Hej, vÀnner! Vi Àr glada att vÀlkomna er till vÄr nya kurs FortiAnalyzer Introduktion. I kursen har vi redan gÄtt igenom FortiAnalyzers funktionalitet, men vi gick bara ytligt igenom den. Nu vill jag gÄ in mer pÄ djupet om denna produkt, dess syften, mÄl och möjligheter. Denna kurs kommer inte att bli lika omfattande som den förra, men jag hoppas att den blir intressant och lÀrorik.
Eftersom lektionen blev helt teoretisk har vi för er bekvÀmlighet beslutat att Àven presentera den i artikelformat.
Under denna kurs kommer vi att behandla följande punkter:
- AllmÀn information om produkten, dess syfte, lösna uppgifter och viktiga funktioner
- Vi förbereder en mall, dÀr vi under förberedelsen noggrant gÄr igenom den initiala konfigurationen av FortiAnalyzer
- Vi lÀr kÀnna mekanismen för lagring, bearbetning och filtrering av loggar för enkel sökning, och vi gÄr ocksÄ igenom mekanismen FortiView, som presenterar information om nÀtverksstatus i form av olika diagram, grafer och andra widgets.
- Vi kommer att granska processen för att skapa befintliga rapporter och lÀra oss att skapa egna rapporter och redigera befintliga rapporter.
- Vi ska gÄ igenom de viktigaste frÄgorna relaterade till administration av FortiAnalyzer.
- Vi diskuterar pĂ„ nytt licensieringsschemat â jag har redan berĂ€ttat om det i lektion 11 av kursen , men som man sĂ€ger, repetition Ă€r kunskapens moder.
Det huvudsakliga syftet med FortiAnalyzer Àr centraliserad lagring av loggar frÄn en eller flera enheter frÄn Fortinet, samt deras bearbetning och analys. Detta gör det möjligt för sÀkerhetsadministratörer att övervaka olika nÀtverkshÀndelser och sÀkerhetshÀndelser frÄn en plats, snabbt fÄ nödvÀndig information frÄn loggar och widgets, samt att skapa rapporter för alla eller specifika enheter.
Listan över enheter som FortiAnalyzer kan ta emot loggar frÄn och analysera dem presenteras i bilden nedan.
FortiAnalyzer har tre nyckelfunktioner â rapportering, aviseringar, arkivering. Vi gĂ„r igenom var och en av dem.
Rapportering â rapporter ger en tydlig översikt av nĂ€tverkshĂ€ndelser, sĂ€kerhetshĂ€ndelser och olika aktiviteter som Ă€ger rum pĂ„ de stödda enheterna. Rapporteringsmekanismen samlar nödvĂ€ndiga data frĂ„n befintliga loggar och presenterar dem i ett lĂ€ttlĂ€st och analyserbart format. Genom rapporter kan man snabbt fĂ„ den information som behövs om enheternas prestanda, nĂ€tverksĂ€kerhet, de mest besökta resurserna, osv. Det finns mĂ„nga alternativ. Rapporter kan ocksĂ„ anvĂ€ndas för att analysera nĂ€tverkets och de stödda enheternas tillstĂ„nd under en lĂ€ngre tidsperiod. De Ă€r ofta ovĂ€rderliga vid utredning av olika sĂ€kerhetsincidenter.
Varningar möjliggör snabb reaktion pĂ„ olika hot som uppstĂ„r i nĂ€tverket. Systemet genererar varningar nĂ€r loggar dyker upp som uppfyller i förvĂ€g konfigurerade villkor â upptĂ€ckten av ett virus, utnyttjande av olika sĂ„rbarheter osv. Dessa varningar kan ses i webbgrĂ€nssnittet pĂ„ FortiAnalyzer, och man kan ocksĂ„ stĂ€lla in deras sĂ€ndning via SNMP-protokollet, till en syslog-server och till vissa e-postadresser.
Arkivering möjliggör att spara kopior av olika innehÄll som passerar genom nÀtverket pÄ FortiAnalyzer. Detta anvÀnds vanligtvis tillsammans med DLP-mekanismen för lagring av olika filer som omfattas av olika regler för denna mekanism. Det kan ocksÄ vara anvÀndbart vid utredningar av olika sÀkerhetsincidenter.
