你还可以查看有关许可证使用情况的信息。有三种类型的许可证座席。工作站覆盖了大多数终端用户。服务器许可证适用于服务器上安装的任何采集器，包括所有Linux版本。在右侧，你可以看到正在使用的许可证席位以及用于工作站和服务器的剩余许可证席位的可视化表示。loT设备包括连接到网络的所有非工作站设备，如打印机、智能手机或媒体播放器。
FortiEDR提供了三种不同的许可证类型。发现和保护包括资产发现、攻击面减少、USB设备控制，以及基于内核的NGAV和web过滤。保护和响应还提供了基于内核的NGAV和web过滤，以及使用剧本的自动事件响应，以及删除文件、终止恶意进程、逆转持久更改、通知用户、隔离应用程序和设备以及打开罚单等功能。发现、保护和响应是其他两种许可证类型的组合。所有许可证类型都有附加功能。欲了解更多详情，请联系Fortinet销售。
当你更新或延长你的许可证时，你将得到一个新的许可证字符串。要更新管理控制台，请单击Update License并将字符串粘贴到窗口中。
具有Admin权限的用户可以在管理控制台的任何位置查看和编辑信息。本地管理员只存在于多租户环境中。具有Local Admin权限的用户与Admin用户具有相同的权限，但仅限在该用户所在的组织内。所有其他组织对他们来说都是隐藏的。你将在后面的小节中了解有关多租户的更多信息。
通过API访问管理控制台需要具备rest API权限。Rest API用户通常也具有用户或管理权限。
有三种方法可以创建管理控制台用户。第一个是手动的，在LOCAL USERS下面。通过管理控制台分别创建和管理这些用户。你也可以使用LDAP认证方式对用户进行认证，并根据已有的LDAP用户进行权限分配。请注意，LDAP需要一个能够访问LDAP服务器的本地核心。最后，你可以连接到第三方身份提供者，使用SAML身份验证对用户进行身份验证。
单击用户列表中的“重置密码”，重置该用户的token或密码。如果使用LDAP身份验证，请打开LDAP 认证面板，选择“所有LDAP登录都需要双因子身份验证”。
设置好双因子身份验证之后，下次登录时将与往常一样。你将输入你的姓名和密码，以及组织名称(如果适用的话)，然后登录。每7天输入一次新令牌。当你看到右边的身份验证屏幕时，重复步骤4，你就可以为下周进行设置了。
如果在一个控制台上托管多个组织，那么多租户还允许来自单个组织的管理员访问他们自己的控制台。以前，客户机管理员无法在此场景中访问自己的警报，因为他们的警报不能与其他客户的警报分离。现在，你可以让管理员登录并只查看自己组织的数据。
本地管理员可以查看和管理分配给自己组织的系统组件、事件和策略，以及自己组织的管理设置，但不能查看或执行自己组织之外的任何事情。这个角色本质上与Admin相同，只是它仅限于单个组织。
用户还可以查看和编辑单个组织数据，但不能看到或访问ADMINISTRATION选项卡。用户可以查看和修改安全事件、策略、通信控制和库存，但不能检索注册密码、编辑最终用户通知设置、创建新的控制台用户或ADMINISTRATION选项卡上的任何其他功能。
在多租户环境中，注册密码是特定于组织的，因此它们也是组织设置的一部分。根据需要，你可以删除组织。请注意，在不删除分配给它的所有收集器(从系统中删除它们或将它们移动到另一个组织)的情况下，不能删除一个组织。你还可以使用迁移工具从另一个环境中导入组织。
在创建新组织或编辑现有组织时，将看到ORGANIZATION DETAILS对话框。只有主机管理员可以分配和编辑组织详细信息。首先，你将看到组织的名称。你将使用该名称在安装期间将收集器分配到组织，并将现有收集器移动到组织。具有本地管理员和用户权限的用户也将使用组织名称登录管理控制台。请记住，当你登录到控制台时，组织名称是区分大小写的，因此请确保所有用户都确切地知道这里是如何输入他们的组织的。组织在后台也被分配一个唯一的ID，因此如果需要，你可以更改名称，而不会影响分配给组织的收集器。
