- 1.ログとアラート
- 2.FortiAnalyzer
- 3.FortiManager
- 4.管理系の設定
- 5.諸々の管理設定
- 6.ライセンスやステータス
- 7.出力メッセージの編集
- 8.IPSやAVの更新状況
- Configの保存とリストア
1.ログとアラート
1.ログの設計
FortiGateは、セキュリティ製品ですので、セキュリティに関するログが重要になります。また、FortiGateそのもののログも出力されます。
❶セキュリティのポリシーのログ
「ポリシー＆オブジェクト」のところで、ポリシーにおいて、「ロギングオプション」があります。デフォルトでは、「許可トラフィックをログ」の「セキュリティイベント」になっています。これは、許可ログもすべて取得しては、ログが莫
大になるからです。
ここの設定で、「すべてのセッション」を選ぶことも可能です。これを選ぶと、上部にあるセキュリティプロファイルで選択した、AVやWebフィルタのログも取得します。
先ほどの画面で、「セッション開始時にログを生成」は、デフォルトはOFFです。SYNパケットが発生した時点でログを取得します。なので、３Wayハンドシェークに失敗したものも、ログとして取得できます。
❷筐体に関するログ
・セキュリティ設定やらポリシーに関するものではなく、筐体に関するイベントのログに関してです。
・ログレベルとしてemergency,alert,critical,error,warning,notification,information,debugがあります。それぞれのレベルを付与してログが出力されます。
・デフォルトでは、すべてのログレベルが出力されます。
・出力するログのレベルを変更する方法は、CLIのみです。set severityコマンドで変更できます。
・ログの設定は「ログ＆レポート」の「ログ設定」から行います。
・ログの出力先は「ローカルログ」の「ディスク」がデフォルトです。
・Syslogに転送するには、「リモートロギングとアーカイブ」で「ログをSyslogへ送る」にして、SyslogサーバのIPアドレスを記載します。
❸ログについて
内部にログをためて、GUIで見ると、ログが正確に出ない場合がある。きちんとログを見たいのであれば、Syslogサーバなどに転送するほうがいいだろう。
・GUIだと、表示されるログの上限が決まっていた気がする
・単なる転送ログだと、通常トラフィックは表示されない場合があるだろう。 severityのレベルをnotificationに変更しよう。 ※この点は上にも書いています。
なんだかよくわからないです
順に整理しよう。
・ポリシーにおいて、「許可トラフィックをログ」を「すべてのセッション」にする。
・ログは「ログ＆レポート」＞「転送トラフィック」に表示される。
ただし、60クラスの小さいものは、メモリが小さいので、デフォルトではログが取得されない。なぜかというと、severity(厳格さ）の設定が原因である。初期設定を見てみよう
FGT60D # show full-configuration log memory filter ←showコマンドで確認
config log memory filter
set severity warning ←結果表示：warinigになっている
set forward-traffic enable
・・・・
そこで、設定変更をする
FGT60D # config log memory filter ←該当の階層に移動
FGT60D (filter) # set severity information ←severity(厳格さ）をinformationまたはnotificationに変更
FGT60D (filter) # end
FGT60D #
※saveなどの明示的な保存は不要。自動で保存される。
・システムログには、トラフィックがあふれてこれ以上セキュリティチェックをしないなどのログも表示される。
■その他
ログの消し方（ログの消去）→コマンドラインでしかできないと思う。
execute log delete-all
2.アラートの設定
アラートメールを送る方法には、「ログ&レポート」から設定する方法１と、「セキュリティファブリック＞オートメーション」から設定する方法２の2種類があります。
【方法１】「ログ&レポート＞Eメールアラート設定」からの設定
「ログ&レポート」より「Eメールアラート設定」を選択します。
【方法２】イベントメッセージからアラートメールを設定する場合
①「セキュリティファブリック＞オートメーション」から「＋新規作成」をクリックします。
②「新規オートメーションステッチ」の画面で、適宜名前を入力し、トリガーの中から「イベントログ」を選択します。
