FortiView è il posto in cui un analista guarda per primo, e quello di cui si fida troppo. Aggrega i log in riepiloghi navigabili e ti lascia scendere fino alla riga singola. Quello che l’esame verifica non è saper cliccare: è sapere quali log stai guardando e quali no.

Cosa alimenta davvero i riepiloghi

FortiView mostra soltanto Analytics log, cioè i log indicizzati nel database SQL. I dati degli Archive log non vengono visualizzati in FortiView, punto. Il database che FortiAnalyzer usa per quell’indicizzazione è ClickHouse, ed è lo stesso che serve Log View e i report: un problema di inserimento si vede contemporaneamente nelle tre schermate, e questo ti fa risparmiare mezz’ora di diagnosi sbagliata.

Ne discendono quattro controlli, in quest’ordine. Primo: se l’unità è in modalità Collector, il database SQL è disabilitato per impostazione predefinita, quindi FortiView resta muto finché non lo abiliti. In un deployment Collector-Analyzer è la prima cosa da guardare, prima ancora del logging del FortiGate. Secondo: FortiView è supportato per FortiGate, FortiCarrier e FortiClient EMS. Terzo: con gli ADOM abilitati FortiView mostra i dati dell’ADOM corrente, e una dashboard vuota è quasi sempre l’ADOM sbagliato. Quarto: alcune dashboard richiedono che un certo tipo di log sia abilitato; se nell’ADOM non ce n’è nemmeno uno, la dashboard appare in grigio con un’icona informativa che dice quali log servono.

Le dashboard e come si comportano

Le viste sono raggruppate per categoria: Threats (Top Threats, Threat Map, Indicator of Compromise, FortiSandbox Detection), Traffic (Top Sources, Top Destinations, Top Country/Region, Policy Hits, DNS Logs, ZTNA Servers), Shadow IT, Applications and Websites, VPN e System (Admin Logins, System Events, Resource Usage, Failed Authentication Attempts).

Un dettaglio operativo che pochi conoscono: molte dashboard mostrano un grafico storico in forma tabellare, e il grafico segue la colonna su cui ordini. Ordina per Bytes Sent/Received e la storia diventa quella dei byte; ordina per Sessions Blocked/Allowed e diventa quella delle sessioni. Quando poi apri il drill-down su una riga, il grafico si restringe a quella riga.

Due viste hanno prerequisiti che tutti dimenticano. Indicator of Compromise pretende che i log UTM dei FortiGate collegati siano abilitati e che la FortiAnalyzer sia iscritta a FortiGuard per tenere aggiornato il database delle minacce. Threat Map disegna una linea solo quando il threat score è maggiore di zero e almeno uno fra IP sorgente e destinazione è pubblico: il traffico interno-interno non compare mai lì, e non è un guasto.

Filtrare e salvare quello che hai trovato

Nella toolbar hai due modalità: Filter Mode, dove scegli un campo dalla tendina Add Filter, digiti un valore, usi NOT per negarlo e concateni più filtri con and oppure or; e Text Search, che si raggiunge con l’icona Switch to Text Search e accetta nomi di campo e valori scritti a mano. Il click destro su una riga aggiunge un filtro contestuale, e il criterio dipende dalla colonna sotto il mouse.

La trappola classica: per filtrare su Source Object e Destination Object serve il logging UUID abilitato lato FortiOS. Senza, quei filtri non restituiscono nulla anche se il traffico c’è.

Sulle viste personalizzate esistono due percorsi con conseguenze diverse. Da FortiView > Custom Views > Create New (Blank oppure From Template) ottieni una vista in cui aggiungi, ridimensioni, sposti e rimuovi widget, e che potrai riaprire con Edit. Da una dashboard, il pulsante Create Custom View congela device, periodo e filtri e ti fa scegliere fra Public e Private, ma su quella vista non potrai aggiungere né rimuovere widget: Edit funziona solo sulle viste create con il primo percorso. Se pensi di farla evolvere, parti da lì.

I widget personalizzati si costruiscono dentro una custom view con Add Widget e poi Custom Widgets. Le sorgenti dati disponibili sono soc-sources, soc-destinations, soc-threats e soc-sdwan-stats; scegli il tipo di grafico, gli assi per bar e line oppure categoria e valore per pie e donut, e uno Show Top fra 10, 20, 50 e 100.

I limiti da tenere sempre a mente

Se la data policy ha già purgato gli Analytics log del periodo che ti interessa, FortiView non li recupera: restano compressi in Archive e servirebbe un rebuild del database per rileggerli.

FortiView, come i report, legge risultati precalcolati nelle tabelle hcache. Il numero di righe di quelle tabelle è limitato e la tabella viene tagliata quando eccede il massimo: un valore poco frequente può semplicemente non comparire in un top N. Quando un numero è vicino ma non uguale a quello di Log View, sospetta il trimming prima di sospettare i log.

Sui tempi: dtime è il momento in cui il FortiGate ha creato il log (epoch più offset di fuso), itime il momento in cui il log è arrivato alla FortiAnalyzer, in UTC e indipendente dal fuso. Con dispositivi sparsi su fusi diversi, itime è la base affidabile.

Una nota che gioca a favore: in un Security Fabric la correlazione fra traffic log e log UTM prodotti da membri diversi avviene da sola, senza configurazione, quindi Top Threats mostra le minacce rilevate da qualsiasi membro. E se la piattaforma è satura, sappi che l’intero modulo FortiView può essere disabilitato per recuperare prestazioni.