Konfigurując Sycope jako NetFlow collector dla FortiGate, organizacje mogą wykorzystywać dane już generowane przez infrastrukturę firewall jako źródło ciągłej analizy sieciowej.
Integracja nie wymaga dedykowanego proprietary connector. FortiGate eksportuje flow records do skonfigurowanego collectora Sycope, gdzie stają się one dostępne w dashboardach, wyszukiwaniu, raportowaniu, alertingu i analizie historycznej.
Table of Contents
Od sesji FortiGate do analizy sieciowej
FortiGate obsługuje eksport NetFlow dla ruchu obserwowanego na skonfigurowanych interfejsach. Konfiguracja NetFlow definiuje adres IP i port collectora, natomiast NetFlow sampling jest włączany na interfejsach, których ruch powinien zostać uwzględniony. Fortinet utrzymuje również pełne informacje NetFlow oparte na sesjach firewalla.
Sycope odbiera te rekordy poprzez swój NetFlow collector i przetwarza je jako część tego samego modelu danych sieciowych, który jest wykorzystywany dla innych flow exporters.
Każdy flow zawiera informacje opisujące komunikację sieciową, takie jak adresy źródłowe i docelowe, porty, liczby pakietów i bajtów, timestamps oraz informacje o interfejsach. Sycope wykorzystuje te dane do odtwarzania wzorców komunikacji i zapewniania historycznej widoczności aktywności w monitorowanej sieci.
Pozwala to analizować ruch przechodzący przez FortiGate w szerszym kontekście historycznym i behawioralnym, wykraczającym poza pojedynczą sesję firewalla.
Uzupełniające się możliwości, z jasno określonym podziałem ról
FortiGate i Sycope pozostają niezależnymi platformami i pełnią różne role w architekturze sieciowej.
FortiGate zapewnia:
- Firewalling i egzekwowanie polityk ruchu
- Informacje o sesjach sieciowych
- Widoczność ruchu na poziomie interfejsów
- Eksport NetFlow
- Security inspection i egzekwowanie polityk
- Routing i łączność sieciową
Sycope zapewnia:
- Zbieranie i analizę NetFlow
- Widoczność komunikacji host-to-host
- Historyczne dane o ruchu sieciowym
- Analizę wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Wyszukiwanie i filtrowanie ruchu
- Dashboardy, raportowanie i alerting
- Kontekst assetów i aplikacji
FortiGate kontroluje i obserwuje ruch podczas jego przechodzenia przez firewall, natomiast Sycope wykorzystuje wyeksportowane informacje flow do analizy komunikacji w czasie i w szerszym monitorowanym środowisku.
Wykorzystanie istniejącej infrastruktury FortiGate do network visibility
Organizacje korzystające już z firewalli FortiGate mogą wykorzystywać istniejące urządzenia jako flow exporters bez konieczności wprowadzania dodatkowego źródła ruchu wyłącznie na potrzeby monitoringu sieciowego.
Komunikacja pomiędzy systemami
Flow records eksportowane przez FortiGate pokazują, które systemy komunikują się przez firewall, kiedy dochodzi do komunikacji i jaka ilość ruchu jest wymieniana.
Sycope przechowuje i analizuje te informacje w czasie, pozwalając zespołom przeglądać komunikację dotyczącą konkretnego adresu IP, usługi lub części sieci.
Zapewnia to przydatny kontekst podczas analizy problemów z łącznością, nieoczekiwanej komunikacji lub zmian w zachowaniu ruchu.
Wolumeny ruchu i wykorzystanie sieci
Rekordy NetFlow zawierają liczniki pakietów i bajtów, które pozwalają Sycope analizować sposób wykorzystania przepustowości sieci.
Ruch może być analizowany według hosta, usługi, interfejsu, aplikacji lub innych atrybutów dostępnych w flow data. Widoki historyczne umożliwiają porównywanie bieżącej aktywności z wcześniejszymi okresami i identyfikowanie zmian w wykorzystaniu sieci.
Te same dane mogą wspierać capacity analysis, troubleshooting oraz identyfikowanie systemów lub usług odpowiedzialnych za nieoczekiwane wolumeny ruchu.
Zachowanie sieci i analiza bezpieczeństwa
Flow data mogą również dostarczać dowodów aktywności, którą trudno ocenić na podstawie pojedynczego połączenia lub wpisu w logu.
Sycope analizuje wzorce komunikacji w całej sieci i może wykorzystywać informacje flow do identyfikowania anomalii i zachowań związanych z bezpieczeństwem.
FortiGate pozostaje odpowiedzialny za egzekwowanie polityk firewalla i bezpieczeństwa, natomiast Sycope zapewnia dodatkową warstwę analityczną opartą na komunikacji obserwowanej w czasie.
Daje to zespołom bezpieczeństwa i sieciowym historyczny widok aktywności obejmującej systemy chronione przez infrastrukturę FortiGate.
Historyczny kontekst ruchu
Informacje z firewalla są często analizowane w odpowiedzi na bieżące zdarzenie. Retencja flow data w Sycope umożliwia powrót do wcześniejszego okresu i przeanalizowanie komunikacji, która miała miejsce w czasie incydentu lub problemu wydajnościowego.
Analityk może sprawdzić, które systemy komunikowały się z hostem objętym zdarzeniem, jakie usługi były wykorzystywane, kiedy rozpoczynały się połączenia oraz jak zmieniały się wolumeny ruchu.
Ten historyczny kontekst może wspierać zarówno troubleshooting operacyjny, jak i analizy bezpieczeństwa.
Widoczność wielu interfejsów FortiGate
Eksport NetFlow jest konfigurowany na interfejsach FortiGate, których ruch powinien być monitorowany.