イベントログのアイコン下に表示されるイベント項目の「 ＋ 」をクリックします。
③画面右に「エントリを選択」が表示され、複数のイベントメッセージから項目を選択できます。
どう使い分けるのですか？
大きな違いの一つとして、前者は、機器単体、後者は複数機器にまたがったアラート設定ができることがあります。
ですから、FortiGateが複数ある場合はセキュリティファブリックからの設定になります。
また、前者の「E-メールアラート」は、機器単体が安定稼働しているかを判断する管理（Disk超過や設定変更、HAステータス等）、セキュリティ（AV、IPSの検知）が主です。
そして、通知内容は決められており、特定のイベントを追加することはできません。できるのは、セベリティレベルの変更だけです。
2.FortiAnalyzer
1.FortiAnalyzerとは
FortiAnalyzer は単体、複数の FortiGateから収集したログを分析、レポートすることを容易に実行できる製品です。
ログを集めるSyslogサーバみたいなものですね。
集めるだけなら、Syslogサーバで十分では？
ログ管理は何か問題となることが発生した時に、その時系列や何処が起因しているかを調べる為に使います。
ポイントは素早く探したい場所にたどりつき、前後関係を判断できるかです。
Syslogサーバーの管理ではログをフィルタし、対象を探していきます。
FortiAnalyzerを利用すると、時系列の関連性をGUIから確認したり、
対象期間をフィルタしてレポートを作成させることで前後関係を視覚的に判断できるようになります。
これは問題発生の確認や、定期的な状況把握にも利用できます。
2.構成
FortiGateとは、ネットワーク的に接続されていれば構いません。FortiGateのポートを、FortiAnalyzer専用に接続しても構いません。
ログ処理は、
・リアルタイムに FortiAnalyzerへ送信する
・定期的に保存したログを FortiAnalyzerへ送信させる
の2つのパターンを選択できます。
リアルタイム性を考慮する場合は、出来るだけ FortiGateと FortiAnalyzerは近いポイントで設置する
構成が望ましく、定期的な場合は拠点間の回線帯域を圧迫できない場合に利用されます。
また専用のストレージを使うことで長期間のログを保存し、そのデーターから様々なレポート、
必要期間のデーター抽出を実施できます。
導入構成は単体、冗長、親子連携と様々な構成にマッチした内容で導入できます。
単体の場合、FortiAnalyzerは冗長化していませんので NAS等に定期的にログを
Updateした方が望ましいです。
冗長構成の場合、NAS等のストレージを設けることなく FortiAnalyzerを冗長できます。
親子関係とは、Analyzer（親）、Collector（子）の関係を FortiAnalyzerで構築します。
FortiGateは Collecotrにログを転送します。
Collectorは定期的に Analyzerへ保存したログを転送します。
Analyzerは Collectorから転送されたログをレポート等にまとめます。
これは FortiAnalyzerの負荷分散、FortiGateが集線する回線帯域により構成をさせるものになります。
また FortiAnalyzerもハード（物理）、仮想化（VM版）と様々な環境に適応させることが出来ます。
FortiGateがHAを組んだ場合は、両方のログを出力するのですか？
その場合は、FortiAnakyzer側で FortiGateを登録する際に HA（クラスタ）として認識させた
登録が可能です。
登録後、FortiGateの（Active、Slave）両方のログを管理できるようになります。
3.価格
管理するデバイスが最小 5台で、約 50万円からスタートします。
4.管理画面
複数のデバイス、ログ内容を視覚的に見やすく確認できる GUIとなっています。
Top画面）
FortiView）
3.FortiManager
1.FortiManegerとは
FortiManegerは複数の FortiGate、FortiAPなどのデバイスを管理する製品です。
とくにポリシーや Version、シグニチャなどの UTM機能で利用するデータベースを共通管理し、運用者にかかる工数を軽減させる手助けを行います。
UTM機能におけるパターン（データーベース）管理が出来ることで、もっとも弱くなるセグメント（拠点、とくに出先、又は取引先）に対し有効なポリシー管理を提供できます。
・FortiManagerのデータシート
