🛡️ Playbook
پاسخ به ناهماهنگی لاگهای FortiGate
📋 شرح مأموریت
شما تحلیلگر تیم امنیت هستید. مدیر شما متوجه افزایش ترافیک فورتیگیت ۴۰۰F شده، اما گزارشها ناقص است. بررسی اولیه نشان میدهد:
- برخی رویدادها با sourcetype=fortigate و برخی با fortigate_old ایندکس شدهاند.
- کشور مبدأ گاهی country و گاهی srccountry نام دارد.
- نیاز به محاسبه مجموع بایتهای هر نشست و امکان Whois سریع روی IPهای مشکوک دارید.
مرحله ۱: مشاهده وضعیت فعلی
مرحله ۲: یکسانسازی موقت sourcetype
مرحله ۳: تعریف Field Alias برای کشور مبدأ
مرحله ۴: ساخت فیلد محاسباتی مجموع ترافیک
مرحله ۵: تحلیلهای سریع
مرحله ۶: راهاندازی Workflow Action برای Whois