FortiAnalyzer

FortiAnalyzer — это платформа централизованного сбора, хранения, анализа и отчётности по журналам в составе Fortinet Security Fabric. Она нормализует в едином озере данных записи, поступающие прежде всего от межсетевых экранов FortiGate, а также от FortiClient, FortiMail, FortiWeb и сторонних источников; коррелирует события, формирует готовые отчёты, которые используются как доказательная база при проверках KVKK (закон Турции о защите персональных данных) и PCI DSS, и автоматизирует реагирование на инциденты за счёт встроенных возможностей SIEM/SOAR. Иначе говоря, FortiAnalyzer — это слой, который рассказывает не о том, что заблокировал ваш межсетевой экран, а о том, что происходит в вашей сети.

Централизованное хранение журналов давно перестало быть пунктом «хорошо бы иметь». По данным Verizon Data Breach Investigations Report 2025, эксплуатация уязвимостей достигла 20% как вектор первоначального доступа, а на пограничные (edge) устройства и VPN пришлось 22% таких действий — почти в восемь раз больше, чем годом ранее (Verizon DBIR, 2025). Тот же отчёт показывает, что организации полностью устраняют лишь около 54% уязвимостей пограничных устройств и медианно тратят на это 32 дня. Если задержка с установкой обновлений неизбежна, единственное, что сокращает время присутствия злоумышленника в вашей сети, — это видимость: способность за считаные минуты ответить на вопрос, кто, когда, куда и под какой учётной записью подключался.

Европейская картина указывает в ту же сторону. Отчёт ENISA Threat Landscape 2025 проанализировал 4875 инцидентов за период с 1 июля 2024 года по 30 июня 2025 года; эксплуатация уязвимостей составила 21,3% случаев первоначального доступа, а фишинг — 60% (ENISA Threat Landscape, 2025). Общая черта этих векторов в том, что каждое отдельно взятое устройство порождает записи, которые сами по себе выглядят «нормальными». Журнал сессий FortiGate, запись об аутентификации FortiClient и журнал доставки FortiMail по отдельности выглядят обыденно; поставленные рядом, они складываются в цепочку атаки. Именно ради этой работы по сопоставлению и существует FortiAnalyzer.

Что именно делает FortiAnalyzer?

FortiAnalyzer делает сразу три вещи: накапливает журналы, приводит их к пригодному для анализа виду и инициирует действия по полученным результатам. В официальном техническом описании Fortinet называет это «озером данных Security Fabric»: телеметрия из сетевых, конечных и облачных сред собирается в одном месте, обогащается аналитикой на базе искусственного интеллекта и машинного обучения и превращается в структурированные панели для IoT, SOC, электронной почты и уязвимостей конечных точек (Fortinet FortiAnalyzer Data Sheet, 2026).

Уровень сбора данных: какие источники и какими методами

FortiAnalyzer не привязывает приём журналов к одному протоколу. Согласно техническому описанию, поддерживаются syslog, API, служба приёма оповещений (alert ingestion) и агентская передача через FortiClient (Fortinet FortiAnalyzer Data Sheet, 2026). На практике это означает следующее: межсетевые экраны FortiGate пишут в то же озеро данных напрямую через подключение Security Fabric, ваши Linux-серверы — по syslog, SaaS-приложения — через API, а конечные точки пользователей — через агент FortiClient. На этом же уровне задаются ролевое управление доступом и политики хранения данных: то есть внутри продукта контролируется, какая команда журналы какого тенанта может видеть.

Уровень аналитики и корреляции: от сырого журнала к инциденту

Сырой журнал сам по себе не является доказательством для аудита; его нужно осмыслить. FortiAnalyzer выполняет встроенную аналитику и корреляцию между компонентами Security Fabric и объединяет внешне не связанные между собой события в единую запись инцидента. Интеграция с FortiGuard Labs обогащает эти записи актуальными данными об угрозах; служба FortiGuard IOC поставляет криминалистические данные с объёмом 500 000 индикаторов компрометации (IOC) в сутки, а исторические журналы можно повторно просканировать по этим индикаторам и вести охоту за угрозами (Fortinet FortiAnalyzer Data Sheet, 2026). Ответ на вопрос «появлялся ли этот IP-адрес в моей сети три месяца назад?» существует только тогда, когда ваши журналы сохранены и проиндексированы.

