إذا كانت التقارير هي الذاكرة التاريخية، فإن معالِجات الأحداث (Event Handlers) هي الجهاز العصبي اللحظي لـ FortiAnalyzer. هي التي تراقب الـ logs الواردة باستمرار، وحين تتطابق شروط معيّنة تولّد Event بدرجة خطورة محدّدة وتطلق التنبيه المناسب. هذه الطبقة هي أساس الكشف (detection) وتغذية الـ incidents في الـ SOC.

• 1الـ Event Handler هو مجموعة شروط فلترة (filter) على الـ logs الواردة؛ عند المطابقة يُنشئ Event ويُسنِد له درجة خطورة (severity).
• 2تظهر الأحداث المتولّدة في الـ Event Monitor، ومنها تتجمّع لتكوّن incidents يعمل عليها فريق الـ SOC.
• 3يمكن لكل handler إطلاق Notifications: email أو SNMP trap أو syslog أو تنفيذ action عبر connector مدمج.
• 4يأتي FortiAnalyzer بـ predefined handlers جاهزة لمصادر مثل FortiGate و FortiClient والأحداث المحليّة، إضافةً لإمكانية إنشاء custom handlers.
• 5الضبط الدقيق (tuning) للـ filters ضروري لتقليل الضجيج (noise) والـ false positives، وإلا غرق المحلّل في تنبيهات بلا قيمة.

• يتكوّن أي handler من ثلاثة أجزاء: شروط المطابقة (log type + filters)، وإعدادات التجميع (group by + count threshold ضمن نافذة زمنية)، وإعدادات المخرجات (notification + severity)؛ ضبط الـ threshold هو أقوى أداة لكبح الضجيج.
• تتغذّى الـ incidents في وحدة Incidents & Events من الأحداث المتولّدة، ويمكن ربطها بـ FortiSOAR أو playbooks للأتمتة؛ بهذا يتحوّل FortiAnalyzer من مجرّد مخزن logs إلى منصّة detection فعليّة.
• أي notification بالـ email يحتاج SMTP server معرّفاً مسبقاً في إعدادات النظام، كما أن مخرج الـ syslog يتطلّب وجهة (server) صالحة؛ تنبيه لا يصل غالباً سببه إعداد مخرج ناقص لا خطأ في الـ handler نفسه.