FortiAnalyzer is het centrale logging- en analyseplatform van Fortinet. Elke FortiGate, FortiSwitch, FortiAP of FortiClient in uw netwerk produceert de hele dag door logregels, en FortiAnalyzer verzamelt die op één plek, slaat ze gecontroleerd op en maakt ze doorzoekbaar. SolidBE implementeert en beheert FortiAnalyzer voor organisaties die willen weten wat er in hun netwerk gebeurt, die incidenten snel willen kunnen reconstrueren en die bij een audit niet met losse exportbestanden willen aankomen. Hieronder leest u wat het platform doet, hoe het samenwerkt met de rest van de Fortinet-omgeving en waar u op moet letten bij inrichting en beheer.
VM, Cloud of On-prem?
FortiAnalyzer is een appliance, een virtuele machine of een clouddienst die logs ontvangt van Fortinet-apparatuur en die gegevens omzet in iets bruikbaars. Dashboards, zoekfuncties, correlatieregels, automatische meldingen en rapportages zitten allemaal in hetzelfde product. Fortinet ziet FortiAnalyzer als een vast onderdeel van de Security Fabric, het platform waarmee de verschillende Fortinet-producten informatie met elkaar uitwisselen.
Er zijn drie verschijningsvormen. De hardwareversie staat in uw eigen serverruimte of datacenter. De virtuele variant draait op een bestaande hypervisor of bij een publieke cloudprovider. FortiAnalyzer Cloud wordt door Fortinet zelf gehost. Welke vorm past, hangt af van de hoeveelheid logs, de bewaartermijn die u nodig heeft en de vraag of uw gegevens het eigen netwerk mogen verlaten.
FortiAnalyzer beheer door SolidBE
Een FortiAnalyzer die eenmaal draait, vraagt om onderhoud. Firmware moet up-to-date blijven, quota moeten meegroeien met het logvolume, event handlers moeten passen bij nieuwe dreigingen en rapporten moeten blijven aansluiten op wat de organisatie wil weten. Binnen SolidControl nemen wij dat beheer over, inclusief configuratieback-ups, updates en wijzigingen.
SolidBE is Fortinet Advanced Partner en werkt dagelijks met FortiGate, FortiManager en FortiAnalyzer in omgevingen van onderwijs en zorg tot maakindustrie en overheid. Wilt u weten of uw huidige logging voldoet, of hoe groot een nieuwe FortiAnalyzer-omgeving moet zijn? Neem contact op met een van onze engineers, dan kijken we samen naar uw logvolume, uw bewaartermijnen en de vragen die uw logging moet kunnen beantwoorden.
Centrale Fortinet logging
Een FortiGate kan zelf logs bewaren, maar de opslagruimte is beperkt en een firewall heeft wel wat beters te doen dan zoekopdrachten over drie maanden verkeer uitvoeren. Zodra er meerdere locaties of apparaten in het spel zijn, wordt lokaal loggen al snel onwerkbaar. U moet dan per apparaat inloggen om een beeld te krijgen, en wie een verdachte verbinding over twee vestigingen wil volgen, zit uren te puzzelen.
FortiAnalyzer ontvangt de logs via een versleutelde verbinding en slaat ze op in twee vormen. De archieflogs worden ongewijzigd en gecomprimeerd bewaard, zodat u een betrouwbaar origineel heeft. Daarnaast worden dezelfde logs geïndexeerd in een database, waardoor zoeken, analyseren en rapporteren snel gaat. Die geïndexeerde analyselogs nemen aanzienlijk meer schijfruimte in dan het archief. Via een datapolicy bepaalt u per omgeving hoe lang beide soorten bewaard blijven.
Wij adviseren om archieflogs altijd langer te bewaren dan analyselogs. Het archief is namelijk de bron waaruit de database opnieuw kan worden opgebouwd, bijvoorbeeld na een firmware-upgrade of bij een onderzoek naar een periode die al uit de analyseopslag is verdwenen.
