Pozdravljeni, prijatelji! Na smo raziskali osnove dela z logi na FortiAnalyzerju. Danes bomo šli naprej in pogledali glavne vidike dela s poročili: kaj so poročila, iz česa so sestavljena, kako jih lahko urejamo in ustvarjamo nova poročila. Kot ponavadi najprej malo teorije, nato pa bomo delali s poročili v praksi. Pod tem je teoretični del lekcije ter videopouček, ki vključuje tako teorijo kot prakso.
Glavni cilj poročil je združiti velike količine podatkov, ki jih vsebujejo logi, in na podlagi obstoječih nastavitev predstaviti vse pridobljene informacije v berljivi obliki: v oblikah grafov, tabel, diagramov. Na spodnji sliki je prikazan seznam vnaprej nastavljenih poročil za naprave FortiGate (v njem niso bila vključena vsa poročila, vendar mislim, da že iz tega seznama izhaja, da lahko celo „iz škatle“ ustvarimo številna zanimiva in koristna poročila).
Toda poročila predstavljajo le zahtevane informacije v berljivi obliki — ne vsebujejo nobenih priporočil za nadaljnje ukrepe glede odkritih težav.
Glavne sestavine poročil so grafikoni. Vsako poročilo je sestavljeno iz enega ali več grafikonov. Grafikon določa, katero informacijo je potrebno izvleči iz logov in v kakšni obliki jo predstaviti. Za izvajanje informacij so odgovorni podatkovni nizi — SELECT poizvedbe v bazo podatkov. Natančno v podatkovnih nizih je določeno, od kod in katere informacije je treba izvleči. Ko se poizvedba zaključi, so pridobljeni podatki oblikovani v tabele, grafe ali različne vrste diagramov.
V SELECT poizvedbi se uporabljajo različni ukazi, s katerimi določimo pogoje za izvlečeno informacijo. Najpomembnejše, kar je treba upoštevati, je, da morajo biti ti ukazi uporabljeni v določenem vrstnem redu, tako kot so navedeni spodaj:
FROM — edini ukaz, ki je obvezen v SELECT poizvedbi. Določa vrsto logov, iz katerih je treba izvleči informacije;
WHERE — s tem ukazom so določeni pogoji za loge (na primer, določeno ime aplikacije/napada/virusa);
GROUP BY — ta ukazna omogoča združevanje informacij po enih ali več interesnih stolpcih;
ORDER BY — s to ukazno lahko uredite izhodne informacije po vrsticah;
LIMIT — omejuje število zapisov, ki jih zahteva poizvedba.
FortiAnalyzer vsebuje prednastavljene predloge za poročila. Predloge so tako imenovane zasnove poročila — vsebujejo besedilo poročila, njegove grafike in makre. S predlogami je mogoče ustvarjati nova poročila, če so potrebne minimalne spremembe v prednastavljenih. Vendar prednastavljenih poročil ni mogoče urejati ali brisati — možno jih je klonirati in nad kopijo izvesti potrebne spremembe. Prav tako je mogoče ustvariti svoje predloge za poročila.
Včasih se lahko srečate s situacijo, kjer prednastavljeno poročilo ustreza nalogi, a ne v celoti. Morda bo potrebno dodati kakšne informacije ali pa nasprotno — odstraniti. V tem primeru sta na voljo dve možnosti: klonirati in spremeniti predlogo ali samo poročilo. Tu je potrebno upoštevati več dejavnikov.
Predloge so zasnova za poročilo, vsebujejo grafike in besedilo poročila, nič več. Sama poročila pa, poleg tako imenovane “zasnove”, vsebujejo različne parametre poročila: jezik, pisavo, barvo besedila, obdobje generacije, filtriranje informacij in tako naprej. Zato, če je potrebno vnesti spremembe samo v zasnovo poročila, je mogoče uporabiti predloge. Če je potrebna dodatna konfiguracija poročila, lahko uredite samo poročilo (natančneje njegovo kopijo).
Na podlagi predlog je mogoče ustvariti več enotnih poročil, zato je, če načrtujete izdelati mnogo podobnih poročil, bolje uporabiti predloge.
V primeru, da prednastavljene predloge in poročila ne ustrezajo, lahko ustvarite tako novo predlogo kot tudi novo poročilo.
Prav tako ima FortiAnalyzer možnost nastavitve pošiljanja poročil določenim skrbnikom na e-poštne naslove ali njihovo nalaganje na zunanje strežnike. To se izvede s pomočjo mehanizma Output Profile. V vsakem upravnem domenu se nastavijo ločeni Output Profiles. Pri konfiguraciji Output Profile se določijo naslednji parametri:
- Formati pošiljanih poročil — PDF, HTML, XML ali CSV;
- Kraj, kamor bodo poslana poročila. To je lahko elektronski naslov skrbnika (za to je potrebno povezati FortiAnalyzer z elektronskim strežnikom, kar smo obravnavali v prejšnji lekciji). Lahko pa je tudi zunanji datotečni strežnik - FTP, SFTP, SCP;
- Lahko navedete, kaj storiti z lokalnimi poročili, ki so ostala na napravi po pošiljanju - jih obdržati ali izbrisati.
Po potrebi je mogoče pospešiti generacijo poročil. Razmislimo o dveh načinih:
Pri ustvarjanju poročila FortiAnalyzer gradi grafikon iz vnaprej skompiliranih podatkov SQL predpomnilnika, znanega kot hcache. Če hcache podatki niso ustvarjeni ob zagonu poročila, mora sistem najprej ustvariti hcache in šele nato zgraditi poročilo. To povečuje čas oblikovanja poročila. Vendar pa, če novi dnevniški zapisi za poročilo niso pridobljeni, se čas generacije poročila znatno skrajša, saj so hcache podatki že skompilirani.
Da bi povečali zmogljivost generacije poročil, lahko omogočite samodejno ustvarjanje hcache v nastavitvah poročila. V tem primeru se hcache samodejno posodobi ob prihodu novih dnevnikov. Primer nastavitve je prikazan na spodnji sliki.
Ta proces uporablja veliko sistemskih virov (še posebej za poročila, ki zahtevajo dolgo časa za zbiranje podatkov), zato je po aktivaciji potrebno spremljati stanje FortiAnalyzerja: ali se je obremenitev močno povečala, ali se pojavlja kritična poraba sistemskih virov. V primeru, da FortiAnalyzer ne zmore obremenitve, je bolje ta proces izklopiti.
Prav tako je treba omeniti, da je samodejna posodobitev podatkov hcache privzeto omogočena za načrtovana poročila.
Drugi način za pospešitev generacije poročil je grupiranje:
Če se ista (ali podobna) poročila generirajo za različne naprave FortiGate (ali druge naprave Fortinet), lahko znatno pospešite proces njihove generacije z grupiranjem. Grupiranje poročil lahko zmanjša število tabel hcache in pospeši čas samodejnega predpomnjenja, kar posledično pospeši generacijo poročil.
V primeru, ki je prikazan na spodnji sliki, se poročila, v katerih naslovu se nahaja niz Security_Report, grupirajo po parametru Device ID.
V video vodiču se predstavi teoretski materijal razmotren prethodno, kao i praktični aspekti rada sa izveštajima — od kreiranja sopstvenih dataset-a i grafika, šablona i izveštaja do podešavanja prosleđivanja izveštaja administratorima. Uživajte u gledanju!
Na sledećem času razmotrićemo različite aspekte administracije FortiAnalyzer-a, kao i njegovu licencnu šemu. Kako biste ga ne propustili, prijavite se na našu .
Lahko tudi spremljate posodobitve na naslednjih virih:
Izvor: habr.com
