Bine ați venit la lecția a 12-a. Astăzi vom discuta despre o altă temă foarte importantă, și anume despre lucrul cu jurnalele și rapoartele. Uneori, această funcționalitate se dovedește a fi decisivă în alegerea unei soluții de securitate. Experții în securitate apreciază foarte mult un sistem de raportare convenabil și o căutare funcțională a diferitelor evenimente. Nu-i putem învinovăți. Practic, jurnalele și rapoartele sunt un element esențial în evaluarea securității. Cum poți înțelege nivelul actual de securitate dacă nu vezi ce se întâmplă? Din fericire, Check Point stă foarte bine la acest capitol și chiar mai bine de atât. Check Point dispune de unul dintre cele mai bune sisteme de raportare, care funcționează din mers! În plus, există posibilitatea de personalizare și de creare a propriilor rapoarte! Totul este completat de un proces de lucru cu jurnalele convenabil și intuitiv. Dar haideți să le luăm pe rând.
Un nou interfață complet
Dacă ați lucrat cu Check Point înainte, probabil că ați fost surprinși de interfața complet nouă pentru lucrul cu jurnalele și rapoartele în R80. În imagine se poate observa câte utilități diferite au fost consolidate într-un nou tab. Logs & Monitor:
Secțiunea Logs & Monitor
Dacă accesați Logs & Monitor și deschideți un tab nou, ar trebui să vedeți cam așa:
Implicit, aici există două secțiuni mari:
- Audit Logs View — aici puteți găsi toate evenimentele legate de autentificarea/dezautentificarea administratorilor, modificările din configurare etc. Adică, un audit clasic al acțiunilor administratorului.
- Logs View — aici se poate realiza căutarea după evenimentele generate de toate blade-urile noastre activate, fie că este vorba de firewall, antivirus, IPS etc. De mai multe ori am folosit această funcție.
În plus, aici există linkuri către rapoarte (Reports) și diverse tablouri de bord (Views). Pentru a funcționa, este nevoie de blade-ul activat Smart Event. Dar despre asta vom vorbi mai târziu. Mai întâi, haideți să ne ocupăm de lucrul cu jurnalele.
Căutare în jurnale
Din punctul meu de vedere, lucrul cu jurnalele în R80 este o plăcere. Avem un câmp de căutare foarte inteligent, care ne permite să căutăm atât după text arbitrar, cât și după blade, și după orice altele parametrii indexabili precum sursa, destinația, acțiunea etc.
De asemenea, putem compune interogări de căutare destul de complexe cu ajutorul operatorilor logici ȘI, OR, EXISTS. Și pentru asta nu este nevoie să scrii nimic. Poți crea un filtru în doar câteva clicuri de mouse. Puțin mai târziu, vom testa toate acestea în practică.
Afișarea mesajelor Log în funcție de Access-List
De asemenea, am evaluat deja posibilitatea de a afișa logurile pe un anumit listă de acces. Este extrem de convenabil și te obișnuiești cu rapiditate. În special, este foarte util în timpul procesului de depanare. Ai selectat acces-lista care te interesează și verifici mai jos dacă traficul necesar o respectă.
Nu trebuie să navighezi nicăieri sau să creezi un filtru complex pentru loguri.
Vizualizări & Rapoarte
Pentru raportare și vizualizarea datelor în Check Point este responsabil blade-ul Smart Event, care se activează pe server management. Această funcționalitate poate fi numită cu încredere SIEM, dar doar pentru produsele Check Point! Tehnic, în Smart Event pot fi procesate loguri și din alte sisteme (de tipul cisco, microsoft etc.), dar aceasta nu este cea mai bună idee 🙂 În practică, este destul de problematic. Însă cu logurile „chekpoint” SmartEvent se descurcă excepțional. Poate corela, sumariza, media și multe altele. Iar toate acestea funcționează din cutie! Bineînțeles, există deja tablouri de bord gata pregătite pentru a afișa cele mai importante informații. În Check Point acestea sunt numite Views:
Se poate observa că aici există un număr destul de mare de tablouri de bord implicite, care sunt foarte utile în administrarea și monitorizarea zilnică.
Pe lângă tablourile de bord, unde informația este pur și simplu vizualizată, există posibilitatea generării de rapoarte complete și salvarea acestora în format pdf sau excel. Poți genera rapoarte conform unui program și să le trimiți pe un e-mail.
Și cel mai plăcut! Tablourile de bord și rapoartele pot fi create de către tine! Adică nu ești limitat la cele încorporate. Nu toți furnizorii se pot lăuda cu acest lucru. În plus, șabloanele acestor tablouri de bord sau rapoarte pot fi importate sau exportate, oferind utilizatorilor posibilitatea de a-și împărtăși realizările. Procesul de creare a unui tablou de bord este foarte simplu și intuitiv. Voi încerca să vă arăt acest lucru în cadrul lucrării de laborator, pe care o veți găsi în videoclipul de mai jos.
Videoul lecției
Rămâneți conectați pentru mai multe și alăturați-vă canalului nostru 🙂
Sursa: habr.com