Fortinet umożliwia włączanie NetFlow sampling dla poszczególnych interfejsów oraz obsługuje zbieranie ruchu w obu kierunkach. Konfiguracja collectora określa, dokąd wysyłane są wynikowe flow records.
Pozwala to wybierać te części środowiska FortiGate, które powinny dostarczać dane sieciowe do Sycope, zamiast traktować firewall jako jedno nierozróżnione źródło ruchu.
W większych środowiskach ruch z wielu urządzeń FortiGate może być przesyłany do collectora Sycope i analizowany na tej samej platformie. Sycope identyfikuje flow exporters i dostarcza statystyki dotyczące danych odbieranych z poszczególnych źródeł.
Efektem jest wspólny widok analityczny obejmujący ruch eksportowany przez różne urządzenia sieciowe.
Flow data bez duplikowania funkcjonalności firewalla
Integracja nie próbuje odtwarzać polityk firewalla ani mechanizmów bezpieczeństwa FortiGate w Sycope.
FortiGate nadal obsługuje ruch zgodnie ze skonfigurowanymi politykami firewall, routing i security policies. Sycope wykorzystuje wynikowe informacje flow do monitoringu i analizy sieci.
Taki podział pozwala każdej platformie pozostać skoncentrowanej na swojej podstawowej roli.
Zespoły firewall mogą nadal zarządzać FortiGate w istniejącym środowisku Fortinet, natomiast zespoły NOC i SOC zyskują dodatkowy historyczny i analityczny widok komunikacji sieciowej obserwowanej przez te urządzenia.
Jak działa integracja
Integracja składa się z trzech głównych elementów.
1. Eksport NetFlow na FortiGate
NetFlow jest konfigurowany na FortiGate z adresem IP i portem collectora Sycope.
Aktualne konfiguracje FortiGate umożliwiają zdefiniowanie jednego lub większej liczby collectorów wraz z takimi parametrami jak source IP i interfejs wykorzystywany do dotarcia do collectora.
Następnie NetFlow sampling jest włączany na interfejsach, których ruch powinien być eksportowany.
FortiGate umożliwia również konfigurację active i inactive flow timeouts. Sycope rekomenduje active timeout wynoszący 60 sekund oraz inactive timeout wynoszący 15 sekund dla NetFlow exporters.
2. Zbieranie NetFlow w Sycope
Sycope jest konfigurowane do nasłuchiwania przychodzących rekordów NetFlow.
Domyślny port NetFlow w Sycope to 2055, choć w zależności od wymagań środowiska można skonfigurować dodatkowe lub inne porty.
Sycope obsługuje kilka protokołów flow, w tym NetFlow v5, NetFlow v9 i IPFIX, co pozwala analizować informacje flow z FortiGate razem z danymi z innych kompatybilnych urządzeń sieciowych.
3. Analiza, wizualizacja i alerting
Po odebraniu i zdekodowaniu flow data stają się one dostępne dla funkcji analitycznych w Sycope.
Zespoły mogą wykorzystywać te dane w dashboardach, wyszukiwaniach NQL, raportach i regułach monitoringu. Historyczne informacje flow mogą być również wykorzystywane podczas troubleshooting i analiz bezpieczeństwa.
FortiGate działa więc jako jedno ze źródeł danych sieciowych, natomiast Sycope zapewnia środowisko, w którym komunikacja pochodząca z wielu exporterów może być analizowana w czasie.
FortiGate w środowiskach multi-VDOM
FortiGate obsługuje również NetFlow w środowiskach multi-VDOM, choć konfiguracja zależy od roli danego VDOM.
Fortinet dokumentuje odrębną obsługę dla management i non-management VDOMs, przy czym globalna konfiguracja jest wykorzystywana tam, gdzie management VDOM dziedziczy ustawienia NetFlow z global context.
W większych środowiskach Fortinet dokładna konfiguracja exportera powinna więc zostać dopasowana do topologii FortiGate i architektury VDOM przed rozpoczęciem przesyłania flow data do Sycope.
Po stronie Sycope integracja pozostaje bez zmian: wyeksportowane rekordy NetFlow są odbierane przez collector i przetwarzane jako dane sieciowe powiązane z odpowiednim exporterem.
Od ruchu przez firewall do historycznego kontekstu sieciowego
Rozważmy wewnętrzny serwer, którego ruch przechodzi przez firewall FortiGate.
FortiGate przetwarza połączenia zgodnie z istniejącymi politykami firewalla i eksportuje informacje o sesjach do Sycope poprzez NetFlow.
Sycope zapisuje komunikację i udostępnia ją do bieżącego monitoringu oraz analizy historycznej.
Jeśli serwer później zacznie mieć problemy z wydajnością lub stanie się przedmiotem analizy bezpieczeństwa, zespół może przejrzeć jego wcześniejszą aktywność sieciową w Sycope. Dla odpowiedniego okresu można przeanalizować partnerów komunikacji, usługi, wolumeny ruchu i zmiany w zachowaniu.
Firewall nadal egzekwuje politykę sieciową, natomiast wyeksportowane flow data dostarczają historycznych danych potrzebnych do zrozumienia sposobu komunikacji systemu.
Integracja FortiGate i Sycope
Eksport NetFlow z FortiGate zapewnia bezpośredni sposób wykorzystania istniejącej infrastruktury firewall jako źródła danych sieciowych dla Sycope.
Ruch przetwarzany przez FortiGate może być analizowany razem z flow data pochodzącymi z innych urządzeń sieciowych, zapewniając szerszy obraz komunikacji, wydajności i zachowań związanych z bezpieczeństwem bez zmiany roli firewalla w środowisku.
Aby omówić wykorzystanie flow data z FortiGate w Sycope, skontaktuj się z naszym zespołem.
