Guide_revision_FortiAnalyzer_7.6.docx

FortiAnalyzer 7.6 : Concepts clés et bonnes pratiques

Ce cours détaillé vous guide à travers les notions essentielles du FortiAnalyzer version 7.6, un composant central de la plateforme de sécurité Fortinet. Vous découvrirez les différents modes d’exploitation, le fonctionnement du Fabric, la nouvelle base de données ClickHouse, ainsi que la classification des logs (en ligne, d’archive, locaux). Chaque section est optimisée pour le référencement (SEO) afin de faciliter la recherche d’informations précises sur les solutions FortiAnalyzer.

1. Modes d’exploitation de FortiAnalyzer

FortiAnalyzer propose deux modes distincts : Analyzer et Collector. Comprendre leurs spécificités permet d’optimiser la performance et la scalabilité de votre infrastructure de logs.

• Mode Analyzer (par défaut) : le dispositif analyse, indexe les logs et génère des rapports. Il conserve les données dans la base interne et offre les vues FortiView et Log Browse.
• Mode Collector : le dispositif se limite à la collecte et au forwarding des logs vers un serveur syslog ou CEF. Aucun rapport n’est produit, et aucune analyse n’est effectuée localement.

Il est possible de combiner plusieurs collecteurs avec un analyseur central afin de répartir la charge de traitement. Cette architecture hybride améliore la scalabilité et la résilience du système.

2. Déploiement FortiAnalyzer Fabric

Le Fabric de FortiAnalyzer introduit une hiérarchie maître‑esclave : un superviseur (supervisor) et plusieurs membres (members). Cette architecture vise à centraliser la visibilité tout en conservant la capacité d’analyse locale des membres.

2.1 Modules accessibles depuis le superviseur

• Logs : les journaux collectés par les membres sont consultables depuis le superviseur.
• Events : les événements générés par les membres sont agrégés et affichés au niveau du superviseur.
• Reports : les rapports produits par les membres sont disponibles pour une visualisation centralisée.

Les playbooks et indicators ne sont pas exécutables sur le superviseur ; ils restent spécifiques aux membres.

2.2 Règles de fonctionnement du Fabric

• Les membres fonctionnent exclusivement en mode Analyzer. Ils conservent leurs logs et les rendent accessibles au superviseur sans les transférer.
• Le superviseur ne supporte pas la haute disponibilité (HA) ; il agit uniquement comme point d’accès centralisé.
• Les membres et le superviseur n’ont pas besoin de partager le même fuseau horaire, ce qui simplifie les déploiements multi‑régionaux.

3. Base de données ClickHouse

Depuis la version 7.6.0, FortiAnalyzer utilise ClickHouse comme moteur de stockage principal pour les logs. Cette base de données column‑oriented offre des performances de requête élevées, idéales pour l’analyse en temps réel de gros volumes de données.

Avant la version 7.6, PostgreSQL était la base par défaut. La migration vers ClickHouse apporte plusieurs avantages :

• Compression efficace : les données sont stockées de manière compacte, réduisant l’utilisation du disque.
• Scalabilité horizontale : il est possible d’ajouter des nœuds pour augmenter la capacité de traitement.
• Temps de réponse ultra‑rapide : les requêtes analytiques sont exécutées en millisecondes, même sur des téraoctets de logs.

4. Classification des logs dans FortiAnalyzer

FortiAnalyzer distingue trois catégories principales de logs : online logs, archive logs et local logs. Chacune possède un rôle spécifique dans le cycle de vie de la donnée.

4.1 Online logs (logs en ligne)

Ces logs sont indexés et stockés dans la base ClickHouse. Ils sont immédiatement disponibles pour la création de rapports, l’affichage dans FortiView et les analyses ad‑hoc. Leur nature « en ligne » signifie qu’ils sont actifs et consultables via l’interface web.

4.2 Archive logs (logs d’archive)

Lorsque la taille d’un fichier de log atteint le seuil configuré, le fichier est compressé au format .gz et devient un log d’archive. Ces fichiers sont stockés hors ligne, conservés pour la conformité ou l’audit, mais ne sont pas indexés dans ClickHouse. Ils restent accessibles via Log Browse pour une lecture ponctuelle.

4.3 Local logs (logs locaux)

Les logs générés directement par le FortiAnalyzer (par exemple, les logs d’événement du dispositif) sont appelés logs locaux. Ils sont organisés par ADOM (Administrative Domain) :

• Les event logs sont stockés dans l’ADOM root.
• Les logs d’application (playbooks, incidents) sont spécifiques à chaque ADOM.

Ces logs peuvent être visualisés dans FortiView, offrant une visibilité complète sur l’activité du dispositif.

5. Types de logs collectés depuis FortiGate

FortiAnalyzer normalise trois types majeurs de logs provenant des appareils FortiGate :

• Security logs : informations sur les services UTM (IPS, antivirus, filtrage web, etc.).
• Event logs : événements système, VPN, authentifications, changements de configuration.
• Traffic logs : flux réseau, sessions, bande passante et statistiques de trafic.

Ces catégories permettent une analyse exhaustive de la posture de sécurité, du comportement du réseau et des incidents potentiels.

6. Bonnes pratiques d’administration

Pour tirer le meilleur parti de FortiAnalyzer 7.6, suivez ces recommandations :

• Définir le bon mode : utilisez le mode Analyzer pour les sites nécessitant des rapports détaillés, et le mode Collector pour les points de collecte distants où la bande passante est limitée.
• Planifier la rétention des logs : configurez les seuils de rotation afin que les logs d’archive soient créés automatiquement, garantissant la conformité réglementaire.
• Exploiter le Fabric : déployez un superviseur centralisé pour une visibilité globale, tout en conservant les capacités d’analyse locale sur chaque membre.
• Surveiller les performances ClickHouse : utilisez les métriques intégrées pour détecter les goulets d’étranglement et ajuster les ressources CPU/IO.
• Gestion des ADOMs : attribuez les logs d’application aux ADOMs appropriés afin de respecter les politiques de séparation des responsabilités.

7. Résumé des points clés

En synthèse, voici les notions essentielles à retenir pour le FortiAnalyzer 7.6 :

• Le mode Analyzer est le mode par défaut ; le mode Collector ne transfère que les logs vers un serveur syslog/CEF.
• Dans un Fabric, le superviseur ne supporte pas la HA, mais il agrège les logs, événements et rapports des membres.
• Depuis la version 7.6, les logs sont stockés dans la base ClickHouse, offrant rapidité et compression avancée.
• Les online logs sont indexés pour les rapports, les archive logs sont compressés en .gz, et les local logs sont organisés par ADOM.
• FortiGate envoie trois types de logs : Security, Event et Traffic, qui sont normalisés par FortiAnalyzer.

Maîtriser ces concepts vous permettra d’optimiser la collecte, le stockage et l’analyse des logs, tout en assurant la conformité et la résilience de votre infrastructure de sécurité.