Davanti a una schermata devi saper dire quale pannello risolve quale problema. FortiAnalyzer è insieme un raccoglitore di log, un motore di analisi e una piccola piattaforma di automazione, e le tre anime non sono sempre attive insieme: questa mappa serve a non cercare un incidente nel posto sbagliato.

Il ciclo di vita di un log decide tutto il resto

Un log attraversa tre fasi. Appena arriva è un real-time log: non è ancora nel database SQL e vive in un file non compresso dentro Archive. Quando quel file viene chiuso e compresso diventa un Archive log, cioè offline. Subito dopo l’archiviazione lo stesso log viene inserito e indicizzato nel database SQL: da quel momento è un Analytics log, o storico, ed è online.

La distinzione non è accademica, perché quasi tutto il SOC vive sui soli Analytics. FortiView, Incidents & Events e Reports leggono da lì, e così Log View con l’eccezione di Log Browse, che apre direttamente i file compressi. Vale anche per gli event handler, che generano eventi solo dagli Analytics e mai dagli Archive. Se la data policy tiene 14 giorni di Analytics e 12 mesi di Archive, nessun handler produrrà mai un evento per un fatto di due mesi fa: i dati esistono, ma non dove servono. Per analizzare una finestra fuori retention si esegue un rebuild del database caricando quel periodo dall’Archive: il rebuild purga gli Analytics correnti, quindi ne servirà un secondo per tornare all’attualità. La documentazione indica 30-60 giorni come ordine di grandezza, ma il criterio vero è quanto indietro ti capita di indagare.

Il database SQL della 7.6 è ClickHouse, e la documentazione lo dice in modo esplicito. Questo spiega la meccanica delle tabelle di log che «maturano» e vengono ruotate, di norma intorno ai cinque milioni di righe, con master table e child table riconoscibili da ALLELSE nel nome.

Prima di tutto questo il log deve però arrivare. Dalla 6.2 i log Fortinet su OFTP sono cifrati, e il livello di cifratura del FortiAnalyzer deve essere uguale o inferiore a quello del dispositivo che invia: è una causa classica di «da quel FortiGate non ricevo niente».

config system global
    set enc-algorithm high
end

Analyzer o Collector: metà delle funzioni SOC sparisce

In Analyzer mode, che è il default, hai tutto. In Collector mode il compito è ricevere, archiviare e inoltrare: i log restano nel formato binario originale invece di finire nel database, e il database SQL è disabilitato per default. Quindi FortiView, Incidents & Events, il reporting e il monitoraggio dei dispositivi non ci sono, e Log View mostra soltanto i log raw di archivio. Restano Device Manager, System Settings e il log forwarding.

Nella collaborazione Analyzer-Collector il Collector assorbe il carico di ricezione e l’Analyzer si concentra su analisi e report: è l’Analyzer a valutare gli event handler. Tienilo presente quando ti chiedono perché sul nodo che «riceve tutto» non compaia mai un evento.

Le superfici SOC da conoscere a memoria

Sotto Incidents & Events trovi quattro cose diverse. Event Monitor raccoglie gli eventi generati dagli handler e li organizza in viste per endpoint, per minaccia e di sistema: le viste funzionano grazie ai tag applicati dagli handler, quindi una vista vuota di solito significa handler predefinito disabilitato, non assenza di minacce. Incidents contiene i casi tracciati, con le matrici MITRE ATT&CK e ATT&CK ICS: la scheda Attack mostra quello che è successo, la scheda Coverage quali handler coprono quali tecniche. Automation ospita playbook e connettori, e Outbreak Alerts gli avvisi Fortinet.

Fuori da quel menu ci sono altre due superfici. La SOC Dashboard è il cruscotto di sintesi: il widget Statistics porta incidenti ad alta severità, outbreak alert, host compromessi, utenti coinvolti e connettori attivi, e ogni carta è un link filtrato verso il pannello corrispondente. Threat Hunting vive invece sotto Log View, lavora sul database SIEM con dati in cache per il drill-down sui campi di interesse ed è disponibile solo negli ADOM di tipo Fabric.

Attenzione alle licenze: Outbreak Detection Service e Security Automation Service sono a pagamento, e il secondo porta ogni mese i content pack FortiGuard con report premium, event handler, regole di correlazione e parser di terze parti. Senza licenza quelle voci non spariscono dal menu, semplicemente non producono nulla.

Il Security Fabric non è decorazione

Nel Fabric il log di traffico lo genera il FortiGate di ingresso, mentre l’ispezione UTM può avvenire su un altro membro. FortiAnalyzer costruisce i riferimenti UTM fra i membri del CSF e ricostruisce i campi mancanti nel log di traffico come se l’ispezione fosse avvenuta su un solo dispositivo, NAT compreso. Non serve configurare nulla, ed è il motivo per cui in Log View il contatore accanto a un evento UTM ti porta al log di un altro firewall.

I connettori si dividono in due famiglie: Security Fabric connectors verso FortiClient EMS, FortiMail, FortiCASB, FortiAuthenticator, FortiWeb e FortiSandbox, e ITSM connectors verso ServiceNow, Slack, MS Teams e webhook generico. Il pallino verde, arancione o rosso sulla card indica lo stato dell’API, ed è la prima cosa da guardare quando un playbook «non fa niente». I playbook sono nativi di FortiAnalyzer, e le azioni FortiOS si configurano come automation rule sul FortiGate: FortiAnalyzer le richiama, non le definisce.