Generare un report e consegnarlo sono due configurazioni distinte, ed è il motivo per cui capita di trovare decine di PDF perfetti sul FortiAnalyzer che nessuno ha mai ricevuto. La schedulazione decide quando il report parte; l’output profile decide in che formato esce e dove va.

Enable Schedule: quando parte e fino a quando

La schedulazione si configura dentro la definizione del report, nella scheda Settings: selezioni Enable Schedule e imposti la frequenza di generazione indicando un numero e l’unità di tempo, più un orario di inizio e uno di fine, che puoi lasciare senza scadenza. Le schedulazioni attive si vedono nel Report Calendar, e il Color Code delle Advanced Settings serve esattamente a quello: distinguere a colpo d’occhio i report nel calendario quando ne hai molti.

Nell’elenco dei report il pulsante Show Scheduled Only filtra la lista ai soli report già eseguiti o schedulati: è la prima cosa da guardare quando devi capire cosa sta girando davvero su un apparato che non hai configurato tu. Per silenziare temporaneamente un report senza perderne la definizione usa Disable Schedule dal menu contestuale, invece di cancellarlo: la schedulazione si riattiva poi rientrando in modifica.

Un’ultima nota che lega periodo e schedulazione: le finestre Previous si fermano al giorno precedente e non includono il giorno corrente proprio per garantire che ogni esecuzione schedulata copra sempre lo stesso arco di tempo. Se su un report schedulato metti un periodo Custom con date fisse, otterrai lo stesso identico documento a ogni giro.

Notifica e schedulazione sono indipendenti

Enable Schedule e Enable Notification sono due caselle separate e si combinano in tutti i modi. Puoi avere un report schedulato che resta solo sul FortiAnalyzer, da scaricare a mano quando serve, e puoi avere un report non schedulato che, lanciato con Run Report, invia comunque il documento perché la notifica è attiva con un output profile selezionato. Quando il cliente dice “non mi arriva il report mensile”, controlla nell’ordine: la casella della notifica, l’output profile selezionato, e solo dopo il mail server.

Costruire un output profile

L’output profile si crea in Reports > Advanced Settings > Output Profile con Create New, e il prerequisito è che il mail server sia già configurato: senza, la sezione dei destinatari non ha nulla da selezionare. Come per il resto, se usi gli ADOM devi essere nell’ADOM giusto, altrimenti il profilo non comparirà nella tendina del report.

I campi sono pochi. Name e Comments; Output Format, dove scegli uno o più formati fra HTML, PDF, XML, CSV e JSON; poi le due destinazioni, che puoi attivare entrambe. Con Email Generated Reports imposti oggetto, corpo del messaggio, server di posta e indirizzi mittente e destinatario, aggiungendo una riga per ogni destinatario. Con Upload Report to Server carichi il file su un server FTP, SFTP o SCP indicando indirizzo, utente, password e directory, e puoi spuntare la cancellazione del file dopo l’upload.

Due scelte pratiche. Il formato lo decide il destinatario: PDF per chi legge, CSV o JSON quando dall’altra parte c’è uno script o un sistema che deve reingerire i dati. E fra i tre protocolli di upload scegli SFTP o SCP: FTP fa viaggiare le credenziali in chiaro verso un server che spesso sta fuori dal perimetro. Quanto alla cancellazione dopo l’upload, ricorda che elimina il report generato: attivala solo se la copia sul server remoto è quella buona, perché altrimenti perdi la possibilità di riaprire quel documento dalla GUI.

Dove restano i file e per quanto

I file dei report non consumano la quota dei device: FortiAnalyzer riserva per uso di sistema una porzione del disco, fra il 5% e il 20% a seconda della dimensione complessiva, e i report vengono archiviati proprio lì. Per la stessa ragione le politiche di log storage, che agiscono su log e database dei dispositivi, non toccano i report.

Quello che li tocca sono due limiti diversi. Il primo è per definizione di report: Allow Save Maximum, nelle Advanced Settings, fissa quante copie generate conservare, da 1 a 10000. Il secondo è globale: la cancellazione automatica dei file, configurata nelle impostazioni di File Management, elimina i più vecchi fra log Archive, file in quarantena, report e file archiviati indipendentemente dalle impostazioni di log storage. Se un report atteso non c’è più, guarda entrambi prima di pensare a un guasto.

Organizzare, spostare, riutilizzare

Con qualche decina di definizioni serve ordine. Dal menu contestuale dell’elenco puoi assegnare un report a una cartella, spostarlo o rimuoverlo dalla cartella; le cartelle si annidano e un report può stare in più cartelle contemporaneamente. Una cartella che contiene report non si cancella: prima svuotala.

Le voci Import ed Export servono a portare una definizione da un apparato a un altro o da un ADOM a un altro, ed è il modo pulito per replicare un report costruito bene senza rifarlo a mano. Clone è utile per la variante: stessa struttura, device o filtri diversi.

Infine il collegamento con il lavoro del SOC: un report generato può essere allegato a un incidente. È il modo per congelare nel ticket la fotografia del periodo su cui hai lavorato, invece di lasciarla dipendere da un database che fra trenta giorni avrà cancellato quei log analitici.