https://www.fortinet.co.jp/doc/FortiManager_DS.pdf
2.機能
画面を一元的に見ることができるだけですね。
だったら、FortiGateに一つ一つログインして確認すればいいと思います。
台数が少なければそれでもいいでしょう。でも、台数が増えると、管理工数が増えますよ！
FortiManagerの代表的な機能を整理すると、以下になります。
①複数のFortiGateを1つの画面で集中管理できる
②複数のFortiGateの設定を一元的に変更できる
基本全ての設定変更が可能です。
設定は
・基本設定部分 （DNS、NTP、Log管理など）
・Firewall Policy部分（アドレスオブジェクト、グループ、UTMプロファイル等）
・VPN設定部分（IPSecVPNのスター構成など）
上記を一元的に変更したり、各 FortiGateの設定情報の Backupをしたり
できます。
③設定ファイルやシグネチャの一元配信
FortiGateから UTMシグニチャの配信を受ける宛先を FortiManagerで
請け負うことができます。言い換えれば FortiManagerがシグニチャ配信や
Web、SPAM DBの Proxyをするイメージです。
例えば、
・インターネットアクセスさせない環境下だがシグニチャの配信は受けたい
・シグニチャ、パターンファイルの Versionを完全に管理したい
場合に利用します。
3.導入構成
導入構成は、1台、冗長と様々な形で導入できます。
また製品にはハード（物理）、仮想化（VM版）の両方があります。
これは導入パターンの幅を広げる柔軟性を提供していることを意味します。
※余談ですが Fortinet製品はハード、仮想化と両パターンを提供する製品が多いです。
4.価格
価格については管理デバイス数によりますが、最小 30台を管理するとして、
約 100万円からのスタートになります。
5.管理画面
管理画面は複数のデバイスを管理しやすい GUI構成となっています。
また日本語化されており、とくに FortiGateでは CLI操作で設定する内容をFortiManagerは GUIで全て設定を行うことができます。
トップ画面）
4.管理系の設定
1.FortiCloudでの認証エラーの不具合について
FortiCloudで無料アカウントを作成したのですが、すこしトラブったので記載します。
以下にログインおよびアカウント作成のページがあります。
https://login.forticloud.com/servicelist
ここでログインに成功するアカウントで、何度FortiGateでログインしてもエラーになりました。
※アカウントはダミー
日本専用のJPサーバでのアカウントと、別のようでした。
https://jplogin.forticloud.com/login
こちらでログインできるアカウントであれば、無事に成功しました。
2.時刻設定（タイムゾーン、NTP）
時刻設定の方法を解説します。
❶タイムゾーンの設定
①「ダッシュボード」「システム情報」から「システム時間」の「変更」をクリックします。
②時刻設定の画面が開きます。
ここの「タイムゾーン」で「GMT+9:00」を選びます。
❷NTPサーバとの時刻同期の設定
デフォルトで、FortiGateのNTPサーバと同期する設定になっています。
NTPサーバを手動で設定する場合は、上記画面の「マニュアル設定」で実施します。
❸FortiGate自らをNTPサーバとして動作させる
上記の「デバイスをローカルNTPサーバとして設定」をクリックする。
以上
3.管理アクセス（443接続）のポート番号の変更
デフォルトでは管理画面へのWebアクセスは443番である。これを、変更する。たとえば、SSL-VPNによる接続を、FWなどので閉じられている可能性もあるので、443で接続させたりする場合だ。
システム＞設定>管理者設定>HTTPSポートで行う。
5.諸々の管理設定
1.WebUIのタイムアウト時間を延ばす
WebUIの画面ですが、しばらくすると自動でログアウトされます。
この時間を延長するには、システム ‐＞ 設定 項目にある 管理者設定）アイドルタイムアウト の値を変更することで延長することが出来ます。
初期値は 5分になっており、5分間経過するとログアウトします。
最大 480分まで延長することが可能です。
2.バージョンアップ
FortiGateのファームウェア―をアップするには
① GUIからの方法
② CLIから TFTP、USBメモリを介する方法
があります。
①の GUIから行う方法が利用頻度が多いと思います。
GUIからアップする方法）
システム－＞ダッシュボード より、システム情報のウィジット より、