ADOM’s voor gescheiden omgevingen
Met administratieve domeinen, kortweg ADOM’s, deelt u FortiAnalyzer op in afzonderlijke omgevingen. Elk domein krijgt eigen apparaten, eigen opslagquota en eigen bewaartermijnen. Dat is handig voor organisaties met meerdere juridische entiteiten of een strikte scheiding tussen IT en OT, en het voorkomt dat een apparaat dat ineens veel meer logt de opslag van de rest opeet.
Security events en analyse
Logs verzamelen is stap één. De waarde zit in wat FortiAnalyzer ermee doet. Event handlers controleren binnenkomende logs continu op patronen, zoals een kritieke inbraakpoging die door IPS is gedetecteerd, een gebruiker die vanaf een onverwacht land inlogt of een werkplek die contact zoekt met een bekend kwaadaardig IP-adres. Fortinet levert een flink aantal voorgedefinieerde handlers mee, en daarnaast schrijft u eigen regels voor situaties die specifiek zijn voor uw omgeving.
Uit die events maakt FortiAnalyzer incidenten, waarin u bewijsmateriaal, betrokken apparaten en tijdlijnen bij elkaar houdt. Met threat hunting zoekt u gericht terug in de historie, bijvoorbeeld wanneer een nieuwe kwetsbaarheid bekend wordt en u wilt weten of die al eerder misbruikt is.
Met een FortiGuard-abonnement voor Indicators of Compromise vergelijkt FortiAnalyzer uw verkeers-, web- en DNS-logs met actuele dreigingsinformatie van FortiGuard Labs. Werkplekken die verdacht gedrag vertonen, verschijnen dan als mogelijk gecompromitteerde hosts. De Outbreak Detection Service gaat nog een stap verder en levert bij grote uitbraken direct een kant-en-klaar pakket met een rapport, een event handler en een rapportsjabloon. Dat scheelt veel handwerk op het moment dat er het minste tijd is.
Automatisch reageren met playbooks
Met de juiste licentie voert FortiAnalyzer zelf vervolgstappen uit via playbooks. Een playbook kan automatisch een incident aanmaken, een melding versturen of via de koppeling met FortiGate een IP-adres blokkeren. Ga daar wel met beleid mee om. Automatisch blokkeren is prima voor eenduidige gevallen, maar bij twijfel wilt u eerst een mens laten kijken.
Rapportages en dashboards
FortiAnalyzer bevat een uitgebreide bibliotheek met rapportsjablonen, van bandbreedtegebruik en applicatieoverzichten tot bedreigingsrapporten en managementsamenvattingen. Rapporten kunt u eenmalig draaien of inplannen, waarna ze automatisch per e-mail worden verstuurd of op een fileserver worden geplaatst. De FortiView-dashboards geven realtime overzicht van verkeer, gebruikers, applicaties en bedreigingen, en vanuit elk overzicht klikt u door naar de onderliggende logregels.
In de praktijk ontvangen veel organisaties wekelijks een stapel rapporten die niemand opent. Begin daarom klein. Eén maandelijks overzicht voor het management en één technisch rapport voor de beheerders is meestal genoeg om te beginnen, en vanuit de vragen die dat oproept bouwt u verder.
FortiAnalyzer en compliance
Vrijwel elke beveiligingsnorm vraagt om logging en monitoring die aantoonbaar werkt. ISO 27001:2022 heeft daar aparte maatregelen voor in Annex A, en in de zorg geldt met NEN 7513 een specifieke norm voor het vastleggen van toegang tot patiëntgegevens. Sinds 15 augustus 2026 geldt bovendien de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties die daaronder vallen moeten significante incidenten melden bij het NCSC en moeten dus snel kunnen vaststellen wat er is gebeurd, wanneer en waar.
FortiAnalyzer helpt hierbij op twee manieren. De logs worden centraal en onveranderd bewaard, met bewaartermijnen die u zelf vastlegt. En met aanvullende FortiGuard-diensten zijn er compliancerapporten beschikbaar, onder andere voor PCI DSS en CIS-benchmarks. Een platform alleen maakt u natuurlijk niet compliant. Het geeft u wel het bewijsmateriaal dat een auditor wil zien, en het geeft u de tijdlijn die u bij een melding nodig heeft.
