\u00e2metros contidos nos logs em formato RAW. No sistema, para cada dom\u00ednio administrativo, existe um conjunto de eventos pr\u00e9-definidos; no entanto, se necess\u00e1rio, \u00e9 poss\u00edvel criar manipuladores de eventos personalizados. A principal vantagem dos manipuladores de eventos \u00e9 que, ao ocorrerem eventos de interesse, o sistema pode enviar notifica\u00e7\u00f5es \u2014 por email ou servidores syslog, tamb\u00e9m atrav\u00e9s de SNMP. Isso permite uma rea\u00e7\u00e3o relativamente r\u00e1pida aos eventos que ocorrem na rede. <\/p>\n

    \"3.
    \n
    \nAgora vamos falar sobre a prote\u00e7\u00e3o dos logs. Como os logs cont\u00eam informa\u00e7\u00f5es importantes sobre o que est\u00e1 acontecendo na rede, \u00e9 preciso proteg\u00ea-los tanto contra a poss\u00edvel perda devido a v\u00e1rias falhas quanto contra compromissos externos. A primeira tecnologia que ajudar\u00e1 a proteger os logs em caso de v\u00e1rias falhas \u00e9 o RAID. Ele permite dividir o espa\u00e7o dos discos dispon\u00edveis em v\u00e1rios segmentos l\u00f3gicos, de modo que, caso um ou mais discos falhem (dependendo do tipo de RAID), os dados n\u00e3o sejam perdidos. Os principais tipos de RAID que podem ser usados no FortiAnalyzer est\u00e3o representados na figura abaixo.<\/p>\n

    \"3.
    \n<\/p>\n