Hej! VĂ€lkommen till den nionde lektionen i kursen . Vid Vi har gĂ„tt igenom de grundlĂ€ggande mekanismerna för kontroll av anvĂ€ndartillgĂ„ng till olika resurser. Nu stĂ„r vi inför en annan uppgift â vi behöver analysera anvĂ€ndarnas beteende pĂ„ nĂ€tet samt stĂ€lla in datainsamling som kan hjĂ€lpa vid utredning av olika sĂ€kerhetsincidenter. DĂ€rför kommer vi i den hĂ€r lektionen att gĂ„ igenom loggnings- och rapporteringsmekanismen. För detta behöver vi FortiAnalyzer, som vi stĂ€llde upp i början av kursen. NödvĂ€ndig teori samt videos lektioner finns tillgĂ€ngliga nedan.
I FortiGate delas loggarna in i tre typer: trafikloggar, hÀndelselogg och sÀkerhetsloggar. Dessa delas ocksÄ in i underkategorier.
Trafikloggar registrerar information om trafikflödet, sÄsom begÀrningar och svar, om sÄdana finns. Den hÀr typen innehÄller underkategorierna Forward, Local och Sniffer.
Underkategorin Forward innehÄller information om trafiken som FortiGate antingen accepterade eller avvisade enligt brandvÀggspolicyer.
Underkategorin Local innehĂ„ller information om trafik direkt frĂ„n FortiGates IP-adress och frĂ„n IP-adresser som anvĂ€nds för administration. Till exempel â anslutningar till FortiGates webbgrĂ€nssnitt.
Underkategorin Sniffer innehÄller loggar över trafik som har fÄngats genom spegling av trafiken.
HĂ€ndelselogg innehĂ„ller system- eller administrativa hĂ€ndelser, sĂ„som â tillĂ€gg eller Ă€ndring av instĂ€llningar, etablering och avbrott av VPN-tunnlar, hĂ€ndelser för dynamisk routning och sĂ„ vidare. Alla underkategorier visas i bilden nedan.
Och den tredje typen utgör sÀkerhetsloggar. I dessa loggar registreras hÀndelser relaterade till virusattacker, besök pÄ förbjudna resurser, anvÀndning av förbjudna applikationer och sÄ vidare. Den fullstÀndiga listan finns ocksÄ presenterad i bilden nedan.
Loggar kan lagras pĂ„ olika platser â bĂ„de pĂ„ FortiGate-enheten och utanför den. Att lagra loggar pĂ„ FortiGate betraktas som lokal loggning. Beroende pĂ„ enheten kan loggar lagras antingen i enhetens flashminne eller pĂ„ hĂ„rddisken. Vanligtvis har medelmodeller en hĂ„rddisk. Det Ă€r ganska enkelt att kĂ€nna igen modeller med hĂ„rddisk â i slutet har de en siffra. Till exempel â FortiGate 100E har ingen hĂ„rddisk, medan FortiGate 101E har en hĂ„rddisk.
Ăldre och lĂ€gre modeller har vanligtvis ingen hĂ„rddisk. I sĂ„dana fall anvĂ€nds flashminnet för att spela in loggar. Det Ă€r dock vĂ€rt att notera att kontinuerlig inspelning av loggar i flashminnet kan minska dess effektivitet och livslĂ€ngd. DĂ€rför Ă€r inspelning av loggar till flashminnet som standard inaktiverad. Det rekommenderas att aktivera den endast för loggning av hĂ€ndelser vid specifika problem.
Vid intensiv inspelning av loggar, oavsett om det Ă€r till hĂ„rddisken eller till flashminnet â kommer enhetens prestanda att minska.
Det Àr ganska vanligt att lagra loggar pÄ fjÀrrservrar. FortiGate kan lagra loggar pÄ Syslog-servrar, pÄ FortiAnalyzer eller FortiManager. Dessutom kan den anvÀnda molntjÀnsten FortiCloud för att lagra loggar.
Syslog Àr en server för centralt lagring av loggar frÄn nÀtverksenheter.
FortiCloud Àr en sÀkerhetsadministration och logglagringstjÀnst som Àr abonnemangsbaserad. Med den kan du lagra loggar pÄ distans och skapa tillhörande rapporter. Om du har ett ganska litet nÀtverk kan detta molnalternativ vara en bra lösning istÀllet för att köpa ytterligare utrustning. Det finns en gratisversion av FortiCloud som innebÀr en veckas lagring av loggar. Efter att ha köpt ett abonnemang kan loggar lagras i ett Är.
FortiAnalyzer och FortiManager Ă€r externa logglagringsenheter. Eftersom de alla har samma operativsystem â FortiOS â medför integreringen av FortiGate med dessa enheter inga svĂ„righeter.
Men det Àr viktigt att notera skillnaderna mellan FortiAnalyzer- och FortiManager-enheterna. Huvudsyftet med FortiManager Àr centraliserad hantering av flera FortiGate-enheter - dÀrför Àr lagringskapaciteten för loggar pÄ FortiManager betydligt mindre Àn pÄ FortiAnalyzer (om man jÀmför modeller inom samma prissegment).
Huvudsyftet med FortiAnalyzer Àr just insamling och analys av loggar. DÀrför kommer vi att fokusera pÄ dess anvÀndning praktiskt.
All teori samt den praktiska delen presenteras i denna videolektion:
I nÀsta lektion kommer vi att gÄ igenom de viktigaste punkterna relaterade till administration av FortiGate-enheten. För att inte missa den, följ uppdateringarna pÄ följande kanaler:
KĂ€lla: habr.com
