3. FortiAnalyzer Kom igång v6.4. Arbeta med loggar

Välkommen till den tredje lektionen i kursen FortiAnalyzer Kom igång. Vid föregående lektion vi har lanserat den layout som behövs för att genomföra laboratoriearbetet. I den här lektionen ska vi gå igenom de grundläggande principerna för att arbeta med loggar på FortiAnalyzer, lära oss om händelsehanterare, samt titta på mekanismer för att skydda loggar. Den teoretiska delen och den fullständiga inspelningen av lektionen finns under länken.

För att samla loggar från enheter måste de registreras på FortiAnalyzer. Det finns två alternativ för registrering.

1. Det första alternativet är att på den registrerade enheten aktivera alternativet "skicka loggar till FortiAnalyzer" och ange dess IP-adress. Därefter skickas en registreringsbegäran till FortiAnalyzer. Administratören måste godkänna eller avslå den mottagna begäran. Om teknologin för administrativa domäner är aktiverad kan FortiGate läggas till antingen i huvud-ADOM (som kallas root, som vi arbetade med i förra lektionen) eller i en självskapad ADOM som är avsedd för FortiGate-enheter.
2. Det andra alternativet är så kallad Device Registration Wizard. Registreringen av enheten sker direkt på FortiAnalyzer. För registreringen krävs information om den registrerade enheten – serienummer, IP-adress, typ av enhet och version av operativsystemet. Om datavalideringen går igenom framgångsrikt läggs enheten till i FortiAnalyzers lista. Om teknologin för administrativa domäner är aktiverad registreras enheten automatiskt i den lämpliga administrativa domänen. Om du har skapat flera liknande administrativa domäner måste enheten registreras från den administrativa domän där du vill lägga till den.

Varje enhet genererar loggar av olika typer. De huvudsakliga typerna av loggar som enheter från företaget Fortinet kan generera visas i bilden nedan.

Vi har redan talat om den initiala bearbetningen av loggar i förra lektionen, men det kan vara värt att fräscha upp minnet. Loggarna som kommer till FortiAnalyzer komprimeras och sparas i en loggfil. När denna fil når en viss storlek skrivs den över och arkiveras. Dessa loggar kallas arkiverade. De betraktas som offline-loggar, eftersom de inte kan analyseras i realtid. De är endast tillgängliga i RAW-format för visning. Policyn för datalagring inom den administrativa domänen bestämmer hur länge dessa loggar kommer att lagras i FortiAnalyzers minne.

Samtidigt indexeras loggarna i en SQL-databas för att stödja analysen. Dessa loggar analyseras i FortiAnalyzer i realtid med hjälp av mekanismerna Log View, FortiView och Reports. Policyn för datalagring inom den administrativa domänen bestämmer hur länge dessa loggar kommer att lagras i FortiAnalyzers minne. När dessa loggar tas bort från FortiAnalyzers minne kan de kvarstå som arkiverade loggar, men det beror på datalagringspolicyn inom den administrativa domänen.

Processen för bearbetning av loggar är schematiskt presenterad nedan.

När loggarna kommer till enheten kontrolleras de av händelsehanterare. De gör det möjligt att spåra intressanta händelser med hjälp av förinställda villkor. Villkoren ställs in på parametrarna som finns i RAW-formatloggarna. Det finns en uppsättning förinställda händelser för varje administrativ domän i systemet, men vid behov kan egna händelsehanterare skapas. Den stora fördelen med händelsehanterare är att när intressanta händelser inträffar kan systemet skicka notifieringar — till e-post eller syslog-servrar via SNMP. Detta möjliggör en snabb reaktion på händelser som inträffar i nätverket.

Låt oss nu diskutera loggskydd. Eftersom loggar innehåller viktig information om vad som händer i nätverket, är det nödvändigt att skydda dem både mot potentiell förlust till följd av olika fel och mot extern kompromiss. Den första tekniken som hjälper till att skydda loggar vid olika fel är RAID. Det gör att man kan dela upp lagringsutrymmet från tillgängliga diskar i flera logiska segment, så att om en eller flera diskar slutar fungera (beroende på typen av RAID) förloras inte data. De huvudsakliga typerna av RAID som kan användas i FortiAnalyzer visas i bilden nedan.

• RAID 0 distribuerar informationen på 2 eller fler diskar. Huvudmålet är hastighet och prestanda. Om en eller flera diskar slutar fungera påverkas hela diskarrayen;
• RAID 1 distribuerar kopior av informationen på 2 eller fler diskar. Om en disk slutar fungera fortsätter diskarrayen att fungera normalt;
• RAID 5 distribuerar information över flera diskar och avsätter dessutom en disk i varje så kallad "informationkedja" för återställningsdata. Om en disk slutar fungera fortsätter diskarrayen att fungera normalt;
• RAID 6 fungerar på ett liknande sätt, men avsätter redan två diskar för återställningsdata;
• RAID 10 kombinerar funktionerna hos RAID 0 och RAID 1. Med denna metod kan man fortsätta arbeta med informationen om 2 diskar slutar fungera (en från varje RAID, annars går det inte att läsa informationen);
• RAID 50 kombinerar funktionaliteten hos RAID 0 och RAID 5. I detta fall fortsätter den stabila hanteringen av informationen, även om en disk slutar fungera i varje RAID 5;
• RAID 60 kombinerar funktionaliteten hos RAID 0 och RAID 6. I detta fall fortsätter den stabila hanteringen av informationen, även om 2 diskar slutar fungera i varje RAID 6.

Nästa mekanism är loggbakup. Det finns flera alternativ för backup — från menyn Loggvisning, där man kan använda ett visst filter för att spara nödvändiga loggar, eller Loggbläddring, där man kan ladda ner sparade loggfiler. Det finns också möjlighet att göra en backup av loggarna till externa servrar med hjälp av CLI-gränssnittet.

En annan mekanism som möjliggör skydd av viktig information i loggarna är redundans. Här finns också flera alternativ.

1. Det första alternativet där enheter skickar loggar direkt till två FortiAnlayzers — en som är primär och den andra som backup.
2. Den andra metoden diskuterade vi redan i förra lektionen — en FortiAnalyzer fungerar som en samlare och samlar loggar från olika enheter. Enligt ett schema skickas de insamlade loggarna till en FortiAnalyzer som fungerar i Analyzer-läge. Om den andra går sönder kan samlaren skicka loggarna till en annan FortiAnalyzer.
3. Det tredje alternativet är att skicka loggar från FortiAnalyzer till externa servrar, till exempel till Syslog. I detta fall kommer loggarna att överföras i realtid.

För att skydda loggarna från uppkompromettering används två grundläggande mekanismer:

1. Kryptering av datatransmissionskanalen mellan FortiAnalyzer och övriga enheter;
2. Skydd av loggar från modifiering genom att lägga till en kontrollsumma.

I videolektionen presenteras det teoretiska materialet som ovan diskuterats, och praktiska aspekter av loggar hanteras — filtrering, visning i olika lägen och inställning av händelsebehandlare. Trevlig tittande!

I nästa lektion kommer vi att gå igenom aspekter av rapporter i detalj. För att inte missa den, prenumerera på vår Youtube-kanal.

Du kan också följa uppdateringar på följande resurser:

Grupp på Vkontakte
Yandex Zen
Vår webbplats
Telegram-kanal

Källa: habr.com