FortiAnalyzer met FortiGate
De meeste FortiAnalyzer-omgevingen draaien rond FortiGate firewalls. De koppeling is direct: de firewall stuurt zijn verkeers-, beveiligings- en systeemlogs naar FortiAnalyzer, en FortiAnalyzer geeft informatie terug. Zo kan een FortiGate meldingen over gecompromitteerde hosts ontvangen en daar via een automation stitch op reageren, bijvoorbeeld door een werkplek in quarantaine te zetten.
Let bij de inrichting op wat u laat loggen. Wie elk toegestaan pakket logt, vult de opslag razendsnel met verkeer waar niemand naar kijkt. Wie te weinig logt, mist bij een incident precies het stukje dat de puzzel compleet maakt. Wij stemmen het logprofiel per firewallbeleid af, zodat de belangrijke stromen volledig zichtbaar zijn en de ruis beperkt blijft.
FortiAnalyzer met FortiManager
FortiManager beheert de configuratie van uw Fortinet-apparaten, FortiAnalyzer beheert de logs. De twee producten zijn gebouwd op dezelfde basis en werken met hetzelfde ADOM-model, waardoor ze goed samen te gebruiken zijn. Koppelt u FortiAnalyzer aan FortiManager, dan ziet u vanuit FortiManager ook loggegevens en kunt u bij een beleidswijziging direct controleren welk verkeer erdoor geraakt wordt.
Voor organisaties met tientallen firewalls of meerdere vestigingen is deze combinatie de standaard. Wijzigingen voert u centraal door in FortiManager, en het effect ziet u terug in FortiAnalyzer. Dat maakt fouten sneller zichtbaar en geeft auditors een volledig spoor van wie wat wanneer heeft aangepast.
FortiAnalyzer binnen SOC-dienstverlening
FortiAnalyzer heeft veel ingebouwde SOC-functies, maar iemand moet er wel naar kijken. Een event handler die om drie uur ’s nachts afgaat, heeft weinig waarde als de melding pas maandag wordt gelezen. Daarom zetten we FortiAnalyzer vaak in als bron voor onze SOC as a Service. Onze SOC-analisten beoordelen de meldingen, onderzoeken de samenhang tussen losse events en adviseren over tegenmaatregelen. Valt uw omgeving ook onder ons beheer, dan voeren we die maatregelen direct door.
Sinds recente versies kan FortiAnalyzer via log parsers ook logs van andere leveranciers verwerken. Voor omgevingen met veel verschillende merken blijft een volwaardige SIEM als FortiSIEM vaak de betere keuze, maar voor een overwegend Fortinet-netwerk komt u met FortiAnalyzer een heel eind.
Migratie en sizing
FortiAnalyzer wordt gelicentieerd op basis van het aantal gigabyte aan logs per dag. Bij de virtuele versie stapelt u licenties tot de gewenste capaciteit, bij hardware kiest u een model dat bij het volume past. Daarnaast bepaalt de opslagcapaciteit hoeveel dagen analyselogs en archieflogs u kunt bewaren. Een kanttekening: in collectormodus geldt geen limiet op het aantal gigabyte per dag, maar in die modus ontbreken de analysefuncties.
Een goede sizing begint met meten. Wij kijken naar het werkelijke logvolume van uw huidige apparaten, naar de groei die u verwacht en naar de bewaartermijnen die uw organisatie of toezichthouder vereist. Juist dat laatste wordt vaak onderschat. Een bewaartermijn van een jaar in plaats van negentig dagen verandert de benodigde opslag fors.
Overstappen naar nieuwe hardware of een VM
Bij een migratie van een oudere FortiAnalyzer naar nieuwe hardware, een virtuele machine of de cloud zorgen we dat de configuratie, de ADOM-indeling, de event handlers en de rapporten meeverhuizen. Historische logs kunnen vanuit het archief worden overgezet als ze nodig blijven voor compliance of onderzoek. We plannen zo’n overstap zo dat er geen gat in de logging ontstaat, want juist tijdens een migratie wilt u blijven zien wat er gebeurt.
