Documento Descriptivo FortiSIEM - v2
Documento Descriptivo FortiSIEM - v2
ÍNDICE
INTRODUCCIÓN 3
POSIBILIDADES DE DESPLIEGUE 4
Despliegue sencillo – All in-one Supervisor 7
Despliegue tipo Enterprise – Clúster de Super y Worker con colectores en
sedes remotas 7
Despliegue tipo Disaster Recovery 8
Funcionalidades Principales 9
Virtual Appliance 12
Cumplimiento Normativo 12
CMDB y Gestión de Cambios 12
Búsquedas en Tiempo Real 13
Herramienta de ticketing (Casos) 13
Respuesta ante Incidentes: Remediaciones 13
Integración con fuentes de inteligencia 14
FortiSIEM User Entity and Behavior Analytics (UEBA) 14
Copia de Seguridad y Restauración para HW 15
MITRE ATT&CK Framework 15
Compatibilidad con consultas previas al cálculo (Pre-compute) 16
Almacenamiento 16
Otras funcionalidades 16
Licenciamiento 17
Así pues, la solución FortiSIEM se puede desplegar tanto en modo Enterprise como
Multi-Tenant y está diseñada desde cero para lidiar con las complejidades de
monitorización del negocio de los proveedores de servicios de seguridad gestionados
(MSSP), así como de las grandes empresas.
FortiSIEM ofrece una solución innovadora para los clientes que buscan una solución
avanzada de monitorización de seguridad y rendimiento de las aplicaciones a un coste
muy competitivo mediante paquetes de licencias y servicios adaptables a las
necesidades de cada entorno.
POSIBILIDADES DE DESPLIEGUE
FortiSIEM está disponible tanto en formato appliance hardware como virtual appliance.
En el caso de virtual appliance, se puede crecer rápidamente añadiendo recursos
adicionales de CPU, memoria y almacenamiento sin necesidad de tener que llevar a cabo
arduos procesos de migración de bases de datos como ocurre en otras soluciones SIEM
del mercado.
● Collector – FSM-500F
● Mid-Range All-in-one Appliance
– FSM-2000F
● High-End All-in-one Appliance –
FSM-3500G
Así pues, un clúster de FortiSIEM tiene dos tipos de máquinas virtuales: Supervisors y
Workers. Los Workers manejan el procesamiento de eventos de ruta rápida, mientras
que los Supervisors se encargan del de ruta lenta. Para entenderlo mejor, estas son las
funcionalidades principales que FortiSIEM proporciona al usuario final:
Esta versión agrega de nuevo la característica de recuperación ante desastres que estaba
presente en la versión 5.4 de FortiSIEM.
El nodo Secundario está en modo hot Standby. Se puede iniciar sesión en la GUI
secundaria pero no se permite cualquier permiso que implique escribir en la base de
datos PostgreSQL
https://docs.fortinet.com/document/fortisiem/6.3.1/disaster-recovery-procedures-elastic
search
Además de estos componentes, luego están los agentes avanzados, que permiten realizar
una monitorización más granular sobre todo de servidores especialmente críticos tanto
Windows como Linux. A continuación se muestra el resumen de funcionalidades:
Funcionalidades Principales
FortiSIEM proporciona una solución de gestión de logs totalmente robusta y escalable
mediante:
● SNMP
● Syslog
● Windows Management
Instrumentation (WMI)
● Microsoft RPC
● Cisco SDEE
● Checkpoint LEA
● JDBC
● VMware VI-SDK
● JMX
● Telnet
● SSH
● NetFlow
● HTTPS
● IMAP
● IMAP over SSL
● POP3
● Kafka API
Así mismo, FortiSIEM lleva a cabo correlaciones cruzadas entre las capas de máquinas
virtuales (VM) y hardware dentro del host invitado y los niveles de aplicación en aras de
optimizar los recursos, el diagnóstico de fallos y garantizar por ende la entrega del
servicio tanto on-premise como en cloud. FortiSIEM puede gestionar eventos de forma
nativa procedentes de:
● Amazon AWS CloudTrail
● Amazon AWS CloudWatch
● Amazon AWS EC2
● Amazon AWS Kinesis
● Amazon AWS RDS
● Amazon AWS Security Hub
● Box.com
● Google Apps Audit
● Microsoft Azure Audit
● Microsoft Office365 Audit
● Microsoft Cloud App Security
● Microsoft Azure ATP
● Microsoft Azure Compute
● Microsoft Azure Event Hub
● Microsoft Windows Defender ATP
● GitHub
● GitLab
● Okta
● Salesforce CRM Audit
● CloudPassage Halo
● Cisco AMP Cloud
Virtual Appliance
FortiSIEM puede implementarse como virtual appliance en VMware ESX 3.5 o superior,
AWS, Azure, Hyper-V y KVM. FortiSIEM se puede instalar y configurar en poco tiempo
incluyendo capacidades nativas de alta disponiblidad y multi-tenant, permitiendo
escalar rápidamente mediante la inclusión de componentes virtualizados adicionales
(como workers o colectores).
Para información completa sobre las plataformas soportadas en formato virtual
appliance consultar: https://docs.fortinet.com/product/fortisiem/6.3
Cumplimiento Normativo
Para integración con bases de datos de configuración externas (CMDB), entre otros:
● ConnectWise.
● ServiceNow.
● SalesForce.
● Archivo CSV.
● Rackspace.
FortiSIEM 6.1 presentó nuestra potente solución UEBA de endpoint integrada. FortiSIEM
6.3 amplía esto aún más al incorporar el modelo de IA en nuestra arquitectura. El
modelo de IA ahora escala a medida que se agregan más nodos workers al clúster
FortiSIEM, para escalar el rendimiento de UEBA en grandes implementaciones.
https://docs.fortinet.com/document/fortisiem/6.3.1/upgrade-guide/505373/upgrading-to
-fortisiem-6-3-1#Restoring_Hardware_from_Backup_After_a_Failed_Upgrade
Esto proporciona una poderosa herramienta para ayudar con la detección y clasificación
de ataques.
Esta es una nueva función para la versión 6.2 y posteriores y es interesante para
implementaciones grandes que ejecutan búsquedas predefinidas. Con la función de
cálculo previo de FortiSIEM, se puede ejecutar rápidamente búsquedas potentes,
predefinidas y agregadas durante largos períodos de tiempo mediante el cálculo previo
de los resultados a intervalos específicos. Cuando se ejecuta la búsqueda, los resultados
precalculados se utilizan para calcular el resultado final en mucho menos tiempo.
Almacenamiento
Otras funcionalidades
Estas son solo algunas de las nuevas funciones de la versión 6.2 y 6.3. Algunas otras
mejoras incluyen:
https://docs.fortinet.com/document/fortisiem/6.2.1/release-notes/498610/whats-ne
w-in-6-2-1
https://docs.fortinet.com/document/fortisiem/6.3.1/release-notes/330225/whats-ne
w-in-6-3-1
Licenciamiento
Por otro lado, se dispone de otras suscripciones como Indicadores de Compromiso (IoC).