注册密码是特定于组织的，它允许组织验证收集器安装和卸载。这使得恶意软件更难禁用或删除收集器，还可以防止用户意外卸载收集器。
第一步是从旧环境中导出组织。单击组织所在行的迁移按钮。打开MIGRATE ORGANIZATION对话框。键入要在新环境中使用的名称。你必须选择一个目标环境中不存在的名称。然后单击Export按钮。FortiEDR生成一个包含组织所有数据和目标的zip文件。根据组织的大小，这可能需要几分钟的时间。生成文件后，单击“下载”，将文件保存到本地。
接下来，必须将组织导入目标环境。在一个新的浏览器选项卡或窗口中，登录到目标管理控制台，并浏览到ADMINISTRATION选项卡的ORGANIZATIONS窗格。单击Import Organization按钮，浏览到前面下载的zip文件，然后单击Import。导入过程可能需要几分钟才能完成。一旦完成，一个Import代码就会出现在进度条下的对话框中。复制代码。接下来，返回到源管理控制台。粘贴MIGRATE ORGANIZATION对话框步骤中的导入代码。如果你先前关闭了对话框或管理控制台，则可以通过单击组织行中的“继续迁移”按钮返回到此步骤。输入代码后，单击Next继续。
最后一步是迁移收集器。在MIGRATE ORGANIZATION对话框中，输入目标环境的聚合器地址和端口。然后，单击转移按钮，等待转移过程完成。
每个收集器组旁边的数字表示你在当前视图中可以看到的收集器数量以及组中收集器的总数。例如，如果你将筛选器设置为只显示禁用的收集器，那么你可能只看到组中10个收集器中的一个。
单击“创建收集器组”，可以创建收集器组。然后，为你想要移动的每个收集器选择复选框，单击move to Group，并选择你新创建的组。
要卸载收集器，可以从管理控制台的INVENTORY选项卡远程执行此操作。只有连接设备后，才能远程卸载设备。你也可以手动将收集器从设备上卸载。手动卸载采集器需要注册密码。你已经在上一课中学习了注册密码。你可以从ADMINISTRATION选项卡的TOOLS面板检索它。
删除收集器将使收集器从管理控制台中移除。即使在断开连接的情况下，也可以删除收集器。然而，如果你删除收集器而没有卸载，如果设备再次连接到你的网络，它将重新出现在你的库存选项卡。
● Running意味着毫无问题地工作。
● 如果内核暂时不可访问，收集器就会自己强制执行策略，并且它的状态显示为Running (Autonomously)。
● Disconnected意味着设备没有连接到聚合器，通常是因为它关机了。
● 如果收集器超过30天没有连接到系统，FortiEDR将自动释放其许可证席位。收集器没有从系统中移除。
● 在少数罕见的情况下，通常与杀毒软件的兼容性问题有关，你必须重新启动FortiEDR收集器。在这些情况下，收集器直到重新启动后才加载，你将看到状态列出为Pending Reboot。
● 如果收集器是Disabled，则可能从管理控制台禁用了它。对于故障排除，这可能偶尔是必要的。
● Degraded表示有一个问题正在阻止收集器满负荷运行。这应该进行调查，以确定问题的来源。
在上图显示的示例中，单击“更新收集器”以打开“更新收集器组”窗口。默认收集器组组，目前运行的Windows版本2.7.3 Rev 159，显示在示例中。选择了Windows复选框，在下拉列表中选择了版本5.0.2 Rev 261。单击“更新”开始更新所选组。
FortiEDR自带高安全收集器组，不能删除。此组用于临时隔离受感染的收集器。Fortinet建议对这个组应用严格的策略，并确保这些策略始终处于预防模式。
隔离模式还旨在防止感染从受影响的设备传播。该模式下的收集器在通信控制中被分配到一个特殊的隔离策略，默认情况下，该策略将自动阻止所有应用程序通信。如果需要，你可以配置特定的应用程序，如安全性或补救工具，以允许在隔离时进行通信。根据设计，允许在一个孤立的设备上使用ICMP和传入RDP连接，以帮助IT部门确定机器是否启动并物理连接到网络上。隔离模式以及收集器执行的任何通信控制拒绝只对新的网络会话生效。
