Comment exporter les journaux de pare-feu de Palo Alto et FortiGate

Le moyen infaillible d’obtenir les journaux de Palo Alto ou FortiGate dans un fichier que vous pouvez analyser est le syslog. Transférez les journaux du pare-feu vers un petit collecteur Linux exécutant rsyslog, et exportez le fichier du collecteur. Pour l’historique déjà sur l’appareil, FortiGate peut télécharger des journaux bruts depuis son interface graphique. Sur PAN-OS, la source pratique de l’historique est généralement Panorama, le Strata Logging Service ou votre SIEM.

Les pare-feux voient chaque connexion entrante et sortante, et ils sont maintenant une cible à part entière. Leurs journaux répondent à la question « où cet hôte a-t-il communiqué ? » et « qui s’est connecté au pare-feu à 3 h du matin ? » Prime Core a 2093 règles de détection pour les journaux de pare-feu, mappées à 554 techniques MITRE ATT&CK. Parmi elles : commande et contrôle sur des protocoles communs (T1071), exfiltration sur des canaux alternatifs (T1048) et balayage réseau (T1046).

Commencez gratuitement

Avant de commencer

Vérifiez ce qui est réellement enregistré. Les pare-feux enregistrent uniquement ce que leurs règles leur indiquent, et les paramètres par défaut sont plus limités que les gens ne le pensent.

• Sur PAN-OS, les règles prédéfinies intrazone-default et interzone-default n’enregistrent pas par défaut. Le trafic refusé qui leur échappe ne laisse aucune trace à moins que quelqu’un ne les ait remplacées pour enregistrer.
• Sur FortiGate, l’enregistrement est défini par politique (événements de sécurité uniquement, ou toutes les sessions). L’enregistrement du trafic touchant la politique de refus implicite est désactivé par défaut.

Vérifiez où se trouve l’historique. Le stockage local est limité et se renouvelle. Les modèles FortiGate plus petits sans disque enregistrent dans la mémoire, qui est effacée lors d’un redémarrage. Si vous utilisez Panorama, Strata Logging Service, FortiAnalyzer ou FortiCloud, ils détiennent presque certainement plus d’historique que le pare-feu. Commencez par là.

N’oubliez pas les propres journaux du pare-feu. Les connexions administratives et les modifications de configuration (journaux système et configuration sur PAN-OS, journaux d’événements sur FortiGate) comptent autant que le trafic, maintenant que les appareils périmétriques sont un point d’entrée privilégié.

Itinéraire A : Transférez le syslog vers un collecteur

Cela capture les événements à partir de maintenant, et c’est la configuration que vous souhaitez avoir en place avant le prochain incident.

Sur le collecteur Linux, créez /etc/rsyslog.d/10-firewall.conf :

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Puis redémarrez rsyslog, et vérifiez qu’il écoute avec ss -ulpn | grep 514. Ouvrez UDP 514 depuis l’interface de gestion ou de journalisation du pare-feu vers le collecteur, et rien d’autre.

Sur PAN-OS :

1. Appareil → Profils Serveur → Syslog : ajoutez le collecteur, UDP, port 514.
2. Objets → Transmission de Journaux : créez un profil qui envoie les journaux de Trafic et de Menace à ce profil syslog.
3. Attachez le profil à vos règles de sécurité. Séparément, transmettez les journaux Système et Configuration sous Appareil → Paramètres de Journal.
4. Validez.

Sur FortiGate (CLI) :

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

Le format par défaut écrit des paires clé=valeur. Lorsque vous avez besoin d’un extrait pour analyse, découpez-le à partir du fichier du collecteur :

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

La manière dont les dates apparaissent dépend du format du fournisseur, donc ajustez le motif pour correspondre.

Itinéraire B : Extraire l’historique de l’appareil

FortiGate : in Journal & Rapport, ouvrez la vue de journal souhaitée (Trafic Transféré, Événements de Sécurité, Événements Système), filtrez la plage de temps, et téléchargez le journal brut, un fichier texte de lignes clé=valeur.

Comment télécharger des journaux depuis l’interface graphique FortiGate

1. Connectez-vous à l’interface Web FortiGate. [1]
2. Allez à Journal & Rapport dans le menu de navigation à gauche. [1]
3. Sélectionnez la catégorie de journal souhaitée (par exemple, Journal de Trafic > Trafic Transféré or Événements Système). [1, 2]
4. Définissez vos filtres de temps ou sélectionnez des lignes de journal spécifiques (maintenez Ctrl pour sélectionner plusieurs lignes). [1, 2]
5. Cliquez sur l’icône de Téléchargement (or Télécharger le Journal Brut). [1, 2]
6. Choisissez votre format (Texte, CSV, ou JSON, selon votre version FortiOS) ou sélectionnez Télécharger et combiner pour des ensembles de journaux importants (v7.6+). [1]

Remarque : Les téléchargements directs depuis l’interface graphique ont une limite stricte (typiquement 400 000 entrées de journal sur l’appareil, ou 2 000 à 40 000 via FortiGate Cloud). Pour des sauvegardes plus importantes, utilisez la commande CLI exécutez sauvegarde disque/mémoire alllogs ftp/tftp. [1, 2]

Que rechercher

Téléverser, assainir et examiner dans LogTotal

1. Téléverser. