Pozdravljam! Dobrodošli na deveti lekciju kursa . Na razmotrili smo osnovne mehanizme kontrole pristupa korisnika različitim resursima. Sada je pred nama drugi zadatak — potrebno je analizirati ponašanje korisnika na mreži, kao i podesiti prikupljanje podataka koji mogu pomoći tokom istraga raznih bezbednosnih incidenata. Stoga ćemo u ovoj lekciji razmotriti mehanizam evidentiranja i izveštavanja. Za to će nam biti potreban FortiAnalyzer, koji smo postavili na početku kursa. Neophodna teorija, kao i video lekcija dostupni su u nastavku.
U FortiGate-u logovi su podeljeni u tri tipa: logovi saobraćaja, logovi događaja i logovi bezbednosti. Oni se dalje dele na podtipove.
Logovi saobraćaja beleže informacije o toku saobraćaja, kao što su zahtevi i odgovori, ako ih ima. Ovaj tip sadrži podtipove Forward, Local i Sniffer.
Podtip Forward sadrži informacije o saobraćaju koji je FortiGate ili prihvatio ili odbio u skladu sa pravilima vatrozida.
Podtip Local sadrži informacije o saobraćaju direktno sa IP adrese FortiGate i sa IP adresa sa kojih se vrši administracija. Na primer — konekcije na web interfejs FortiGate-a.
Podtip Sniffer sadrži logove saobraćaja koji su dobijeni putem zrcaljenja saobraćaja.
Logovi događaja sadrže sistemske ili administrativne događaje, kao što su — dodavanje ili izmena postavki, uspostavljanje i prekid VPN tunela, događaji dinamičkog usmeravanja i tako dalje. Svi podtipovi su prikazani na slici ispod.
I treći tip predstavlja logove bezbednosti. U ove logove se beleže događaji povezani sa virusnim napadima, posećivanjem zabranjenih resursa, korišćenjem zabranjenih aplikacija i tako dalje. Potpun spisak je takođe prikazan na slici ispod.
Logove možete čuvati na različitim mestima — kako na samom FortiGate-u, tako i izvan njega. Čuvanje logova na FortiGate-u smatra se lokalnim evidentiranjem. U zavisnosti od samog uređaja, logove možete čuvati ili u flash memoriji uređaja ili na hard disku. Obično, modeli srednje klase imaju hard disk. Modeli sa hard diskom se relativno lako razlikuju — na kraju imaju jedinicu. Na primer — FortiGate 100E dolazi bez hard diska, dok FortiGate 101E dolazi sa hard diskom.
Mladejše in starejše modele običajno nimajo trdih diskov. V tem primeru se za shranjevanje dnevnikov uporablja pomnilnik flash. Vendar pa je treba upoštevati, da stalno shranjevanje dnevnikov v pomnilnik flash lahko zmanjša njegovo učinkovitost in življenjsko dobo. Zato je shranjevanje dnevnikov v pomnilnik flash privzeto onemogočeno. Priporočamo, da ga vklopite samo za beleženje dogodkov pri reševanju specifičnih težav.
Pri intenzivnem zapisovanju dnevnikov, ne glede na to, ali na trdi disk ali v pomnilnik flash, bo zmogljivost naprave upadala.
Zelo običajno je shranjevanje dnevnikov na oddaljenih strežnikih. FortiGate lahko shranjuje dnevnike na Syslog strežnikih, na FortiAnalyzer ali FortiManager. Poleg tega lahko za shranjevanje dnevnikov uporabite oblačno storitev FortiCloud.
Syslog je strežnik za centralno shranjevanje dnevnikov iz omrežnih naprav.
FortiCloud je storitev za upravljanje varnosti in shranjevanje dnevnikov, ki temelji na naročilu. Z njeno pomočjo lahko oddaljeno shranjujete dnevnike in ustvarjate ustrezna poročila. Če imate razmeroma majhno omrežje, je lahko uporaba te oblačne storitve pravšnja rešitev namesto nakupa dodatne opreme. Obstaja brezplačna različica FortiCloud, ki omogoča tedensko shranjevanje dnevnikov. Po nakupu naročnine lahko dnevnike shranjujete do enega leta.
FortiAnalyzer in FortiManager sta zunanja naprava za shranjevanje dnevnikov. Ker imajo vsi enako operacijski sistem — FortiOS — integracija FortiGate s temi napravami ne povzroča težav.
Vendar pa je treba opozoriti na razlike med napravama FortiAnalyzer in FortiManager. Glavni cilj FortiManagerja je centralizirano upravljanje več naprav FortiGate — zato je kapaciteta za shranjevanje dnevnikov na FortiManagerju znatno manjša kot na FortiAnalyzerju (če primerjamo modele iz iste cenovne kategorije).
Glavni cilj FortiAnalyzerja je zbiranje in analiza dnevnikov. Zato se bomo pozneje osredotočili na njegovo uporabo v praksi.
Vsa teorija in praktični del sta predstavljena v tem video lekciji:
V naslednji lekciji bomo obravnavali osnovne točke, povezane z upravljanjem naprave FortiGate. Da ga ne bi zamudili, spremljajte posodobitve na naslednjih kanalih:
Izvor: habr.com