每个核心显示的信息是IP地址，无论是云还是本地部署，版本，以及核心是在运行还是断开连接。
点击功能栏中的核心配置为只支持核心，JumpBox，或者两者都支持：
● Core only：提供基本的核心功能，如事件处理、通信控制处理和等等。
● JumpBox：允许核心连接到LDAP、FortiAnalyzer等。
● Both：同时启用核心和JumpBox功能。
根据由核心处理的事件的数量，可能适合为核心和JumpBox功能有专门的核心。
每个聚合器显示的信息包括：IP地址、已连接的采集器数量、版本、聚合器是否正在运行或已断开。
单击REPOSITORIES查看所有已安装的存储库。每个存储库显示的信息包括IP地址、存储库是否处于运行状态或连接状态。
发现的设备在loT devices下的INVENTORY选项卡中列出。对于每个设备，你可以看到设备名称、类别(媒体设备、移动设备等)、型号、内部IP地址、MAC地址、位置以及设备出现的第一个和最后一个日期。如果一个设备是在过去三天内发现的，那么它将被标记为New，这样你就可以快速识别可能需要审查的新设备。上周未出现的设备被标记为过期。
你可以在“物联网设备发现”中配置设备扫描，并根据设备类型进行自动分组。如果不选择此选项，则所有设备进入默认组。你还可以根据需要创建新的组和移动设备。
首次安装配置集中管理时，需要定义认证密码。使用该密码对网络中的其他组件进行身份验证。在你的FortiEDR网络中注册的每个收集器都必须在安装期间提供身份验证密码。密码输入错误，会导致收集器不注册，设备不受保护。关闭或卸载收集器还需要提供设备注册密码。你可以在TOOLS下的ADMINISTRATION选项卡中找到这个密码。在COMPONENT AUTHENTICATION部分，单击Display查看注册密码。请记住，注册密码区分大小写。你可以复制密码并粘贴到你需要的任何其他窗口。
你可以启用系统托盘图标，显示“collector-protection on”、“protection off”、“降级”或“隔离”模式的当前状态。这些图标可能有助于排除故障。
你还可以向用户显示当进程被FortiEDR安全策略阻止时出现的弹出通知。你可以自定义通知中显示的文本。例如，一些客户可能会选择包含有关如何联系帮助台的信息。
如果你正在运行一个多租户环境，请注意，用户通知是为每个组织配置的。
为了遵守GDPR，如果用户要求删除他们的数据，个人数据将不会被保留记录，包括删除记录。因此，如果管理员删除用户的数据，审计跟踪将不保留该操作的记录。
管理系统事件非常容易。它们通过任何配置的电子邮件或syslog输出触发实时通知，或者你可以将事件导出到Excel或PDF文件。
配置SMTP设置后，单击左侧列表中的“分发列表”配置邮件分发列表。你的FortiEDR安装预先配置了一个所有收件人列表。你无法为该列表配置通知，因此需要通过单击create list按钮创建一个新列表。突出显示新列表后，检查右侧的NOTIFICATIONS区域。确保系统事件已启用。你可以选择包括安全事件（违反FortiEDR安全策略的事件）或者将安全事件设置为禁用(如果您不想将它们发送到此列表)。你将在后面的一节课中了解更多关于安全事件通知的知识。
设置好列表后，单击“添加收件人”并输入第一个收件人的姓、名和电子邮件。新收件人被添加到“所有收件人”列表中。选中要包括在列表中的收件人旁边的复选框，然后单击“分配到列表”将其添加到自定义列表中。
还可以将事件发送到事件管理工具，如Jira或ServiceNow。你需要配置系统名称和电子邮件地址，所有事件都将被发送到Open Ticket部分中的电子邮件地址。该功能自动打开一个票据，并将相关事件附加到它。你必须在事件管理工具上配置电子邮件提要，才能使此功能发挥作用。你可以在FortiEDR安装和管理指南中找到配置示例。
1436
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