赤枠 「アップデート」 を選択します。
アップデート選択後、下記 Update Firmware を選択します。
PCに保存している Firmwareを選択し、ファームアップ処理を行います。
※ファームアップは再起動が実行されることに注意してください。
ファームアップを行う際に、2つの選択ができます。
① ダウングレードを行う場合
② Disk Formatを実行した後、新規にファームをインストーるする
必要に応じて、下記赤枠より選択、実行してください。
3.インターフェースへの管理アクセスの設定
WANインターフェースからもGUIログインはできなのですか？
デフォルトではできません。第三者が不正にログインされるのを防ぐために、LAN側だけで許可しています。
今の設定を見てみましょう。
ここにありますように、WAN側では、PingとFMG-Accessしか許可されていません。
一方のLAN側では、HTTPS通信が許可されています。
では、設定の変更方法を解説します。インターフェースを開き、有効にしたいアクセスのチェックボックスを入れるだけです。
・FortiTelemetry：FortiClient（エンドポイント制御）のやりとりの通信など
・FMG-Access：FortiManagerにて集中管理したい場合の通信
・CAPWAP：主に無線の集中管理の通信
・RADIUSアカウンティング：RADIUSアカウンティングの通信？
4.telnetの有効化
※CLIコンソールでも可能。
FGT # config system interface
※参考
セキュリティの観点からSSHが推奨される。そういうのもあって、IFの画面ではTelnetを有効にするチェックボックスが表示されない。CLIから有効にすると、GUIでも表示されるようになる。
5.システム管理者の管理
（1）読み取り専用ユーザの作成する方法
①システム＞管理者プロファイル＞新規作成
ここで、名前を付け、与えたい権限をチェックしてプロファイルを作成
②システム＞管理者＞新規作成
管理者を作成するが、タイプはローカルでいい。プロファイルを先ほど作成したものを選択する。
→このユーザでログインすると、編集権限などが与えられていない。
（2）送信元IPアドレスを限定してログインさせる
システム>管理者にて該当ユーザを選んで編集
信頼されるホストにログインを制限のところに、グローバルIPを入れる。
最大10個まで
6.REST API
(1)REST API概要
REST APIは、http（またはhttps）プロトコルでFortiGateの管理ができます。GUIだと、ログインしてクリックして遷移してという不便さがありますが、コマンドラインのように一括処理ができるので便利です。
やり方は以下を参照しました。
「システム」>「管理者」のところにREST API管理者というのも設定できるのですが、どうやら関係ないようです。
以下のサイトにまとめがあり、その通りにやればできました。素晴らしい！
https://blog.aimless.jp/archives/2017-04-01-manageing-fortigate-by-rest-api
(2)REST APIの設定手順
❶Adminユーザを作成する。user1/ pass としました。
❷認証情報を取得します。今回、FortiGateのIPアドレスは10.10.10.1です。httpsで接続します。機器はFortiOS6.02です。
Windows10からは標準でcurlコマンドが使えるので便利です。
curl https://10.10.10.1/logincheck --data "username=user1&secretkey=pass" --insecure --dump-header - -c cookie.txt
❸Config情報を取得しました。
以下はFirewallポリシーです。
curl https://10.10.10.1/api/v2/cmdb/firewall/policy -b cookie.txt --insecure
以下、抜粋ですが、json形式でSSHのポリシーが取得できたことを確認できます。マウスでポチポチクリックするより楽ですよね。
{
"q_origin_key":3,
"policyid":3,
"name":"SSH",
"uuid":"9f067464-86e4-51ec-a1e5-a1fb0b983925",
"srcintf":[
{
"q_origin_key":"internal",
"name":"internal"
}
],
"dstintf":[
{
"q_origin_key":"wan1",
"name":"wan1"
}
],
"srcaddr":[
