Better reporting?

Personally,

I'm pretty happy with the reporting as it is. The internal reporting is not super detailed but it does what I need.

For 3rd party reporting the UTM has decent enough support. There's netFlow/IPFIX for monitoring traffic flows, SNMP support, and it supports exporting log files to a remote system, through file transfer or syslog.

Out of curiosity, what did ARM do that isn't available through those other facilities?

At least with the ARM you could distinguish what the user was doing at what times during the day, what the duration of time was spent on one site before moving to the next how many page clicks where performed . Not just top sites and top domain, and top user, who cares about that.  the reporting simply needs to be more in depth, i want to know in what order and what the users did exactly through out the period of the day. I have built Custom reports within the Splunk Software, of course with the help of Splunk staff. The reports provides extremely detailed reports utilizing the data from Syslong export.  essentially you could build any kind of report you want.  Its definitely not for the average user, as Splunk is extremely hard to use.   Maybe Sophos should be in contact with Splunk and they can create some custom dashboard templates that are in tune for deep forensics reporting, make them available for the users that require this kind of reporting.

We used a tool called 'sawmill' in the past (not with utm but with a symentec appliance) - maybe it's worth a look at sawmill.net - Sawmill - Universal log file analysis and reporting.

Regards
Manfred

Hi,
I don't know what Sophos' plans are, but there are some free alternatives to Splunk.

Another option is to have a syslog server insert all the logs into a database (mysql or whatever); then you can run SQL queries against them to do your own reporting. 
If you're handy with SQL, this will probably be far simpler to implement than most of the alternatives, especially since you want in-depth analysis.
You'd probably want to filter out all the .js and .ico and .css stuff to reduce the log size; syslog-ng should be able to do that before inserting into a DB.

Astaro used to use Squid, and there are a LOT of reporting tools for that; it may be possible to convert the proxy logs into a common format. There is at least one tool (Sarg, iirc) that can drill-down by user and probably time.
sarg | Free Security & Utilities software downloads at SourceForge.net
SRG (Squid Report Generator) - CRCnet Wireless Research Project

squid : Log Analysis

Again, you'd have to figure out how to convert the Astaro proxy logs into a common log format (squid or apache or w3c format). Perl is great for that kind of stuff, if you can't find a specific tool that would work... but look at
Rebex.net: RConvLog

Other Links:
enterprise-log-search-and-archive - Enterprise log search and archive (ELSA) is an industrial-strength solution for centralized log management. - Google Project Hosting
Logscape | Search Without Limits (commercial)
logstash - open source log management
https://isc.sans.edu/diary/Guest+Diary%3A+Dylan+Johnson+-+There%27s+value+in+them+there+logs!/15289
https://isc.sans.edu/diary/There+s+value+in+your+logs+Part+2+/15923
Big Data - Syslog - LogZilla - LogZilla (commerical)
Octopussy Octopussy
https://github.com/rashidkpc/Kibana
Kibana 3

I've used the Squid tools before (long ago), and rconvlog with IIS logs, but I haven't used most of the others.

Barry

BTW, Sophos has a doc on the log file formats, but afaict there's nothing there on the http proxy / web protection logs:
Astaro products: A guide to logfiles and output

Barry

Scott, I was tempted to delete your post as spam advertising, but my judgement is that this should be a welcome contribution.  I hope that Sophos doesn't decide differently. 

Then again, I'm assuming that you won't be competing with us resellers as do some that address the K-12 market in the US. 

Cheers - Bob

Sorry for any short responses.  Posted from my iPhone.

Hey Bob,

Thanks for leaving the post in. I hate to be 'that guy' posting shameless plugs, but I only put the product forward when it's appropriate to the discussion - like this one. 

Don't worry - we're looking to work with, not against, resellers like yourself! We hope to hear from you!

Cheers!
Scott

FYIs, Scott's earlier post was deleted by a moderator.

His product is FastVue. 

That's all I know; I haven't tried it.

Barry

have replied in other threads, but I'm working on an app for Splunk if anyone is interested.  I can show what I've got so far to anyone who'd like to see, just PM me.

I believe that there's a major re-do of Reporting in V10.

Cheers - Bob