Palo Alto と FortiGate からファイアウォールログをエクスポートする方法

Palo AltoやFortiGateのログを分析可能なファイルに取り込む堅実な方法は、syslogです。ファイアウォールのログをrsyslogが稼働する小規模なLinuxコレクタに転送し、コレクタのファイルをエクスポートします。FortiGateは、内部に既に存在する履歴については、そのGUIから生のログをダウンロードできます。PAN-OSにおける履歴の実用的なソースは通常、Panorama、Strata Logging Service、またはSIEMです。

ファイアウォールは、すべての接続を監視し、それ自体が標的になっています。ログは、「そのホストはどこに通信したのか？」や「午前3時に誰がファイアウォールにログインしたか？」を答えます。Prime Coreには、ファイアウォールログ向けに2093の検出ルールがあり、554のMITRE ATT&CKテクニックにマッピングされています。中には、一般的なプロトコルを介したコマンド＆コントロール（T1071）、代替チャネルを利用したデータ漏洩（T1048）、およびネットワークスキャン（T1046）があります。

無料で始める

開始する前に

実際にログされている内容を確認してください。 ファイアウォールはそのルールで指示されたものだけをログに記録し、デフォルト設定は思ったほど詳細ではありません。

• PAN-OSでは、プリデファインのintrazone-defaultとinterzone-defaultルールがデフォルトではログを記録しません。これを通過する拒否されたトラフィックは、誰かがログを記録するように上書きしない限り、痕跡を残しません。
• FortiGateでは、ログはポリシー（セキュリティイベントのみ、またはすべてのセッション）ごとに設定されます。暗黙的許可拒否ポリシーにヒットするトラフィックのログ記録はデフォルトで無効です。

履歴がどのように保存されているかを確認しましょう。 オンボックスストレージは限られており、ロールオーバーします。ディスクを持たない小型のFortiGateモデルはメモリにログを記録しますが、これは再起動時に消去されます。Panorama、Strata Logging Service、FortiAnalyzer、またはFortiCloudを利用している場合、通常、ファイアウォールよりも多くの履歴を保持します。まずそこから始めましょう。

ファイアウォール自体のログを忘れないでください。 管理アクセスのログインや設定変更（PAN-OSではシステムと設定ログ、FortiGateではイベントログ）は、トラフィックと同様に重要です。今やエッジデバイスは好ましい侵入口です。

ルートA: コレクタへのsyslog転送

これにより、以後のイベントがキャプチャされ、次のインシデントの前に設定しておきたいものです。

Linuxコレクタで、/etc/rsyslog.d/10-firewall.confを作成します：

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

それからrsyslogを再起動し、ss -ulpn | grep 514でリスニングを確認します。ファイアウォールの管理またはログインターフェースからコレクタへのUDP 514を開き、それ以外は何も開かないでください。

PAN-OSで:

1. デバイス → サーバープロファイル → Syslog：コレクタ、UDP、ポート514を追加します。
2. オブジェクト → ログ転送：そのsyslogプロファイルにトラフィックおよび脅威のログを送信するプロファイルを作成します。
3. プロファイルをセキュリティルールに添付します。別途、システムおよび設定ログを デバイス → ログ設定.
4. で転送します。

FortiGateで （CLI）：

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

デフォルトフォーマットはkey=valueのペアを書き込みます。解析用にスライスが必要な場合は、コレクタのファイルからカットします：

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

日付の表示形式はベンダーフォーマットによりますので、パターンを調整してください。

ルートB: デバイスから履歴を取得

FortiGate: in ログ＆レポートで必要なログビューを開きます（転送トラフィック、セキュリティイベント、システムイベント）、時間範囲をフィルタリングし、key=value形式の生ログ（テキストファイル）をダウンロードします。

FortiGate GUIからログをダウンロードする方法

1. FortiGateのWeb UIにログインします。[1]
2. 左ナビゲーションメニューで ログ＆レポート を開きます。[1]
3. 希望するログカテゴリを選択します（例、 トラフィックログ > 転送トラフィック or システムイベント）。[1, 2]
4. 時間フィルタを設定するか、特定のログ行を選択します（Ctrlキーを押しながら複数の行を選択）。[1, 2]
5. をクリックして ダウンロード (or 生ログをダウンロードアイコンをクリックします。[1, 2]
6. フォーマットを選択します（テキスト, CSV、または JSON、FortiOSバージョンに応じて）または ダウンロードと組み合わせ て大きなログセット用（v7.6+）。[1]

注意： 直接GUIからダウンロード可能なログ数には制限があります（通常、デバイスで最大400,000ログエントリ、またはFortiGate Cloudでは2,000〜40,000エントリ）。より大きなバックアップには、CLIコマンド execute backup disk/memory alllogs ftp/tftpを使用してください。[1, 2]

何に注視すべきか

ログをアップロード、サニタイズ、レビューをLogTotalで

1. アップロード。 開く logtotal.com にファイルをドロップします。 
2. サニタイズ。 続行前に内容を確認します。
3. レビュー。 

問題が発生した場合