FortiAnalyzer日志存储优化：从5天到30天的实战策略
1. 日志存储优化的核心挑战
网络管理员常常面临一个两难选择：既需要保留足够长时间的日志以满足审计和合规要求，又要避免存储空间被迅速耗尽。当FortiAnalyzer的日志保留时间从30天骤降至5天时，这通常意味着系统正在经历日志爆炸现象。
造成这种现象的典型原因包括：
- 安全策略过度记录：尤其是IPS和DoS策略若开启全量日志，单条策略每天可能产生GB级数据
- 流量日志未过滤：记录所有会话日志会导致大量低价值数据（如内部正常流量）占用空间
- 设备扩容未同步：新增安全设备或策略时未调整存储配额
- 日志压缩失效：数据库压缩功能未启用或配置不当
关键指标预警：当日志增长率超过存储空间的日均增量15%，系统将进入"存储紧张"状态
2. 诊断日志存储瓶颈
2.1 空间占用分析
通过FortiAnalyzer的CLI可以快速获取存储分布情况：
# execute disk list
# execute log device stats
# execute log fortianalyzer report disk-usage
典型输出会显示各日志类型的空间占比：
| 日志类型 | 占用空间 | 占比 | 日均增量 |
|---|---|---|---|
| IPS日志 | 1.2TB | 54.5% | 240GB |
| 流量日志 | 650GB | 29.5% | 130GB |
| DoS防护日志 | 280GB | 12.7% | 56GB |
| 系统事件 | 70GB | 3.2% | 1.4GB |
2.2 热点策略定位
在GUI界面通过以下路径定位高产出策略：
- 日志与报告 → 原始日志
- 添加过滤器：
日志类型=流量日志 - 按策略ID分组统计
# 命令行替代方案：
diagnose log test connectivity
diagnose log policy list
3. 关键优化技术
3.1 智能日志过滤
针对不同日志类型建议采用差异化过滤策略：
-
IPS日志：
- 仅记录中高风险事件（5-7级）
- 排除已知误报特征码
- 使用如下CLI配置：
config log ips filter set severity high medium set exclude-signatures 12345,67890 end
-
流量日志：
- 仅记录策略拒绝的流量
- 排除内部子网间通信
- Web界面配置路径：
策略与对象 → 防火墙策略 → 编辑策略 → 日志选项
3.2 存储参数调优
关键配置参数对照表：
| 参数 | 默认值 | 优化值 | 作用 |
|---|---|---|---|
| maximum-log-age | 7天 | 30天 | 日志保留周期 |
| upload-interval | 5分钟 | 15分钟 | 日志上传间隔 |
| log-quota | 自动 | 手动 | 分配各设备存储配额 |
| compression | 启用 | 高强度 | 采用LZ4压缩算法 |
| diskfull | 覆盖 | 告警 | 存储满时行为 |
配置示例：
config log disk setting
set maximum-log-age 30
set upload-interval 15
set compression high
set diskfull overwrite
end
4. 高级优化方案
4.1 存储分层架构
对于需要长期保留日志的场景，建议采用三级存储体系：
- 热存储：SSD存储最近7天日志，保证快速查询
- 温存储：HDD存储7-30天日志，平衡性能与成本
- 冷存储：对象存储归档30天以上日志
配置参考：
config log storage
edit "hot"
set type ssd
set retention 7
next
edit "warm"
type hdd
retention 23
next
end
4.2 日志采样技术
对高频率日志启用采样：
- 流量日志：1:100采样率
- DNS查询：仅记录异常域名
- Web过滤：重点记录违规访问
采样配置示例：
config log memory filter
set sampling-rate 100
set dns-filter "category=malicious"
end
5. 持续监控机制
建立日志健康度看板，监控以下核心指标：
- 存储利用率：超过80%触发告警
- 日志增长率：同比变化超过20%需调查
- 压缩效率：正常应达到3:1以上压缩比
- 查询性能：95%查询应在5秒内完成
推荐监控命令：
# 实时监控
diagnose sys top 5
diagnose hardware sysinfo memory
# 定期检查
execute log device stats
execute log fortianalyzer report performance
在实际部署中，某金融机构通过上述方法将日志保留期从5天延长至35天，同时将日均存储增量从300GB降至80GB。关键在于对IPS日志实施风险分级记录，并启用高强度压缩。
240
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