Уровень реагирования: XDR и точки применения политик

FortiAnalyzer не только формирует отчёты — он может передавать команды точкам применения политик в составе Fabric. Согласно техническому описанию, он выстраивает уровень XDR за счёт интеграции с FortiEDR, FortiNDR, FortiDeceptor, FortiCNAPP и FortiDLP; автоматическое реагирование инициируется через такие точки, как FortiGate, FortiManager, FortiMail, защита конечных точек FortiEDR и FortiAuthenticator (Fortinet FortiAnalyzer Data Sheet, 2026). Когда на конечной точке фиксируется поведение программы-вымогателя, помещение устройства в сетевой карантин, завершение сессии соответствующего пользователя и создание временного правила блокировки на FortiGate можно выстроить в одном и том же playbook.

В чём разница между FortiAnalyzer и FortiManager?

Самое короткое разграничение таково: FortiManager управляет устройствами, а FortiAnalyzer управляет данными, которые эти устройства производят. FortiManager предназначен для конфигурирования, распространения политик и контроля версий и ревизий; FortiAnalyzer — для сбора журналов, анализа, отчётности и реагирования на инциденты. Это не конкуренты, а взаимодополняющие продукты. В организации с большим числом филиалов FortiManager отвечает на вопрос «как одновременно применить один и тот же профиль веб-фильтрации на 120 филиалов?», а FortiAnalyzer — на вопрос «какой пользователь и с какого устройства обратился к этому серверу вчера в 02:14?».

Показатели масштаба в таблице взяты из официальных источников: поддержка 100 000 устройств у FortiManager указана на странице продукта (Fortinet, страница продукта FortiManager, 2026), ёмкости ADOM — в приложении B к release notes версии 7.6.4 (Fortinet Document Library, 2026), а значения по устройствам/VDOM и HA для FortiAnalyzer — в техническом описании (Fortinet FortiAnalyzer Data Sheet, 2026). На практике два продукта разделяет не решение о закупке, а операционная модель: без FortiManager вы всё равно сможете администрировать FortiGate по одному, а без FortiAnalyzer вы не сможете задавать вопросы о прошлом. А вопрос аудитора всегда касается прошлого.

Частое заблуждение в малых и средних организациях — считать, что с покупкой FortiManager закрыт и вопрос журналов. Собственные возможности просмотра журналов в FortiManager носят операционный характер; длительное хранение, аналитическое индексирование и отчётность по соответствию требованиям по расписанию — это работа FortiAnalyzer. Верно и обратное: FortiAnalyzer не распространяет политики. Правильный вопрос звучит не «какой из двух?», а «какой первым?» — в организации с одной площадкой обычно сначала внедряют FortiAnalyzer, а в многофилиальной оба продукта вводят в эксплуатацию вместе.

Как FortiAnalyzer закрывает обязанность по хранению журналов в рамках KVKK?

Короткий ответ: KVKK (закон Турции о защите персональных данных) не вводит обязанность иметь именно «устройство для журналов»; однако опубликованная надзорным органом рамка технических мер предполагает, что все действия пользователей регулярно фиксируются и эти записи отслеживаются. FortiAnalyzer и есть тот технический контроль, который отвечает этому ожиданию: централизованный и неизменяемый сбор записей, их защита ролевым доступом и возможность подготовить отчёт в момент проверки.

Где журналы в перечне технических мер KVKK?

В документе KVKK «Руководство по безопасности персональных данных (технические и административные меры)» в разделе о контроле безопасности персональных данных указано, что необходимо контролировать, какое программное обеспечение и какие службы работают в информационных сетях, выявлять проникновение или недопустимую активность, регулярно вести журналы всех действий пользователей и оперативно сообщать о проблемах безопасности. В сводной таблице технических мер того же руководства «Журналы доступа», «Записи журналов», «Сетевая безопасность», «Системы обнаружения и предотвращения вторжений» и «Межсетевые экраны» перечислены как отдельные пункты (KVKK, Руководство по безопасности персональных данных, январь 2018). Руководство также определяет межсетевой экран и сетевой шлюз как «первую линию обороны» против угроз несанкционированного доступа из интернета. FortiGate выстраивает эту первую линию; FortiAnalyzer хранит доказательства, которые она производит.

Срок хранения определяет не продукт, а законодательство и ваша политика хранения и уничтожения

Часто повторяемая в отрасли фраза «FortiAnalyzer хранит журналы 1 год» не является характеристикой продукта. Официальное техническое описание Fortinet приводит только значение Max Number of Days Analytics: это число дней, достигаемое в случае, если устройство непрерывно принимает журналы на максимальной аналитической скорости (30, 50 или 60 дней в зависимости от модели). Если ваша средняя скорость поступления журналов ниже, этот срок увеличивается. То есть срок хранения — результат планирования ёмкости; корректная формулировка строится по схеме «столько-то дней при таком-то объёме».

