So exportiert man Firewall-Protokolle von Palo Alto und FortiGate

Der zuverlässige Weg, Palo Alto- oder FortiGate-Logs in eine analysierbare Datei zu bekommen, ist Syslog. Leiten Sie die Logs der Firewall zu einem kleinen Linux-Collector weiter, der rsyslog ausführt, und exportieren Sie die Datei des Collectors. Für bereits vorhandene Verlaufsdaten auf dem Gerät kann FortiGate Rohdaten-Logs über das GUI herunterladen. Auf PAN-OS ist die praktische Quelle für Verlauf normalerweise Panorama, Strata Logging Service oder Ihr SIEM.

Firewalls sehen jede Verbindung hinein und hinaus und sind nun selbst ein Ziel. Ihre Logs beantworten die Fragen: „Mit welchem Host hat das Gerät kommuniziert?“ und „Wer hat sich um 3 Uhr morgens in die Firewall eingeloggt?“ Prime Core hat 2093 Erkennungsregeln für Firewall-Logs, zugeordnet zu 554 MITRE ATT&CK-Techniken. Darunter: Command-and-Control über gängige Protokolle (T1071), Exfiltration über alternative Kanäle (T1048) und Netzwerkscans (T1046).

Kostenlos anfangen

Bevor Sie beginnen

Überprüfen Sie, was tatsächlich geloggt wird. Firewalls loggen nur, was ihre Regeln ihnen vorgibt, und die Standards sind dünner, als man annimmt.

• Auf PAN-OS protokollieren die vordefinierten intrazone-default und interzone-default Regeln standardmäßig nicht. Abgelehnter Verkehr, der auf sie fällt, hinterlässt keine Spur, es sei denn, jemand hat sie zum Protokollieren übersteuert.
• Auf FortiGate wird das Logging pro Richtlinie festgelegt (nur Sicherheitsereignisse oder alle Sitzungen). Das Logging des Verkehrs, der die implizite Verweigerungsrichtlinie trifft, ist standardmäßig deaktiviert.

Überprüfen Sie, wo der Verlauf gespeichert ist. Die Speicherung auf dem Gerät ist begrenzt und rotiert. Kleinere FortiGate-Modelle ohne Festplatte loggen in den Speicher, der bei einem Neustart gelöscht wird. Wenn Sie Panorama, Strata Logging Service, FortiAnalyzer oder FortiCloud verwenden, haben diese fast sicher mehr Verlauf als die Firewall. Beginnen Sie dort.

Vergessen Sie nicht die eigenen Logs der Firewall. Admin-Logins und Konfigurationsänderungen (System- und Konfigurationslogs auf PAN-OS, Ereignisprotokolle auf FortiGate) sind genauso wichtig wie der Verkehr, da Edge-Geräte nun ein bevorzugter Einstiegspunkt sind.

Route A: Weiterleitung von Syslog an einen Collector

Dies erfasst ab sofort Ereignisse und ist die Einrichtung, die Sie vor dem nächsten Vorfall haben möchten.

Auf dem Linux-Collector, erstellen Sie /etc/rsyslog.d/10-firewall.conf:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Starten Sie dann rsyslog neu und überprüfen Sie mit ss -ulpn | grep 514, dass es zuhört. Öffnen Sie UDP 514 von der Verwaltungs- oder Protokollierungsschnittstelle der Firewall zum Collector und nichts anderes.

Auf PAN-OS:

1. Gerät → Serverprofile → Syslog: Fügen Sie den Collector hinzu, UDP, Port 514.
2. Objekte → Logweiterleitung: Erstellen Sie ein Profil, das Verkehrs- und Bedrohungsprotokolle an dieses Syslog-Profil sendet.
3. Das Profil an Ihre Sicherheitsregeln anhängen. Separat System- und Konfigurationsprotokolle weiterleiten unter Gerät → Protokolleinstellungen.
4. Übernehmen.

Auf FortiGate (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

Das Standardformat schreibt Schlüssel=Wert-Paare. Wenn Sie einen Ausschnitt für die Analyse benötigen, schneiden Sie ihn aus der Datei des Collectors:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

Wie Daten aussehen, hängt vom Herstellerformat ab. Passen Sie das Muster entsprechend an.

Route B: Verlauf vom Gerät abrufen

FortiGate: in Log & Report, öffnen Sie die gewünschte Protokollansicht (Weitergeleiteter Verkehr, Sicherheitsereignisse, Systemereignisse), filtern Sie den Zeitraum und laden Sie das Rohprotokoll herunter, eine Textdatei mit Schlüssel=Wert-Zeilen.

So laden Sie Protokolle von der FortiGate-GUI herunter

1. Melden Sie sich im FortiGate-Web-UI an. [1]
2. Gehe zu Log & Report im linken Navigationsmenü. [1]
3. Wählen Sie die gewünschte Protokollkategorie (z.B. Verkehrsprotokoll > Weitergeleiteter Verkehr or Systemereignisse). [1, 2]
4. Setzen Sie Ihre Zeitfilter oder wählen Sie bestimmte Protokollzeilen aus (halten Sie Strg gedrückt, um mehrere Zeilen auszuwählen). [1, 2]
5. Klicken Sie auf das Herunterladen (or Rohes Protokoll herunterladen) Symbol. [1, 2]
6. Wählen Sie Ihr Format (Text, CSV, oder JSON, abhängig von Ihrer FortiOS-Version) oder wählen Sie Herunterladen und kombinieren für große Protokollsätze (v7.6+). [1]

Hinweis: Direkte GUI-Downloads haben eine harte Obergrenze (typischerweise 400.000 Protokolleinträge auf dem Gerät oder 2.000–40.000 über FortiGate Cloud). Für größere Backups verwenden Sie den CLI-Befehl execute backup disk/memory alllogs ftp/tftp. [1, 2]

Worauf zu achten ist

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffne logtotal.com und ziehen Sie die Datei hinein.
2. Bereinigen. Überprüfen Sie es, bevor Sie fortfahren.
3. Überprüfen. 

Wenn es schiefgeht