{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Za\u010detek dela v v6.4. Delo z logi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nPozdravljamo vas na tretji lekciji te\u010daja FortiAnalyzer Uvod<\/a><\/noindex>. Na u prethodnoj lekciji<\/a><\/noindex> vzpostavili smo postavitev, potrebno za izvedbo laboratorijskih del. V tej lekciji bomo obravnavali osnovna na\u010dela dela z dnevniki na FortiAnalyzer<\/a><\/noindex>, spoznali bomo obdelovalnike dogodkov ter preu\u010dili mehanizme za\u0161\u010dite dnevnikov. Teoreti\u010dni del, kot tudi celoten posnetek videolekcije je pod zavihkom. <\/a><\/noindex><\/p>\n

Za zbiranje dnevnikov z napravami jih je treba registrirati v FortiAnalyzer. Na voljo sta dva na\u010dina registracije.<\/p>\n

    \n
  1. Prva mo\u017enost je, da se na registrirani napravi aktivira izbira \"po\u0161iljanje dnevnikov v FortiAnalyzer\" in vnese njen IP naslov. Po tem se po\u0161lje zahteva za registracijo te naprave v FortiAnalyzer. Administrator mora potrditi ali zavrniti prejeto zahtevo. \u010ce je tehnologija administrativnih domen aktivirana, se FortiGate lahko doda bodisi v glavno ADOM (ki se imenuje root, s katerim smo delali v prej\u0161nji lekciji), bodisi v lastno ustvarjeno ADOM, namenjeno napravam FortiGate. <\/li>\n
  2. Druga mo\u017enost je tako imenovani \u010darovnik za registracijo naprav. Registracija naprave poteka na samem FortiAnalyzerju. Za registracijo so potrebni podatki o registrirani napravi \u2014 serijska \u0161tevilka, IP naslov, tip naprave in razli\u010dica operacijskega sistema. \u010ce preverjanje podatkov uspe\u0161no poteka, se naprava doda na seznam FortiAnalyzer. \u010ce je tehnologija administrativnih domen aktivirana, se naprava samodejno registrira v ustrezni administrativni domeni. \u010ce imate ustvarjenih ve\u010d tak\u0161nih administrativnih domen, boste morali napravo registrirati iz tiste administrativne domene, v katero jo \u017eelite dodati. <\/li>\n<\/ol>\n

    \nVsaka naprava generira dnevni\u0161ke zapise razli\u010dnih tipov. Glavni tipi dnevnikov, ki jih lahko generirajo naprave podjetja Fortinet, so prikazani na spodnji sliki. <\/p>\n

    \"3.
    \n
    \nO za\u010detni obdelavi dnevnikov smo \u017ee govorili na prej\u0161njem predavanju, vendar mislim, da je smiselno osve\u017eiti spomin. Dnevniki, ki pridejo na FortiAnalyzer, se komprimirajo in shranijo v datoteko dnevnika. Ko ta datoteka dose\u017ee dolo\u010deno velikost, se prepi\u0161e in arhivira. Tak\u0161ni dnevniki se imenujejo arhivirani. \u0160tejejo se za offline dnevnike, saj jih ni mogo\u010de analizirati v realnem \u010dasu. Za ogled so na voljo samo v RAW formatu. Politika shranjevanja podatkov v administrativni domeni dolo\u010da, koliko \u010dasa bodo ti dnevniki shranjeni v pomnilniku FortiAnalyzerja. <\/p>\n

    Hkrati se dnevniki indeksirajo v bazi podatkov SQL za podporo analitiki. Ti dnevniki se analizirajo v FortiAnalyzerju v realnem \u010dasu z mehanizmi Log View, FortiView in Reporti. Politika shranjevanja podatkov v administrativni domeni dolo\u010da, koliko \u010dasa bodo ti dnevniki shranjeni v pomnilniku FortiAnalyzerja. Po tem, ko so ti dnevniki izbrisani iz pomnilnika FortiAnalyzerja, lahko ostanejo v obliki arhiviranih dnevnikov, vendar to odvisno od politike shranjevanja podatkov v administrativni domeni. <\/p>\n

    Shematsko je postopek obdelave dnevnikov predstavljen na spodnji sliki. <\/p>\n

    \"3.
    \n
    \nKo dnevniki pridejo na napravo, jih preverjajo obdelovalci dogodkov. Ti omogo\u010dajo sledenje zanimivim dogodkom na podlagi vnaprej dolo\u010denih pogojev. Pogoji so dolo\u010deni za parametre, ki jih vsebujejo dnevniki RAW formata. V sistemu za vsak administrativni domen je na voljo niz privzetih dogodkov, vendar je po potrebi mogo\u010de ustvariti lastne obdelovalce dogodkov. Glavna prednost obdelovalcev dogodkov je v tem, da lahko, ko pride do zanimivih dogodkov, sistem po\u0161lje obvestila \u2014 na email ali syslog stre\u017enike tudi preko SNMP. To omogo\u010da precej hitro reakcijo na dogodke, ki se dogajajo v omre\u017eju. <\/p>\n

    \"3.
    \n
    \nSedaj se bomo pogovarjali o za\u0161\u010diti logov. Ker logi vsebujejo pomembne informacije o dogajanju v omre\u017eju, jih je treba za\u0161\u010dititi tako pred morebitno izgubo zaradi razli\u010dnih okvar kot pred zunanjim dostopom. Prva tehnologija, ki pomaga za\u0161\u010dititi loge v primeru okvar, je RAID. Ta omogo\u010da razdelitev prostora med razpolo\u017eljivimi diski na ve\u010d logi\u010dnih segmentov, tako da ob okvari enega ali ve\u010d diskov (odvisno od tipa RAID-a) podatki ne gredo izgubljeni. Glavni tipi RAID-a, ki jih je mogo\u010de uporabiti v FortiAnalyzer, so predstavljeni na sliki spodaj.<\/p>\n

    \"3.
    \n<\/p>\n