Это разграничение важно на проверке. Руководство KVKK не навязывает единый срок хранения; срок определяется типом обрабатываемых персональных данных, соответствующим отраслевым законодательством и политикой хранения и уничтожения персональных данных самой организации. Поэтому правильный подход — сначала уточнить юридическое требование, а затем рассчитать FortiAnalyzer с такой архитектурой дисков и архива, которая обеспечит этот срок. На практике мы строим это в два уровня: горячий (аналитический, индексированный, доступный для поиска) уровень и архивный уровень. На стороне архива можно использовать пересылку журналов в режиме, близком к реальному времени, с FortiAnalyzer на другой FortiAnalyzer, на syslog-сервер или на CEF-сервер; при пересылке локальная копия сохраняется (Fortinet FortiAnalyzer Data Sheet, 2026).

Что меняется в контексте PCI DSS, BDDK и Закона № 5651?

Для организаций, обрабатывающих карточные данные, PCI DSS v4.0 требует пересматривать конфигурации средств сетевой безопасности (NSC) не реже одного раза в шесть месяцев (пункт 1.2.7), а при использовании сегментации — проводить тестирование на проникновение для контролей сегментации не реже одного раза в 12 месяцев и после каждого изменения (пункт 11.4.5) (PCI Security Standards Council, PCI DSS v4.0 SAQ D, апрель 2022). Эти пункты прямо не говорят «ведите журналы», но оба требуют доказательств; данные о том, когда и кем было внесено изменение правила и действительно ли сегмент изолирован, находятся именно в журналах. Готовые шаблоны отчётов PCI-DSS и HIPAA в FortiAnalyzer (Fortinet FortiAnalyzer Data Sheet, 2026) упрощают подготовку этих доказательств в том формате, которого ждёт аудитор.

В финансовых организациях, поднадзорных BDDK (регулятор банковского сектора Турции), и в организациях, выступающих коллективными поставщиками доступа в смысле Закона № 5651, ожидается хранение записей о внутреннем распределении IP-адресов и журналов доступа с сохранением их целостности. Поскольку охват и сроки этих требований различаются от организации к организации, мы не приводим здесь единой цифры; корректный срок следует определить совместно с вашим юридическим консультантом и аудитором, а техническое проектирование выполнить уже под этот срок. В Sora Yazılım мы всегда ведём работу по расчёту ёмкости именно в такой последовательности.

Какая модель FortiAnalyzer подходит под какой объём журналов?

Выбор модели не делается по одному числу; вместе оцениваются суточный объём журналов (ГБ в сутки), устойчивая скорость их поступления (логов/с), количество подключаемых устройств/VDOM и целевое число дней аналитики. Аппаратная линейка Fortinet масштабируется от 100 ГБ журналов в сутки (FAZ-300G) до 8300 ГБ в сутки (FAZ-3750G); устойчивая аналитическая скорость составляет от 2000 до 100 000 логов/с (Fortinet FortiAnalyzer Data Sheet, 2026).

* Сноска Fortinet: устойчивая скорость — это максимальная постоянная скорость поступления сообщений журнала, которую платформа способна выдерживать не менее 48 часов без деградации базы данных SQL и производительности системы. Максимальное число дней аналитики — это число дней, достигаемое при непрерывном приёме журналов на этой скорости; если ваша реальная средняя скорость ниже, срок увеличивается (Fortinet FortiAnalyzer Data Sheet, 2026). Поэтому мы не выбираем модель, не измерив фактический объём: в типовом проекте мы сначала доводим настройки журналирования на существующих FortiGate до целевого уровня, несколько недель измеряем реальные продуктивные данные, а затем выполняем расчёт с запасом на рост.

Когда следует разделять режимы Analyzer и Collector?

FortiAnalyzer предлагает два режима работы. В режиме Collector основная задача устройства — принимать журналы подключённых устройств, архивировать их и передавать на Analyzer. Устройство в режиме Analyzer сосредоточено на аналитике и формировании отчётов. По мере роста скорости поступления журналов передача ресурсоёмкой задачи приёма журналов на Collector сохраняет производительность Analyzer в части отчётов и корреляции (Fortinet FortiAnalyzer Data Sheet, 2026). То, что устойчивые скорости Collector в таблице выше скоростей Analyzer (примерно в 1,4–1,5 раза в зависимости от модели), и есть аппаратное отражение такого разделения труда.

