1.ログとアラート
1.ログの設計
FortiGateは、セキュリティ製品ですので、セキュリティに関するログが重要になります。また、FortiGateそのもののログも出力されます。
❶セキュリティのポリシーのログ
「ポリシー＆オブジェクト」のところで、ポリシーにおいて、「ロギングオプション」があります。デフォルトでは、「許可トラフィックをログ」の「セキュリティイベント」になっています。これは、許可ログもすべて取得しては、ログが莫
大になるからです。
ここの設定で、「すべてのセッション」を選ぶことも可能です。これを選ぶと、上部にあるセキュリティプロファイルで選択した、AVやWebフィルタのログも取得します。
先ほどの画面で、「セッション開始時にログを生成」は、デフォルトはOFFです。SYNパケットが発生した時点でログを取得します。なので、３Wayハンドシェークに失敗したものも、ログとして取得できます。
❷筐体に関するログ
・セキュリティ設定やらポリシーに関するものではなく、筐体に関するイベントのログに関してです。
・ログレベルとしてemergency,alert,critical,error,warning,notification,information,debugがあります。それぞれのレベルを付与してログが出力されます。
・デフォルトでは、すべてのログレベルが出力されます。
・出力するログのレベルを変更する方法は、CLIのみです。set severityコマンドで変更できます。
・ログの設定は「ログ＆レポート」の「ログ設定」から行います。
・ログの出力先は「ローカルログ」の「ディスク」がデフォルトです。
・Syslogに転送するには、「リモートロギングとアーカイブ」で「ログをSyslogへ送る」にして、SyslogサーバのIPアドレスを記載します。
❸ログについて
内部にログをためて、GUIで見ると、ログが正確に出ない場合がある。きちんとログを見たいのであれば、Syslogサーバなどに転送するほうがいいだろう。
・GUIだと、表示されるログの上限が決まっていた気がする
・単なる転送ログだと、通常トラフィックは表示されない場合があるだろう。 severityのレベルをnotificationに変更しよう。 ※この点は上にも書いています。
なんだかよくわからないです
順に整理しよう。
・ポリシーにおいて、「許可トラフィックをログ」を「すべてのセッション」にする。
・ログは「ログ＆レポート」＞「転送トラフィック」に表示される。
ただし、60クラスの小さいものは、メモリが小さいので、デフォルトではログが取得されない。なぜかというと、severity(厳格さ）の設定が原因である。初期設定を見てみよう
FGT60D # show full-configuration log memory filter ←showコマンドで確認
config log memory filter
set severity warning ←結果表示：warinigになっている
set forward-traffic enable
・・・・
そこで、設定変更をする
FGT60D # config log memory filter ←該当の階層に移動
FGT60D (filter) # set severity information ←severity(厳格さ）をinformationまたはnotificationに変更
FGT60D (filter) # end
FGT60D #
※saveなどの明示的な保存は不要。自動で保存される。
・システムログには、トラフィックがあふれてこれ以上セキュリティチェックをしないなどのログも表示される。
■その他
ログの消し方（ログの消去）→コマンドラインでしかできないと思う。
execute log delete-all
2.アラートの設定
アラートメールを送る方法には、「ログ&レポート」から設定する方法１と、「セキュリティファブリック＞オートメーション」から設定する方法２の2種類があります。
【方法１】「ログ&レポート＞Eメールアラート設定」からの設定
「ログ&レポート」より「Eメールアラート設定」を選択します。
【方法２】イベントメッセージからアラートメールを設定する場合
①「セキュリティファブリック＞オートメーション」から「＋新規作成」をクリックします。
②「新規オートメーションステッチ」の画面で、適宜名前を入力し、トリガーの中から「イベントログ」を選択します。
イベントログのアイコン下に表示されるイベント項目の「 ＋ 」をクリックします。
③画面右に「エントリを選択」が表示され、複数のイベントメッセージから項目を選択できます。
どう使い分けるのですか？
大きな違いの一つとして、前者は、機器単体、後者は複数機器にまたがったアラート設定ができることがあります。
ですから、FortiGateが複数ある場合はセキュリティファブリックからの設定になります。
また、前者の「E-メールアラート」は、機器単体が安定稼働しているかを判断する管理（Disk超過や設定変更、HAステータス等）、セキュリティ（AV、IPSの検知）が主です。
そして、通知内容は決められており、特定のイベントを追加することはできません。できるのは、セベリティレベルの変更だけです。
2.FortiAnalyzer
1.FortiAnalyzerとは
FortiAnalyzer は単体、複数の FortiGateから収集したログを分析、レポートすることを容易に実行できる製品です。
ログを集めるSyslogサーバみたいなものですね。
集めるだけなら、Syslogサーバで十分では？
ログ管理は何か問題となることが発生した時に、その時系列や何処が起因しているかを調べる為に使います。
ポイントは素早く探したい場所にたどりつき、前後関係を判断できるかです。
Syslogサーバーの管理ではログをフィルタし、対象を探していきます。
FortiAnalyzerを利用すると、時系列の関連性をGUIから確認したり、
対象期間をフィルタしてレポートを作成させることで前後関係を視覚的に判断できるようになります。
これは問題発生の確認や、定期的な状況把握にも利用できます。
2.構成
FortiGateとは、ネットワーク的に接続されていれば構いません。FortiGateのポートを、FortiAnalyzer専用に接続しても構いません。
ログ処理は、
・リアルタイムに FortiAnalyzerへ送信する
・定期的に保存したログを FortiAnalyzerへ送信させる
の2つのパターンを選択できます。
リアルタイム性を考慮する場合は、出来るだけ FortiGateと FortiAnalyzerは近いポイントで設置する
構成が望ましく、定期的な場合は拠点間の回線帯域を圧迫できない場合に利用されます。
また専用のストレージを使うことで長期間のログを保存し、そのデーターから様々なレポート、
必要期間のデーター抽出を実施できます。
導入構成は単体、冗長、親子連携と様々な構成にマッチした内容で導入できます。
単体の場合、FortiAnalyzerは冗長化していませんので NAS等に定期的にログを
Updateした方が望ましいです。
冗長構成の場合、NAS等のストレージを設けることなく FortiAnalyzerを冗長できます。
親子関係とは、Analyzer（親）、Collector（子）の関係を FortiAnalyzerで構築します。
FortiGateは Collecotrにログを転送します。
Collectorは定期的に Analyzerへ保存したログを転送します。
Analyzerは Collectorから転送されたログをレポート等にまとめます。
これは FortiAnalyzerの負荷分散、FortiGateが集線する回線帯域により構成をさせるものになります。
また FortiAnalyzerもハード（物理）、仮想化（VM版）と様々な環境に適応させることが出来ます。
FortiGateがHAを組んだ場合は、両方のログを出力するのですか？
その場合は、FortiAnakyzer側で FortiGateを登録する際に HA（クラスタ）として認識させた
登録が可能です。
登録後、FortiGateの（Active、Slave）両方のログを管理できるようになります。
3.価格
管理するデバイスが最小 5台で、約 50万円からスタートします。
4.管理画面
複数のデバイス、ログ内容を視覚的に見やすく確認できる GUIとなっています。
Top画面）
FortiView）