Guía práctica de lo que ofrece de base y con licencias adicionales
Cuando una infraestructura de red crece, deja de ser suficiente mirar el firewall equipo por equipo. Aparecen preguntas habituales: ¿por qué esa regla no funciona?, ¿quién está generando tanto tráfico hacia Internet?, ¿ese equipo está hablando con una IP sospechosa?, ¿qué pasó exactamente ayer a las 3 de la madrugada?
En nuestro entorno trabajamos con infraestructura Fortinet y tenemos desplegado FortiAnalyzer, que se ha convertido en una herramienta fundamental para responder a esas preguntas. Centraliza los logs de todos los dispositivos, permite analizarlos con rapidez, genera informes y alerta de comportamientos anómalos.
En este blog repasaremos qué es FortiAnalyzer, qué podemos hacer con él desde el primer día, qué aportan las licencias adicionales y cómo sacarle partido en situaciones reales de operación y seguridad.
Índice
- ¿Qué es FortiAnalyzer y dónde encaja en la infraestructura Fortinet?
- Lo que obtenemos de base (sin licencias adicionales)
- Casos prácticos del día a día
- Lo que se añade con licencias adicionales
- Buenas prácticas de implantación
- Conclusión
1. ¿Qué es FortiAnalyzer y dónde encaja en la infraestructura Fortinet?
FortiAnalyzer es la plataforma de análisis, correlación y reporting de logs de Fortinet. Puede desplegarse como appliance físico, máquina virtual o servicio en la nube.
Su función principal es recibir los logs de los dispositivos de la Security Fabric y almacenarlos de forma centralizada. Entre ellos:
- FortiGate (tráfico, eventos, UTM, VPN, SD-WAN)
- FortiSwitch y FortiAP (gestionados a través de FortiGate)
- FortiMail, FortiWeb, FortiSandbox, FortiClient EMS, entre otros
Es importante distinguirlo de otros productos con los que a veces se confunde:
- FortiGate: aplica las políticas y genera los logs.
- FortiManager: gestiona la configuración de los dispositivos (políticas, objetos, firmware).
- FortiAnalyzer: analiza lo que ha ocurrido (logs, eventos, informes).
Los logs que guarda el propio FortiGate son limitados en espacio y retención. FortiAnalyzer resuelve ese problema y añade herramientas de análisis que el firewall por sí solo no ofrece.
2. Lo que obtenemos de base (sin licencias adicionales)
Con la plataforma activa y los dispositivos enviando logs, ya disponemos de un conjunto muy completo de funciones.
2.1 Recolección y almacenamiento centralizado de logs
Todos los dispositivos envían sus logs a un único punto, con una retención configurable según el espacio disponible. Esto da un histórico fiable para auditorías, investigaciones y análisis de tendencias.
2.2 Log View: búsqueda y filtrado de logs
Es la herramienta más usada en el día a día. Permite consultar los logs en tiempo real o históricos, por tipo (tráfico, eventos, antivirus, IPS, filtrado web, aplicaciones, VPN, DNS, etc.) y aplicar filtros por IP de origen o destino, puerto, usuario, acción, política, interfaz o rango de fechas.
2.3 FortiView: visión rápida mediante paneles
FortiView ofrece vistas resumidas e interactivas con los principales orígenes y destinos, aplicaciones, amenazas, sitios web visitados, usuarios y países de destino. Es ideal para detectar de un vistazo quién consume más ancho de banda o qué amenazas aparecen con más frecuencia.
2.4 Informes (Reports)
Incluye plantillas predefinidas, por ejemplo de seguridad, uso de aplicaciones, actividad de usuarios, VPN o cumplimiento. También permite crear informes personalizados, programarlos y enviarlos automáticamente por correo en distintos formatos (PDF, HTML, CSV).
2.5 Gestión de eventos y alertas (Event Management)
Se pueden definir manejadores de eventos (event handlers) que se activan cuando los logs cumplen ciertas condiciones, como múltiples intentos de login fallidos, caída de un túnel VPN o detección de una amenaza. Pueden generar alertas por correo, SNMP o syslog.
2.6 Dominios administrativos (ADOMs)
Los ADOMs permiten separar dispositivos y datos en dominios lógicos, por cliente, sede o departamento, con permisos diferenciados para cada administrador.
2.7 Reenvío de logs y administración multiusuario
FortiAnalyzer puede reenviar logs a otros sistemas como un SIEM mediante syslog, y permite crear perfiles de administrador con acceso limitado, lo que facilita separar roles entre operación, seguridad y auditoría.
3. Casos prácticos del día a día
3.1 ¿Por qué no funciona una regla de firewall?
Es probablemente el caso de uso más habitual. El procedimiento típico es:
- Abrir Log View > Traffic en el dispositivo correspondiente.
- Filtrar por IP de origen, IP de destino y puerto afectado.
- Revisar el campo Action (accept, deny, close, timeout) y el Policy ID que ha procesado el tráfico.
