Cómo Exportar Registros de Cortafuegos de Palo Alto y FortiGate

La manera confiable de obtener los registros de Palo Alto o FortiGate en un archivo que pueda analizar es syslog. Reenvíe los registros del firewall a un colector Linux pequeño que ejecute rsyslog, y exporte el archivo del colector. Para el historial que ya está en la caja, FortiGate puede descargar registros sin procesar desde su GUI. En PAN-OS, la fuente práctica de historial suele ser Panorama, Strata Logging Service o su SIEM.

Los firewalls ven cada conexión dentro y fuera, y ahora son un objetivo por derecho propio. Sus registros responden a “¿con quién habló ese host?” y “¿quién inició sesión en el firewall a las 3 a.m.?” Prime Core tiene 2093 reglas de detección para registros de firewall, mapeadas a 554 técnicas de MITRE ATT&CK. Entre ellas: comando y control sobre protocolos comunes (T1071), exfiltración sobre canales alternativos (T1048) y escaneo de red (T1046).

Comienza gratis

Antes de comenzar

Verificar qué se está registrando realmente. Los firewalls registran solo lo que sus reglas les indican, y los valores predeterminados son más limitados de lo que la gente supone.

• En PAN-OS, las reglas predeterminadas intrazone-default y interzone-default no registran por defecto. El tráfico denegado que pasa a ellas no deja rastro a menos que alguien las haya sobrescrito para registrar.
• En FortiGate, el registro se establece por política (solo eventos de seguridad, o todas las sesiones). El registro del tráfico que llega a la política de negación implícita está desactivado por defecto.

Comprueba dónde vive el historial. El almacenamiento en la caja es limitado y se sobrescribe. Los modelos más pequeños de FortiGate sin disco registran en memoria, la cual se borra con un reinicio. Si ejecuta Panorama, Strata Logging Service, FortiAnalyzer o FortiCloud, casi con seguridad tienen más historial que el firewall. Empieza allí.

No olvides los registros propios del firewall. Las conexiones de administrador y los cambios de configuración (registros del sistema y de configuración en PAN-OS, registros de eventos en FortiGate) son tan importantes como el tráfico, ahora que los dispositivos de frontera son un punto de entrada favorito.

Ruta A: Reenvía syslog a un colector

Esto captura eventos de ahora en adelante, y es la configuración que deseas tener antes del próximo incidente.

En el colector Linux, crea /etc/rsyslog.d/10-firewall.conf:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Luego reinicie rsyslog y verifique que escuche con ss -ulpn | grep 514. Abra UDP 514 desde la interfaz de gestión o de registro del firewall al colector, y nada más.

En PAN-OS:

1. Dispositivo → Perfiles de Servidor → Syslog: añade el colector, UDP, puerto 514.
2. Objeto → Reenvío de Registro: crea un perfil que envíe registros de Tráfico y Amenaza a ese perfil syslog.
3. Adjunta el perfil a tus reglas de seguridad. Separadamente, reenvía registros del Sistema y Configuración bajo Dispositivo → Configuración de Registro.
4. Commit.

En FortiGate (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

El formato predeterminado escribe pares clave=valor. Cuando necesites un subconjunto para análisis, cópialo del archivo del colector:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

El formato de las fechas depende del formato del proveedor, así que ajusta el patrón para que coincida.

Ruta B: Extrae historial del dispositivo

FortiGate: in Registro & Informe, abre la vista de registro que necesitas (Tráfico Reenviado, Eventos de Seguridad, Eventos del Sistema), filtra el rango de tiempo y descarga el registro sin procesar, un archivo de texto de líneas clave=valor.

Cómo Descargar Registros desde la GUI de FortiGate

1. Inicia sesión en la Interfaz Web de FortiGate. [1]
2. Ve a Registro & Informe en el menú de navegación de la izquierda. [1]
3. Selecciona la categoría de registro deseada (por ejemplo, Registro de Tráfico > Tráfico Reenviado or Eventos del Sistema). [1, 2]
4. Configura tus filtros de tiempo o selecciona filas de registro específicas (mantén Ctrl para seleccionar múltiples filas). [1, 2]
5. Haz clic en el Descargar (or Descargar Registro Sin Procesar) icono. [1, 2]
6. Elige tu formato (Texto, CSV, o JSON, dependiendo de tu versión de FortiOS) o selecciona Descargar y combinar para conjuntos de registros grandes (v7.6+). [1]

Nota: Las descargas directas de la GUI tienen un límite fijo (típicamente 400,000 entradas de registro en el dispositivo, o 2,000–40,000 a través de FortiGate Cloud). Para respaldos más grandes, use el comando CLI execute backup disk/memory alllogs ftp/tftp. [1, 2]

Qué buscar

Subir, sanitizar y revisar en LogTotal

1. Cargar. Abrir logtotal.com y carga el archivo. 
2. Sanitizar. Revisa antes de continuar.
3. Revisar. 

Cuando algo sale mal