В современных сетях количество генерируемых событий исчисляется миллионами в час, и хранение этой информации на каждом устройстве защиты становится не просто неудобным, а технически нереализуемым. Решение этой задачи требует выделенной платформы, способной агрегировать потоки, нормализовать данные и предоставлять единую точку управления. Системный интегратор, специализирующийся на инфраструктурных решениях, обычно предлагает комплексный подход к внедрению. Детальнее ознакомиться с возможностями интеграции можно на www.fortitrade.ru, где представлены актуальные варианты построения централизованной аналитики на базе экосистемы Fortinet.
FortiAnalyzer выступает не просто хранилищем логов, а полноценным анализатором взаимосвязей между устройствами безопасности. В отличие от простых syslog-серверов, это решение понимает топологию сети, знает контекст правил межсетевого экранирования и умеет коррелировать события между разными точками контроля. Если рассматривать физическую реализацию, то линейка представлена как аппаратными appliance, так и виртуальными машинами. Технические характеристики и варианты поставки оборудования удобно отслеживать на странице оборудование FortiAnalyzer, где собраны актуальные модели для различных масштабов инфраструктуры.
Архитектура сбора данных и лицензирование
Система работает по модели «агент-сервер» с той разницей, что в роли агентов выступают сами устройства FortiGate, FortiSwitch, FortiAP и другие продукты экосистемы. Они отправляют логи в реальном времени по протоколам FortiTelemetry (на базе HTTPS) или стандартному syslog с расширенными полями. Ключевое отличие FortiAnalyzer от сторонних SIEM систем заключается в наличии встроенных парсеров для собственных устройств. Администратору не нужно писать сложные регулярные выражения для извлечения полей из сырых логов. Система автоматически раскладывает события по предопределенным схемам (logschema), что критически ускоряет написание поисковых запросов и построение дашбордов.
Лицензирование построено по модели набора устройств (device license). Важный момент для проектирования: при покупке виртуальной версии или аппаратного устройства необходимо приобрести лицензии на количество управляемых FortiGate. Есть нюанс в виде «логирования без лицензии» (unregistered devices), но в этом случае функционал аналитики ограничен простым хранением без возможности использования расширенной аналитики, автоматических отчетов и механизмов playbook. Для крупных распределенных сетей предусмотрена иерархическая структура, где несколько FortiAnalyzer могут работать в режиме кластера с распределением ролей «главный-подчиненный» (primary-secondary).
Механизмы компрессии и ротации данных
Одна из инженерных проблем при централизованном сборе логов — это объем хранилища. FortiAnalyzer использует проприетарную базу данных с высоким коэффициентом сжатия (до 90% относительно сырого текстового формата). Администратор настраивает политики удержания данных (retention policies) раздельно для разных типов событий. Например, логи трафика (traffic logs) можно хранить 30 дней для оперативного расследования инцидентов, а события безопасности (UTM logs) — 90 дней для соответствия требованиям регуляторов. Ротация происходит автоматически по достижении заданного порога заполнения дискового пространства или по истечении срока хранения. Система умеет выполнять дедупликацию дублирующихся событий, что особенно актуально при флуктуациях сети и повторяющихся атаках.
- Автоматическое создание отчетов: встроенный планировщик позволяет генерировать отчеты по расписанию (ежедневно, еженедельно) в форматах PDF, HTML или CSV. Шаблоны включают готовые разделы по эффективности правил, топологии трафика и анализу угроз.
- SOAR возможности: начиная с версии 7.0, реализованы playbook автоматического реагирования. При обнаружении определенной сигнатуры (например, множественных неудачных попыток входа) FortiAnalyzer может отдать команду FortiGate на блокировку IP-адреса без участия оператора.
- Федерация данных: технология Fabric Connector позволяет связывать несколько инстансов FortiAnalyzer в единую сеть обмена данными, что необходимо для транснациональных компаний с требованиями о локализации хранения данных в каждой стране.
Интеграция с внешними SIEM и API
Несмотря на мощную внутреннюю аналитику, в смешанных средах часто требуется передача логов в корпоративный SOC, работающий на Splunk, QRadar или ArcSight. FortiAnalyzer поддерживает двустороннюю интеграцию. Во-первых, он может выступать в роли форвардера, пересылая сырые логи на внешний SIEM через syslog или CEF (Common Event Format). Во-вторых, он предоставляет RESTful API для выгрузки данных в формате JSON. Через API можно программно создавать отчеты, изменять политики доступа администраторов и получать метрики загрузки самого анализатора. Для компаний, которые развивают DevOps культуру, это означает возможность встраивать данные безопасности в единые панели мониторинга (Grafana, Kibana).
Отдельного внимания заслуживает работа с не-Fortinet оборудованием. FortiAnalyzer способен принимать логи от сторонних производителей (Cisco, Juniper, Microsoft Windows) через стандартный syslog. Однако функционал аналитики для таких устройств ограничен в сравнении с нативными. Система не будет автоматически распознавать типы событий и строить для них специализированные дашборды безопасности. Поэтому при проектировании архитектуры безопасности рекомендуется либо унифицировать парк оборудования под экосистему Fortinet, либо использовать FortiAnalyzer исключительно для анализа политик и событий FortiGate, оставляя сторонние устройства для другого агрегатора. Такой подход позволяет избежать ситуации «шума» и сохранить скорость работы интерфейса.
Разграничение доступа и мультитенантность
Для сервис-провайдеров и крупных холдингов критична возможность разделения прав. FortiAnalyzer поддерживает полноценную мультитенантность на уровне административных доменов (ADOM). Каждому подразделению или клиенту выделяется собственный ADOM, внутри которого администратор видит только свои устройства, логи и отчеты. При этом суперадминистратор (meta-admin) может контролировать выделенные ресурсы (квоты на дисковое пространство, лимиты по количеству устройств) без доступа к содержимому логов клиента. Это позволяет использовать один физический или виртуальный анализатор для обслуживания десятков независимых бизнес-единиц без нарушения политик информационной безопасности.
Как вас статья?
