En aquest post vam intentar recopilar certes mètriques de Fortigate, si disposem d'aquest fabulós firewall UTM (o ara anomenats Next-Generation Firewall) podrem mitjançant SNMP obtenir aquestes dades i visualitzar-les en temps real, gràcies a Telegraf, InfluxDB i Grafana, és una pXta passada!

Sabem que per SNMP un Fortigate escup moltíssima informació, a banda dels valors més comuns com puguin ser l' ús de CPU, Memòria, Uptime, Sessions, ús de disc, o els trànsits de cada interfície de xarxa, si no que també l'estat de l'Antivirus per exemple, o si ha detectat algun virus, o si l'ha bloquejat… Doncs mitjançant l'agent de Telegraf podrem realitzar aquestes consultes SNMP al Fortigate, i emmagatzemar-los en el nostre volgut InfluxDB, per a què? per després visualitzar aquestes dades d'una manera més atractiva amb Grafana.

Per tant, ja vam veure com desplegar l'Stack de TICK (Telegraf, InfluxDB, Chronograf i Kapacitor) encara que realment necessitarem només TIG (Telegraf, InfluxDB i Grafana), l'únic que a continuació necessitem és en un agent de Telegraf ficar-li la configuració necessària perquè connecti per SNMP al Fortigate (i òbviament al Fortigate configurar-li SNMP).

En el fitxer de configuració de Telegraf hi afegim:

[[inputs.snmp]]
  agents = [ "DIRECCION_IP_FORTIGATE:161" ]
  timeout = "5s"
  retries = 3
  version = 2
  community = "COMUNIDAD_SNMP"
  max_repetitions = 10
  name = "FORTI"
  interval = "1s"
  [[inputs.snmp.field]]
    name = "Uptime"
    oid = "iso.3.6.1.2.1.1.3.0"
  [[inputs.snmp.field]]
    name = "Memòria"
    oid = "iso.3.6.1.4.1.12356.101.4.5.3.1.7.1"
  [[inputs.snmp.field]]
    name = "CPU"
    oid = ".1.3.6.1.4.1.12356.101.4.1.3.0"
  [[inputs.snmp.field]]
     name = "Sessions"
     oid = "1.3.6.1.4.1.12356.101.4.1.8.0"
  [[inputs.snmp.field]]
     name = "AV"
     oid = ".1.3.6.1.4.1.12356.101.8.2.1.1.1"
  [[inputs.snmp.field]]
     name = "Xarxa"
     oid = "1.3.6.1.4.1.12356.101.13.2.1.1.5.1"
  [[inputs.snmp.field]]
     name = "Ús de disc"
     oid = "1.3.6.1.4.1.12356.101.4.1.6.0"
  [[inputs.snmp.field]]
     name = "Virus Detectat"
     oid = "1.3.6.1.4.1.12356.101.8.2.1.1.1"
  [[inputs.snmp.field]]
     name = "Virus Bloquejat"
     oid = "1.3.6.1.4.1.12356.101.8.2.1.1.2"
  [[inputs.snmp.field]]
     name = "LAN - Entrada"
     oid = "1.3.6.1.2.1.31.1.1.1.6.8"
  [[inputs.snmp.field]]
     name = "LAN - Sortida"
     oid = "1.3.6.1.2.1.31.1.1.1.10.8"
  [[inputs.snmp.field]]
     name = "WAN - Entrada"
     oid = "1.3.6.1.2.1.31.1.1.1.6.1"
  [[inputs.snmp.field]]
     name = "WAN - Sortida"
     oid = "1.3.6.1.2.1.31.1.1.1.10.1"
...

Com veiem, en el fitxer de configuració de Telegraf estem afegint un input o entrada de tipus SNMP contra Fortigate, indiquem l'interval de les revises, en aquest cas el tinc a 1s, això és, cada segon consulta i emmagatzema les dades. I finalment hi afegim els OID específics que ens interessi absorver. Us deixo els exemples dels parlats en la intro d'aquest post, vam monitoritzar el seu CPU, Memòria, Ús de disc, Uptime, Sessions, Estat AV, Virus detectats, Virus bloquejats, Estat i trànsit de cada interfície (WAN, LAN, DMZ, CONVIDATS, GESTIÓ…)

Gravem el fitxer i reiniciem Telegraf, amb això hauríem de tenir-lo llest, podem provar que la configuració és vàlida també:

systemctl restart telegraf.service telegraf --test

I tenim dues opcions, anem directament a Grafana i comencem a dibuixar el panell que ens interessi, o si sou com jo, que de Flux no controleu, recordar que amb Chronograf podeu ràpidament a cop de ratolí treure les queries.

Recordar que perquè Grafana pugui connectar contra el vostre InfluxDB prèviament hem hagut de crear un Datasource o connector, això ho vam veure en el primer post per si ho necessites.

I amb un poquet de paciència pots anar fent dibuixos d'aquest estil o millors, on amb un refresc de 1 segon tens unes dades increïbles de l'estat. O bo, per fer informes o veure' n l' ús en les últimes 24 hores o al gust!

Bo com sempre us animo que controleu la vostra infraestructura, tot aparell que serveixi un servei ha d'estar supervisat i què menys que el firewall de la companyia sigui perimetral, intern… Moltes gràcies a tots si heu arribat fins aquí i desitjar-vos el millor! Abraçades!