En annan intressant funktion Ă€r möjligheten att anvĂ€nda administrativa domĂ€ner. Denna teknik gör det möjligt att skapa grupper av enheter baserat pĂ„ olika kriterier â typ av enheter, geografisk plats osv. Att skapa sĂ„dana enhetsgrupper syftar till följande mĂ„l:
- Gruppindelning av enheter baserat pĂ„ liknande egenskaper för att underlĂ€tta övervakning och hantering â till exempel kan enheter grupperas efter geografisk plats. Om du behöver hitta viss information i loggarna för enheter inom en grupp, behöver du istĂ€llet för att noggrant filtrera loggarna bara granska loggarna för den aktuella administrativa domĂ€nen och leta efter den nödvĂ€ndiga informationen.
- För att avgrÀnsa administrativ Ätkomst - varje administrativ domÀn kan ha en eller flera administratörer som har tillgÄng endast till den specifika administrativa domÀnen.
- Effektiv hantering av lagringsutrymme och lagringspolicyer för data som tas emot frÄn enheter - istÀllet för att skapa en enhetlig datalagringskonfiguration för alla enheter tillÄter administrativa domÀner att stÀlla in mer lÀmpliga konfigurationer för specifika grupper av enheter. Detta kan vara anvÀndbart om du har flera enheter och för en grupp behöver lagra data i ett Är, medan för en annan grupp Àr det tre Är. DÀrför kan lÀmpligt lagringsutrymme tilldelas varje grupp - för en grupp som genererar ett stort antal loggar ges mer utrymme, medan en annan grupp fÄr mindre utrymme.
FortiAnalyzer kan arbeta i tvÄ lÀgen - Analyzer och Collector. ArbetslÀget vÀljs beroende pÄ individuella krav och nÀtverkstopologi.
NÀr FortiAnalyzer arbetar i lÀget Analyzer fungerar den som den primÀra loggaggregatorn frÄn en eller flera loggsamlare. Loggsamlare kan vara FortiAnalyzer i lÀget Collector eller andra enheter som stöds av FortiAnalyzer (denna lista har redovisats ovan i bilden). Detta arbetslÀge anvÀnds som standard.
NÀr FortiAnalyzer arbetar i lÀget Collector samlar den in loggar frÄn andra enheter och skickar dem sedan till en annan enhet, sÄsom FortiAnalyzer i lÀget Analyzer eller Syslog. I lÀget Collector kan FortiAnalyzer inte anvÀnda de flesta funktioner, som rapportering och aviseringar, eftersom dess frÀmsta syfte Àr att samla in och vidarebefordra loggar.
Genom att anvÀnda flera FortiAnalyzer-enheter i olika lÀgen kan prestandan ökas - FortiAnalyzer i lÀget Collector samlar loggar frÄn alla enheter och skickar dem till Analyzer för vidare analys, vilket gör att FortiAnalyzer i lÀget Analyzer kan spara resurser som anvÀnds för att ta emot loggar frÄn mÄnga enheter och helt fokusera pÄ att bearbeta loggar.
FortiAnalyzer stöder det deklarativa frÄgesprÄket SQL för loggning och rapportering. Med hjÀlp av det presenteras loggar i lÀsbart format. Detta frÄgesprÄk anvÀnds ocksÄ för att skapa olika rapporter. För vissa rapporteringsfunktioner krÀvs viss kunskap om SQL och databaser, men ofta gör FortiAnalyzers inbyggda funktioner det möjligt att klara sig utan dessa kunskaper. Vi kommer att stöta pÄ detta nÀr vi diskuterar rapporteringssystemet.
SjĂ€lva FortiAnalyzer kan representeras i flera varianter. Det kan vara en fristĂ„ende fysisk enhet, en virtuell maskin â olika hypervisorer stöds, och en komplett lista finns i . Det kan ocksĂ„ implementeras i specialiserade infrastrukturer â AWS, Azure, Google Cloud och andra. Den sista varianten Ă€r FortiAnalyzer Cloud â en molntjĂ€nst som tillhandahĂ„lls av Fortinet.
I nÀsta lektion kommer vi att förbereda en mall för framtida praktiska uppgifter. För att inte missa den, prenumerera pÄ vÄr .
Du kan ocksÄ följa uppdateringar pÄ följande resurser:
KĂ€lla: habr.com