Географическое распределение решается той же моделью: разместить в каждом регионе по устройству в режиме Collector и передавать в центр по каналам WAN только необходимые данные — это упрощает управление и стоимостью каналов, и ограничениями по локализации данных. В крупных организациях с большим числом устройств FortiAnalyzer в игру вступает FortiAnalyzer Fabric: в режимах Supervisor и Member из одной точки просматриваются ADOM устройств-участников, авторизованные журналирующие устройства, записи инцидентов и оповещений; через Log View доступен глобальный поиск по всем участникам (Fortinet FortiAnalyzer Data Sheet, 2026).

Заменяет ли FortiAnalyzer полноценный SIEM?

Отчасти. FortiAnalyzer содержит встроенные возможности SIEM и SOAR и, по собственному определению Fortinet, спроектирован так, чтобы «дополнять любое используемое заказчиком решение SIEM или журналирования и работать вместе с ним» (Fortinet FortiAnalyzer Data Sheet, 2026). В организациях, чья инфраструктура сосредоточена в экосистеме Fortinet и где сторонних источников журналов немного, FortiAnalyzer достаточно сам по себе. Если же требуется глубокая корреляция журналов событий Windows, баз данных, ERP, сетевого оборудования множества разных производителей и собственных приложений, уместнее полноценный SIEM — в линейке Fortinet это FortiSIEM.

Здесь стоит говорить без преувеличений: согласно позициям, перечисленным на собственной странице Fortinet о Gartner Magic Quadrant, в отчёте 2025 Gartner Magic Quadrant for Security Information and Event Management компания позиционирована как Challenger, а не как Лидер (Fortinet, страница Gartner Magic Quadrants, 2026). На той же странице категория, в которой Fortinet является Лидером, — это Magic Quadrant 2025 по Hybrid Mesh Firewall. То есть позиционировать FortiAnalyzer как «лучший SIEM на рынке» было бы неверно; корректное позиционирование — это платформа операций безопасности с низкой стоимостью внедрения и эксплуатации, быстро дающая отдачу в среде, построенной преимущественно на Fortinet. Экосистема интеграций Security Fabric, охватывающая более 500 сторонних решений, как раз и построена на этой взаимодополняемости (Fortinet, About Us, 2026).

Практический критерий при принятии решения таков: если подавляющее большинство ваших источников журналов — это Fortinet и команда у вас небольшая, начинайте с FortiAnalyzer. Если разнообразие источников велико и регулятор требует независимый SIEM, разместите FortiAnalyzer как сборщик и препроцессор для стороны Fortinet и отправляйте в SIEM только обогащённые события. Этот второй шаблон даёт существенную экономию там, где стоимость лицензий SIEM растёт прямо пропорционально объёму сырых журналов.

Какие задачи команда SOC может автоматизировать с помощью FortiAnalyzer?

Короткий ответ: большую часть цепочки от генерации оповещения до первичного реагирования. FortiAnalyzer управляет жизненным циклом инцидента в одной консоли — от мониторинга и приоритизации оповещений до глубокого разбора и реагирования; встроенная корреляция, обогащение индикаторов и отслеживание пользователей, активов и учётных записей ускоряют работу аналитика (Fortinet FortiAnalyzer Data Sheet, 2026). На практике наибольшую отдачу дают четыре направления:

• Ежемесячные пакеты контента для автоматизации SOC. FortiGuard Labs каждый месяц публикует готовые сценарии использования: парсеры журналов, отчёты, правила корреляции, обработчики событий и автоматические playbook. Это позволяет вводить в работу новый источник журналов и выявлять новые угрозы без ручного написания правил.
• Службы FortiGuard IOC и Outbreak Detection. Криминалистические данные, подпитываемые 500 000 IOC в сутки, дают возможность повторно просканировать исторические журналы; пакет по вспышкам угроз (outbreak) поставляется сразу с соответствующим отчётом, обработчиком событий и шаблоном отчёта.
• Реагирование на основе playbook. Обработку оповещений, создание заявок и уведомления можно автоматизировать; реагирование инициируется через такие точки применения политик, как FortiGate, FortiMail, FortiEDR и FortiAuthenticator.
• Генеративный ИИ-ассистент (FortiAI). Аналитик может формулировать запросы на естественном языке, получать краткие сводки по инцидентам и строить сложные запросы к базе данных, не зная языка запросов. Эта возможность предоставляется по отдельной подписке FortiAI.

Объём разведданных, стоящих за этой автоматизацией, тоже не стоит недооценивать: FortiGuard Labs ежедневно обрабатывает и анализирует более 100 миллиардов событий с помощью систем искусственного интеллекта и машинного обучения (Fortinet, About Us, 2026). Этот контекст, который организация не смогла бы сформировать самостоятельно, будучи приложенным к каждому оповещению в FortiAnalyzer, сокращает время, которое аналитик тратит на вопрос «это настоящая угроза?». Самый дорогой ресурс небольших команд — минута аналитика; именно по ней и измеряется отдача от автоматизации.

