1. Prise en main de FortiAnalyzer v6.4. introduction

Bonjour les amis! Nous sommes ravis de vous accueillir dans notre nouveau cours de mise en route FortiAnalyzer. Dans le cours de mise en route de Fortinet , nous avons déjà examiné les fonctionnalités de FortiAnalyzer, mais nous l'avons abordée plutôt superficiellement. Maintenant, je veux parler plus en détail de ce produit, de ses buts, objectifs et capacités. Ce cours ne devrait pas être aussi complet que le précédent, mais j'espère qu'il sera intéressant et instructif.





Puisque la leçon s'est avérée complètement théorique, pour votre commodité, nous avons décidé de la présenter également sous la forme d'un article.



Au cours de ce cours, nous aborderons les points suivants:

• Informations générales sur le produit, son objectif, ses tâches et ses principales caractéristiques
• Préparons la mise en page, lors de la préparation, nous examinerons de plus près la configuration initiale de FortiAnalyzer
• , , FortiView, ,
• ,
• , FortiAnalyzer’
• — 11 Fortinet Getting Started, , , — .

L'objectif principal de FortiAnalyzer est le stockage centralisé des logs d'un ou plusieurs appareils Fortinet, ainsi que leur traitement et leur analyse. Cela permet aux administrateurs de sécurité de surveiller divers événements de réseau et de sécurité à partir d'un seul endroit, d'obtenir rapidement les informations nécessaires à partir des journaux et des widgets, ainsi que de créer des rapports sur tous les périphériques ou périphériques d'intérêt.

La liste des appareils à partir desquels FortiAnalyzer peut recevoir des journaux et les analyser est présentée dans la figure ci-dessous.







FortiAnalyzer dispose de trois fonctionnalités clés: rapports, alertes, archivage. Considérons chacun d'eux.



Rapports - Les rapports fournissent une représentation visuelle des événements réseau, des événements de sécurité et de diverses activités se produisant sur les appareils pris en charge. Le moteur de reporting collecte les données nécessaires à partir des journaux disponibles et les présente sous une forme facile à lire et à analyser. À l'aide de rapports, vous pouvez obtenir rapidement les informations dont vous avez besoin sur les performances de l'appareil, la sécurité du réseau, les ressources les plus visitées, etc. Il existe de nombreuses options. Vous pouvez également utiliser des rapports pour analyser l'état de votre réseau et des appareils pris en charge sur une longue période. Très souvent, ils sont indispensables lors des enquêtes sur divers incidents de sécurité.



Les alertes vous permettent de réagir rapidement aux diverses menaces qui se produisent sur le réseau. Le système génère des alertes lorsque des journaux apparaissent qui répondent à des conditions préconfigurées - détection de virus, exploitation de diverses vulnérabilités, etc. Ces notifications peuvent être visualisées dans l'interface Web de FortiAnalyzer, ainsi que configurées pour être envoyées via le protocole SNMP au serveur syslog, ainsi qu'à des adresses e-mail spécifiques.



L'archivage permet à FortiAnalyzer de stocker des copies de divers contenus passant sur le réseau. Ceci est généralement utilisé en conjonction avec le moteur DLP pour stocker divers fichiers qui relèvent des différentes règles du moteur DLP. Il peut également être utile pour enquêter sur divers incidents de sécurité.



Une autre caractéristique intéressante est la possibilité d'utiliser des domaines administratifs. Cette technologie vous permet de créer des groupes d'appareils en fonction de divers critères - types d'appareils, emplacement géographique, etc. La création de tels groupes d'appareils a les objectifs suivants:

• Regrouper les appareils en fonction de fonctionnalités similaires pour faciliter la surveillance et la gestion - disons que les appareils sont regroupés par emplacement géographique. Vous devez trouver toutes les informations dans les journaux des périphériques du même groupe. Au lieu de filtrer soigneusement les journaux, il vous suffit de consulter les journaux du domaine administratif requis et de rechercher les informations nécessaires.
• Pour délimiter l'accès administratif - chaque domaine administratif peut avoir un ou plusieurs administrateurs qui n'ont accès qu'à ce domaine administratif
• — , , . , , , — 3 . , — , , , — .

FortiAnalyzer peut fonctionner en deux modes: Analyzer et Collector. Le mode de fonctionnement est sélectionné en fonction des besoins individuels et de la topologie du réseau.



Lorsque FortiAnalyzer s'exécute en mode Analyzer, il agit en tant qu'agrégateur de journaux principal à partir d'un ou plusieurs collecteurs de journaux. Les collecteurs de journaux sont à la fois le FortiAnalyzer en mode Collector et d'autres périphériques pris en charge par FortiAnalyzer (ils ont été répertoriés ci-dessus dans la figure). Ce mode de fonctionnement est utilisé par défaut.



Lorsque le FortiAnalyzer est en mode Collector, il collecte les journaux d'autres appareils, puis les transmet à un autre appareil, tel que le FortiAnalyzer en mode Analyzer ou Syslog. En mode Collector, FortiAnalyzer ne peut pas utiliser la plupart des fonctionnalités telles que les rapports et les alertes, car son objectif principal est de collecter et d'envoyer des journaux.



L'utilisation de plusieurs appareils FortiAnalyzer dans différents modes peut augmenter les performances - FortiAnalyzer en mode Collector collecte les journaux de tous les appareils et les envoie à l'analyseur pour une analyse plus approfondie, ce qui permet à FortiAnalyzer en mode Analyzer d'économiser les ressources consacrées à la réception des journaux de plusieurs appareils et de se concentrer entièrement sur traitement des journaux.







FortiAnalyzer prend en charge un langage de requête SQL déclaratif pour la journalisation et la création de rapports. Avec son aide, les journaux sont présentés sous une forme lisible. Divers rapports sont également créés à l'aide de ce langage de requête. Certaines capacités de reporting nécessitent une certaine connaissance de SQL et des bases de données, mais souvent les capacités intégrées de FortiAnalyzer permettent de se passer de ces connaissances. Nous verrons cela lorsque nous examinerons le mécanisme de rapport.



FortiAnalyzer lui-même peut être présenté en plusieurs variantes. Il peut s'agir d'un périphérique physique distinct, d'une machine virtuelle - différents hyperviseurs sont pris en charge, une liste complète d'entre eux peut être trouvée dans la fiche technique... Il peut également être déployé dans des infrastructures spécialisées - AWS. Azure, Google Cloud et autres. Et la dernière option est FortiAnalyzer Cloud, un service cloud fourni par Fortinet.



Dans la prochaine leçon, nous préparerons une mise en page pour d'autres travaux pratiques. Pour ne pas le rater, abonnez-vous à notre chaîne Youtube .



Vous pouvez également suivre les mises à jour sur les ressources suivantes:



Groupe Vkontakte

Yandex Zen

Notre site Web

Chaîne télégramme