Como Exportar Logs de Firewall do Palo Alto e FortiGate

A maneira confiável de obter logs de Palo Alto ou FortiGate em um arquivo que você possa analisar é o syslog. Direcione os logs do firewall para um pequeno coletor Linux executando rsyslog e exporte o arquivo do coletor. Para o histórico que já está no aparelho, o FortiGate pode baixar logs brutos de sua GUI. No PAN-OS, a fonte prática de histórico é geralmente o Panorama, Strata Logging Service ou seu SIEM.

Firewalls veem todas as conexões de entrada e saída, e agora são um alvo por si próprios. Seus logs respondem “para onde aquele host falou?” e “quem fez login no firewall às 3 da manhã?” Prime Core possui 2093 regras de detecção para logs de firewall, mapeadas para 554 técnicas MITRE ATT&CK. Entre elas: comando e controle sobre protocolos comuns (T1071), exfiltração por canais alternativos (T1048) e varredura de rede (T1046).

Comece Gratuitamente

Antes de começar

Verifique o que está realmente sendo registrado. Os firewalls registram apenas o que suas regras determinam, e os padrões são mais limitados do que as pessoas assumem.

• No PAN-OS, as regras predefinidas intrazone-default e interzone-default não registram por padrão. O tráfego negado que passa por elas não deixa rastros a menos que alguém tenha alterado para registrar.
• No FortiGate, o registro é configurado por política (apenas eventos de segurança ou todas as sessões). O registro do tráfego atingindo a política de negação implícita está desativado por padrão.

Verifique onde o histórico está armazenado. O armazenamento no aparelho é limitado e se renova. Modelos menores de FortiGate sem disco registram na memória, que é apagada após uma reinicialização. Se você usar Panorama, Strata Logging Service, FortiAnalyzer ou FortiCloud, eles provavelmente mantêm mais histórico do que o firewall. Comece por aí.

Não esqueça dos próprios logs do firewall. Logins de administrador e alterações de configuração (logs de Sistema e Config no PAN-OS, logs de eventos no FortiGate) são tão importantes quanto o tráfego, agora que dispositivos de borda são uma entrada favorita.

Rota A: Direcione syslog para um coletor

Isso captura eventos a partir de agora, e é a configuração que você quer ter em vigor antes do próximo incidente.

No coletor Linux, crie /etc/rsyslog.d/10-firewall.conf:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Em seguida, reinicie o rsyslog e verifique se ele está ouvindo com ss -ulpn | grep 514. Abra UDP 514 da interface de gerenciamento ou registro do firewall para o coletor, e nada mais.

No PAN-OS:

1. Dispositivo → Perfis de Servidor → Syslog: adicione o coletor, UDP, porta 514.
2. Objetos → Encaminhamento de Log: crie um perfil que envia logs de Tráfego e Ameaça para esse perfil syslog.
3. Anexe o perfil às suas regras de segurança. Separadamente, encaminhe logs de Sistema e Configuração em Dispositivo → Configurações de Log.
4. Confirme.

No FortiGate (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

O formato padrão grava pares de chave=valor. Quando você precisa de uma parte para análise, corte-a do arquivo do coletor:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

Como as datas aparecem depende do formato do fornecedor, então ajuste o padrão para corresponder.

Rota B: Puxe o histórico do dispositivo

FortiGate: in Log & Relatório, abra a visão de log que você precisa (Tráfego Encaminhado, Eventos de Segurança, Eventos de Sistema), filtre o intervalo de tempo e baixe o log bruto, um arquivo de texto de linhas chave=valor.

Como Baixar Logs da GUI do FortiGate

1. Faça login na interface web do FortiGate. [1]
2. Vá para Log & Relatório no menu de navegação à esquerda. [1]
3. Selecione a categoria de log desejada (por exemplo, Log de Tráfego > Tráfego Encaminhado or Eventos de Sistema). [1, 2]
4. Defina seus filtros de tempo ou selecione linhas de log específicas (mantenha Ctrl pressionado para selecionar várias linhas). [1, 2]
5. Clique no ícone Baixar (or Baixar Log Bruto). [1, 2]
6. Escolha seu formato (Texto, CSV, ou JSON, dependendo da sua versão do FortiOS) ou selecione Baixar e combinar para grandes conjuntos de logs (v7.6+). [1]

Nota: Os downloads diretos da GUI têm um limite rígido (tipicamente 400.000 entradas de log no dispositivo, ou 2.000–40.000 via FortiGate Cloud). Para backups maiores, use o comando CLI execute backup disk/memory alllogs ftp/tftp. [1, 2]

O que procurar

Faça o upload, desinfecte e revise no LogTotal

1. Carregar. Abrir logtotal.com e solte o arquivo.
2. Desinfectar. Revise antes de continuar.
3. Revisar. 

Quando algo dá errado