- Si el tráfico aparece bloqueado por la política implícita de denegación (policy ID 0), es que ninguna regla ha coincidido: habrá que revisar interfaces, orden de reglas, objetos o servicios.
- Si no aparece ningún log, comprobar que la política tiene el registro de tráfico activado y que el FortiGate envía correctamente los logs al FortiAnalyzer.
3.2 Detectar tráfico inadecuado
Con FortiView y los filtros de Log View podemos identificar equipos que se conectan a países o destinos inusuales, uso de aplicaciones no permitidas (P2P, proxies, anonimizadores), picos de tráfico fuera de horario o equipos con muchas conexiones denegadas, señal típica de escaneos o malware intentando comunicarse.
3.3 Investigar un incidente
Gracias al histórico se puede reconstruir la secuencia de hechos: qué equipo recibió una conexión sospechosa, a qué destinos se conectó después y qué bloqueó el IPS o el antivirus.
3.4 Diagnóstico de VPN y SD-WAN
Los logs de eventos permiten ver cuándo se cae un túnel, qué usuario se conecta por VPN y desde dónde, o cómo se comporta la calidad de los enlaces SD-WAN a lo largo del tiempo.
3.5 Informes para dirección y auditoría
Los informes programados dan evidencias periódicas del estado de la seguridad y del uso de la red, útiles para auditorías y para justificar decisiones técnicas.
4. Lo que se añade con licencias adicionales
Las funciones básicas de logging y reporting están incluidas con la plataforma. Fortinet ofrece además servicios y licencias que amplían las capacidades. La disponibilidad exacta depende del modelo, la versión de FortiOS y FortiAnalyzer y del contrato, por lo que conviene verificarlo siempre con el partner o en la documentación oficial.
4.1 Servicio de Indicadores de Compromiso (IOC) de FortiGuard
Compara los logs de navegación y tráfico con una base de datos de indicadores de compromiso (IPs, dominios, URLs maliciosas). Permite detectar equipos potencialmente comprometidos a posteriori, incluso cuando la amenaza se conoció después de que ocurriera el tráfico.
4.2 Suscripción Fabric SOC / SOC Service
Amplía FortiAnalyzer hacia funciones de centro de operaciones de seguridad, como correlación avanzada y eventos de seguridad enriquecidos, gestión de incidentes, automatización y playbooks, paneles SOC y alertas por brotes de amenazas (outbreak alerts).
4.3 Licencias de capacidad
En las versiones virtuales y en la nube, la capacidad se licencia por volumen diario de logs (GB/día) y por número de dispositivos. Si crecemos en sedes o activamos más logging, será necesario ampliar estas licencias.
4.4 FortiAnalyzer Cloud y servicios gestionados
Existen opciones en la nube para quien no quiere gestionar infraestructura propia, así como servicios de monitorización gestionados por FortiGuard para reforzar la vigilancia con personal especializado.
4.5 Resumen comparativo
| Capacidad | Incluido de base | Con licencia adicional |
|---|---|---|
| Recolección y retención de logs | Sí | Ampliable por capacidad |
| Log View y FortiView | Sí | – |
| Informes predefinidos y personalizados | Sí | – |
| Event handlers y alertas | Sí | Eventos enriquecidos con SOC |
| ADOMs y administración por roles | Sí | – |
| Detección por indicadores de compromiso | No | IOC de FortiGuard |
| Incidentes, playbooks y automatización SOC | Limitado | Suscripción SOC |
| Alertas de brotes de amenazas | No | Suscripción SOC |
5. Buenas prácticas de implantación
- Dimensionar el almacenamiento según el volumen diario de logs y la retención que exige la normativa o la política interna.
- Activar el registro en las políticas del FortiGate; sin log no hay análisis. Valorar qué tráfico aceptado conviene registrar para no saturar el sistema.
- Sincronizar la hora (NTP) en todos los dispositivos para que las correlaciones sean fiables.
- Usar ADOMs y roles para separar responsabilidades.
- Programar informes periódicos y revisarlos de verdad.
- Afinar los event handlers para evitar el ruido de alertas que acaba ignorándose.
- Hacer copias de seguridad de la configuración y valorar el reenvío a un SIEM si existe.
- Mantener actualizado el firmware, respetando la compatibilidad con la versión de los FortiGate.
6. Conclusión
FortiAnalyzer es mucho más que un almacén de logs: es la herramienta que nos permite entender lo que ocurre en la red, diagnosticar problemas de políticas en minutos, detectar comportamientos sospechosos y demostrar el estado de la seguridad con informes claros.
De base ofrece ya una visibilidad muy potente, y con licencias adicionales como IOC o la suscripción SOC se transforma en una plataforma de detección y respuesta mucho más proactiva. La clave está en dimensionarlo bien, mantenerlo configurado correctamente y usarlo a diario.
En próximas entradas profundizaremos en casos concretos: filtros avanzados en Log View, creación de informes personalizados, configuración de event handlers y uso de playbooks.