Дополнительно по подписке можно подключить OT Security Service (расширенная аналитика OT для промышленных сред, отчёты по рискам и соответствию, обработчики событий), Attack Surface Security Rating and Compliance Service (оценка состояния безопасности и рекомендации по конфигурации), службу FortiGuard Threat Intel Platform и услугу мониторинга и управления SOCaaS в режиме 24/7 (Fortinet FortiAnalyzer Data Sheet, 2026). Какие подписки действительно необходимы, мы определяем вместе с вами, исходя из размера команды и модели сменной работы, — неиспользуемая подписка в период продления превращается в лишние расходы.

Как выбрать между аппаратной платформой, виртуальной машиной и облаком?

Все три варианта работают на одном и том же программном обеспечении; различия — в развёртывании, масштабировании и локализации данных. Fortinet предлагает FortiAnalyzer в виде физического устройства, виртуального устройства для частного и публичного облака и размещённого (hosted) решения (Fortinet FortiAnalyzer Data Sheet, 2026). В Турции, где организации чувствительны к локализации данных из-за KVKK, выбор обычно склоняется к аппаратному решению on-premise или к виртуальной машине в собственном центре обработки данных организации.

В виртуальной версии лицензирование работает по принципу наращивания на основе ГБ в сутки: лицензии на увеличение ёмкости от FAZ-VM-GB1 до FAZ-VM-GB2000 суммируются, а подписочные SKU для VM складываются шагами по 5, 50 и 500 ГБ в сутки. При развёртывании в режиме Collector лимит ГБ в сутки для VM не применяется (Fortinet FortiAnalyzer Data Sheet, 2026). Это практичная деталь, которая делает возможным подход «сначала собери, потом решай, какую часть анализировать», и мы часто используем такой шаблон в организациях с ограниченным бюджетом.

В части отказоустойчивости FortiAnalyzer HA обеспечивает переход на резервное устройство при отказе основного, поддерживается кластер до четырёх узлов (Fortinet FortiAnalyzer Data Sheet, 2026). Для аварийного восстановления дополнительно существует служба Backup to Cloud; эта подписка охватывает резервное копирование журналов в публичное облако с объёмом передачи данных 10 ТБ в год. То, что сама инфраструктура журналирования не является единой точкой отказа, важно и с точки зрения аудита: вывод «ваше устройство журналирования две недели было выключено» аудитор воспримет так же серьёзно, как и отсутствующие записи.

FortiAnalyzer нужно планировать не отдельно, а как часть целого — Fortinet Security Fabric. Когда межсетевой экран уровня центра обработки данных, например FortiGate 1000F, почтовая безопасность FortiMail, межсетевой экран веб-приложений FortiWeb и FortiSASE для удалённых сотрудников пишут в одно и то же озеро данных, вы получаете единую цепочку событий от пользователя до приложения. Самая частая проблема во фрагментированных внедрениях, с которой мы сталкиваемся, — журналы есть, но связать их друг с другом невозможно.

Sora Yazılım как авторизованный канальный партнёр Fortinet в Турции обеспечивает в проектах FortiAnalyzer лицензирование, расчёт ёмкости, установку, миграцию с существующей инфраструктуры журналирования и управляемый сервис. Типовая работа идёт так: измерение реального объёма журналов, уточнение юридического требования к хранению, подбор модели и объёма хранилища, проектирование ADOM и ролей, адаптация шаблонов отчётов соответствия под вашу организацию и ввод в эксплуатацию playbook для SOC. Подготовку на стороне серверов, виртуализации и резервного копирования мы ведём в рамках услуг DevOps и инфраструктуры; организациям, которые хотят разрабатывать собственную аналитику или ассистента поверх данных журналов, мы помогаем в рамках услуг по искусственному интеллекту и LLM.

Давайте вместе определим подходящую модель FortiAnalyzer. Сообщите, сколько у вас устройств FortiGate, каков примерный суточный объём журналов и какой срок хранения вы планируете; мы подготовим расчёт ёмкости и план внедрения. Поскольку цена зависит от ёмкости и набора подписок, мы не публикуем стандартный прайс-лист — за индивидуальным предложением свяжитесь с нами через страницу контактов. Если FortiAnalyzer у вас уже есть, мы можем запланировать проверку состояния системы с ревизией настроек хранения, отчётов и playbook; заявку также можно отправить через контактную форму.