Hej, vÀnner! I gick vi igenom grunderna i loggar pÄ FortiAnalyzer. Idag gÄr vi vidare och tittar pÄ de grundlÀggande aspekterna av att arbeta med rapporter: vad rapporter Àr, vad de bestÄr av, hur man kan redigera befintliga rapporter och skapa nya. Som vanligt börjar vi med lite teori, och dÀrefter arbetar vi praktiskt med rapporterna. Nedan finns den teoretiska delen av lektionen, samt en videolektion som tÀcker bÄde teori och praktik.
Huvudsyftet med rapporter Àr att sammanföra stora datavolymer som finns i loggarna, och baserat pÄ de instÀllningar som finns, presentera all information pÄ ett lÀsvÀnligt sÀtt: i form av grafer, tabeller och diagram. PÄ bilden nedan visas en lista över förinstÀllda rapporter för FortiGate-enheter (den rymmer inte alla rapporter, men jag tror att det redan framgÄr av denna lista att Àven "direkt ur lÄdan" gÄr det att bygga mÄnga intressanta och anvÀndbara rapporter).
Men rapporter presenterar bara den begÀrda informationen pÄ ett lÀsvÀnligt sÀtt - de innehÄller inga rekommendationer om vidare ÄtgÀrder kring de problem som upptÀckts.
De viktigaste bestÄndsdelarna i rapporter Àr diagram. Varje rapport bestÄr av ett eller flera diagram. Diagrammen definierar vilken information som behöver hÀmtas frÄn loggarna och i vilket format den ska presenteras. För att hÀmta information ansvarar datamÀngderna - SELECT-frÄgor mot databasen. Det Àr i datamÀngderna som det noggrant definieras varifrÄn och vilken specifik information som ska hÀmtas. NÀr de nödvÀndiga uppgifterna framkommer som resultat av frÄgan, tillÀmpas instÀllningar för format (eller visning). Resultatet Àr att de erhÄllna uppgifterna formateras i tabeller, grafer eller diagram av olika slag.
I SELECT-frÄgan anvÀnds olika kommandon som anger villkor för den hÀmtade informationen. Det viktigaste att notera Àr att dessa kommandon mÄste tillÀmpas i en specifik ordning, precis i den ordning de presenteras nedan:
FROM - den enda kommandot som Àr obligatoriskt i en SELECT-frÄga. Det anger vilken typ av loggar som informationen ska hÀmtas frÄn;
WHERE â med det hĂ€r kommandot stĂ€lls villkoren för loggarna (till exempel ett specifikt namn pĂ„ applikationen/attacken/viruset);
GROUP BY â det hĂ€r kommandot gör att information kan grupperas efter en eller flera intressanta kolumner;
ORDER BY â med det hĂ€r kommandot kan resultatet sorteras efter rader;
LIMIT â begrĂ€nsar antalet poster som returneras av frĂ„gan.
FortiAnalyzer innehĂ„ller förinstallerade mallar för rapporter. Mallarna fungerar som en sĂ„ kallad rapportlayout â de innehĂ„ller rapporttext, diagram och makron. Med hjĂ€lp av mallar kan nya rapporter skapas om det finns minimala Ă€ndringar som krĂ€vs i de förinstallerade. Förinstallerade rapporter kan dock inte redigeras eller raderas â de kan klonas och Ă€ndras pĂ„ kopian. Det finns ocksĂ„ möjlighet att skapa egna mallar för rapporter.
Ibland kan man stöta pÄ följande situation: den förinstallerade rapporten passar uppgiften men inte helt. Kanske behöver viss information lÀggas till eller, Ä andra sidan, tas bort. I sÄ fall finns det tvÄ alternativ: klona och Àndra mallen, eller rapporten sjÀlv. HÀr mÄste man ta hÀnsyn till flera faktorer.
Mallarna fungerar som en layout för rapporten, de innehÄller diagram och rapporttext, inte mer. SjÀlva rapporterna, Ä sin sida, innehÄller förutom den sÄ kallade "layouten" olika rapportparameterar: sprÄk, teckenstorlek, textfÀrg, genereringsperiod, informationsfiltering och sÄ vidare. DÀrför, om Àndringar endast behöver göras i rapportlayouten, kan mallarna anvÀndas. Om ytterligare konfiguration av rapporten krÀvs kan den faktiska rapporten (eller snarare dess kopia) redigeras.
