{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Kom ig\u00e5ng v6.4. Arbeta med loggar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nV\u00e4lkommen till den tredje lektionen i kursen FortiAnalyzer Kom ig\u00e5ng<\/a><\/noindex>. Vid f\u00f6reg\u00e5ende lektion<\/a><\/noindex> vi har lanserat den layout som beh\u00f6vs f\u00f6r att genomf\u00f6ra laboratoriearbetet. I den h\u00e4r lektionen ska vi g\u00e5 igenom de grundl\u00e4ggande principerna f\u00f6r att arbeta med loggar p\u00e5 FortiAnalyzer<\/a><\/noindex>, l\u00e4ra oss om h\u00e4ndelsehanterare, samt titta p\u00e5 mekanismer f\u00f6r att skydda loggar. Den teoretiska delen och den fullst\u00e4ndiga inspelningen av lektionen finns under l\u00e4nken. <\/a><\/noindex><\/p>\n

F\u00f6r att samla loggar fr\u00e5n enheter m\u00e5ste de registreras p\u00e5 FortiAnalyzer. Det finns tv\u00e5 alternativ f\u00f6r registrering.<\/p>\n

    \n
  1. Det f\u00f6rsta alternativet \u00e4r att p\u00e5 den registrerade enheten aktivera alternativet \"skicka loggar till FortiAnalyzer\" och ange dess IP-adress. D\u00e4refter skickas en registreringsbeg\u00e4ran till FortiAnalyzer. Administrat\u00f6ren m\u00e5ste godk\u00e4nna eller avsl\u00e5 den mottagna beg\u00e4ran. Om teknologin f\u00f6r administrativa dom\u00e4ner \u00e4r aktiverad kan FortiGate l\u00e4ggas till antingen i huvud-ADOM (som kallas root, som vi arbetade med i f\u00f6rra lektionen) eller i en sj\u00e4lvskapad ADOM som \u00e4r avsedd f\u00f6r FortiGate-enheter. <\/li>\n
  2. Det andra alternativet \u00e4r s\u00e5 kallad Device Registration Wizard. Registreringen av enheten sker direkt p\u00e5 FortiAnalyzer. F\u00f6r registreringen kr\u00e4vs information om den registrerade enheten \u2013 serienummer, IP-adress, typ av enhet och version av operativsystemet. Om datavalideringen g\u00e5r igenom framg\u00e5ngsrikt l\u00e4ggs enheten till i FortiAnalyzers lista. Om teknologin f\u00f6r administrativa dom\u00e4ner \u00e4r aktiverad registreras enheten automatiskt i den l\u00e4mpliga administrativa dom\u00e4nen. Om du har skapat flera liknande administrativa dom\u00e4ner m\u00e5ste enheten registreras fr\u00e5n den administrativa dom\u00e4n d\u00e4r du vill l\u00e4gga till den. <\/li>\n<\/ol>\n

    \nVarje enhet genererar loggar av olika typer. De huvudsakliga typerna av loggar som enheter fr\u00e5n f\u00f6retaget Fortinet kan generera visas i bilden nedan. <\/p>\n

    \"3.
    \n
    \nVi har redan talat om den initiala bearbetningen av loggar i f\u00f6rra lektionen, men det kan vara v\u00e4rt att fr\u00e4scha upp minnet. Loggarna som kommer till FortiAnalyzer komprimeras och sparas i en loggfil. N\u00e4r denna fil n\u00e5r en viss storlek skrivs den \u00f6ver och arkiveras. Dessa loggar kallas arkiverade. De betraktas som offline-loggar, eftersom de inte kan analyseras i realtid. De \u00e4r endast tillg\u00e4ngliga i RAW-format f\u00f6r visning. Policyn f\u00f6r datalagring inom den administrativa dom\u00e4nen best\u00e4mmer hur l\u00e4nge dessa loggar kommer att lagras i FortiAnalyzers minne. <\/p>\n

    Samtidigt indexeras loggarna i en SQL-databas f\u00f6r att st\u00f6dja analysen. Dessa loggar analyseras i FortiAnalyzer i realtid med hj\u00e4lp av mekanismerna Log View, FortiView och Reports. Policyn f\u00f6r datalagring inom den administrativa dom\u00e4nen best\u00e4mmer hur l\u00e4nge dessa loggar kommer att lagras i FortiAnalyzers minne. N\u00e4r dessa loggar tas bort fr\u00e5n FortiAnalyzers minne kan de kvarst\u00e5 som arkiverade loggar, men det beror p\u00e5 datalagringspolicyn inom den administrativa dom\u00e4nen. <\/p>\n

    Processen f\u00f6r bearbetning av loggar \u00e4r schematiskt presenterad nedan. <\/p>\n

    \"3.
    \n
    \nN\u00e4r loggarna kommer till enheten kontrolleras de av h\u00e4ndelsehanterare. De g\u00f6r det m\u00f6jligt att sp\u00e5ra intressanta h\u00e4ndelser med hj\u00e4lp av f\u00f6rinst\u00e4llda villkor. Villkoren st\u00e4lls in p\u00e5 parametrarna som finns i RAW-formatloggarna. Det finns en upps\u00e4ttning f\u00f6rinst\u00e4llda h\u00e4ndelser f\u00f6r varje administrativ dom\u00e4n i systemet, men vid behov kan egna h\u00e4ndelsehanterare skapas. Den stora f\u00f6rdelen med h\u00e4ndelsehanterare \u00e4r att n\u00e4r intressanta h\u00e4ndelser intr\u00e4ffar kan systemet skicka notifieringar \u2014 till e-post eller syslog-servrar via SNMP. Detta m\u00f6jligg\u00f6r en snabb reaktion p\u00e5 h\u00e4ndelser som intr\u00e4ffar i n\u00e4tverket. <\/p>\n

    \"3.
    \n
    \nL\u00e5t oss nu diskutera loggskydd. Eftersom loggar inneh\u00e5ller viktig information om vad som h\u00e4nder i n\u00e4tverket, \u00e4r det n\u00f6dv\u00e4ndigt att skydda dem b\u00e5de mot potentiell f\u00f6rlust till f\u00f6ljd av olika fel och mot extern kompromiss. Den f\u00f6rsta tekniken som hj\u00e4lper till att skydda loggar vid olika fel \u00e4r RAID. Det g\u00f6r att man kan dela upp lagringsutrymmet fr\u00e5n tillg\u00e4ngliga diskar i flera logiska segment, s\u00e5 att om en eller flera diskar slutar fungera (beroende p\u00e5 typen av RAID) f\u00f6rloras inte data. De huvudsakliga typerna av RAID som kan anv\u00e4ndas i FortiAnalyzer visas i bilden nedan.<\/p>\n

    \"3.
    \n<\/p>\n