{
"q_origin_key":"all",
"name":"all"
6.ライセンスやステータス
1.ライセンスやステータスの確認（FOS5.6の場合）
ログイン後の画面でもありますが、「ダッシュボード」の「Main」からライセンスの状態を確認できます。
※緑のチェックはライセンスが有効。破線は、ライセンスが無効を意味します。
ステータスの詳細を見るには、「システム」「FortiGuard」から確認をします。
以下がその画面です。
ここで、ライセンスの状態に加えて、ライセンスの有効期限、各バージョン情報を確認できます。
CLIの場合以下でもバージョン情報を確認できる。
FGT # diagnose autoupdate versions
バージョンの更新日は分かりますか？
上記において、バージョンにマウスを近づけると、更新日がわかります。
2.ライセンス情報の確認（FOS5.4の場合）
「ダッシュボード」「ライセンス情報」から確認できます。
各項目で緑のチェックマークだと、契約期間内を意味し、
赤のマークだと、契約をしていない・契約が切れている事を意味します。
3.ライセンスの登録
FortiGateで確認できるライセンス情報は大きく分けて、
・サポート契約（ハード・ソフト）
・FortiGuard（UTMライセンス）
の2種類があります。
① サポート契約（ハード・ソフト）で FortiGateのサポート契約の状況を確認できます。
※OSの VersionUP権利であったり故障したハード交換の権利です。
② FortiGuard（UTMライセンス）の UTM機能が利用できる状態かを確認できます。
またライセンスの登録作業はご購入される時点で、必要な登録を済ませた状態になります。
7.出力メッセージの編集
ここではユーザーにブロック、検知、認証等のメッセージないしブラウザ上に
表示されるメッセージの編集方法について説明します。
メッセージは 設定 ＞ 警告メッセ―ジ で編集できます。
編集画面で 「イメージのアップロード」、簡易、拡張表示を選択することで詳細なメッセージの内容を
確認することができます。
※完成図書が必要な際はこの画面キャプチャで作業を終えることができるかもしれません。
拡張表示への変更は以下で行います。
メッセージの編集例）
HTTPプロトコルでウィルスを検知した際に出力されるメッセージに日本語を追加した例です。
黄色のマーカーラインが追記した文字列です。
メッセージフォーマットを編集すると、表示画面もリアルに変換されます。
このメッセージ内容を編集することで多言語のメッセージを出力させることも可能です。
8.IPSやAVの更新状況
1.IPSやAVの更新状況
先に解説した通りで、ステータスの詳細を見るには、「システム」「FortiGuard」から確認をします。
ライセンスの状態に加え、ライセンスの有効期限、各バージョン情報を確認できます。
2.インターフェース（IF）の状態
「ネットワーク」「インターフェース」を選択します。すると、以下のように、FortiGateのイメージが表示されます。
同時にポートも表示されます。
ココで、グリーンは UPしている状態を示します。
FortiGateのイメージから各ポートにマウスをドラッグすると、Up状態、Speed状態を示す windowsが出力します。
Configの保存とリストア
1.Configの保存とリストア（FOS 5.6)
❶Configの保存
画面右上の「admin」のプルダウンから「設定」「バックアップ」を選択します。
・スコープは、全体のConfigを保存するのか、現在のVDOMのConfigを保存するかを選択します。
・バックアップ先をどこにするかを選択します。
・暗号化はConfigファイルの中身を暗号化するか。
OKでConfigファイルを保存します。
❷Configのリストア
画面右上の「admin」のプルダウンから「設定」「リストア」を選択します。
・Fileの「アップロード」でConfigファイルを選択し、OKを押します。
2.Configの保存とリストア(FOS5.4）
❶バックアップ
・ダッシュボード > システム情報 を開き、「システム設定」の「バックアップ」 
・「システム設定をバックアップ」の画面が開きます。
・「暗号化」をクリックすると「パスワード」入力が求められます。ファイルの暗号化もされます。
・「OK」を押すと、保存されます。
❷リストア
・上記と同じ画面の「リストア」ボタンからリストアができます。
・「システム設定リストア」の画面が開きます。
・Fileの「アップロード」を押してファイルを選択し、「OK」を押します。
・「確認」画面が出ますので、OKを押すとリストアが始まり、システムが再起動されます。