UtifrÄn mallarna kan flera liknande rapporter skapas, sÄ om mÄnga liknande rapporter ska göras Àr det att föredra att anvÀnda mallar.
Om de förinstallerade mallarna och rapporterna inte passar er, kan ni skapa bÄde en ny mall och en ny rapport.
Det finns ocksÄ möjlighet pÄ FortiAnalyzer att konfigurera vidarebefordring av rapporter till specifika administratörer via e-post eller att exportera dem till externa servrar. Detta görs med hjÀlp av mekanismen Output Profile. I varje administrativ domÀn konfigureras separata Output Profiles. Vid konfiguration av Output Profile bestÀms följande parametrar:
- Format pĂ„ de skickade rapporterna â PDF, HTML, XML eller CSV;
- Platsen dĂ€r rapporterna kommer att skickas. Detta kan vara administratörens e-post (för detta krĂ€vs att FortiAnalyzer kopplas till en e-postserver, vilket vi diskuterade i förra lektionen). Det kan ocksĂ„ vara en extern filserver â FTP, SFTP, SCP;
- Det Ă€r möjligt att ange vad som ska göras med lokala rapporter som finns kvar pĂ„ enheten efter vidarebefordran â att behĂ„lla dem eller ta bort dem.
Vid behov finns det möjlighet att pÄskynda genereringen av rapporter. Vi tittar pÄ tvÄ metoder:
Vid skapandet av en rapport bygger FortiAnalyzer diagram utifrÄn förkompilerade SQL-cachedata, kÀnda som hcache. Om hcache-data inte har skapats vid rapportens körning mÄste systemet först skapa hcache och sedan bygga rapporten. Detta ökar tiden för rapportgenereringen. Men om inga nya loggar har mottagits för rapporten, kommer tiden för Ätergenerering av rapporten att minska avsevÀrt, eftersom hcache-data redan har kompilerats.
För att öka prestandan vid rapportgenerering kan automatiskt skapande av hcache aktiveras i rapportinstÀllningarna. I sÄ fall uppdateras hcache automatiskt vid mottagande av nya loggar. Ett exempel pÄ instÀllningarna visas i bilden nedan.
Denna process anvÀnder mÄnga systemresurser (sÀrskilt för rapporter som krÀver lÄng tid för att samla in data), sÄ efter aktivering Àr det viktigt att övervaka statusen för FortiAnalyzer: har arbetsbelastningen ökat kraftigt, finns det ett kritiskt resursutnyttjande. Om FortiAnalyzer inte klarar av belastningen Àr det bÀst att stÀnga av denna process.
Det bör ocksÄ noteras att automatisk uppdatering av hcache-data Àr aktiverad som standard för schemalagda rapporter.
Den andra metoden för att pÄskynda rapportgenereringen Àr gruppering:
Om samma (eller liknande) rapporter genereras för olika FortiGate-enheter (eller andra Fortinet-enheter), kan processen för deras generering pÄskyndas avsevÀrt genom gruppering. Grupp av rapporter kan minska antalet hcache-tabeller och pÄskynda tiden för automatisk caching, vilket i sin tur snabbar upp rapportgenereringen.
I exemplet som visas nedan grupperas rapporter med strÀngen Security_Report i namnet efter parameteren Device ID.
I videolektionen presenteras det teoretiska materialet som diskuterats ovan, samt praktiska aspekter av arbete med rapporter â frĂ„n att skapa egna datamĂ€ngder och diagram, mallar och rapporter till instĂ€llning av rapportöverföringar till administratörer. Trevlig tittning!
I nÀsta lektion kommer vi att titta pÄ olika aspekter av administrationen av FortiAnalyzer, samt dess licensieringssystem. För att inte missa det, prenumerera pÄ vÄr .
Du kan ocksÄ följa uppdateringar pÄ följande resurser:
KĂ€lla: habr.com
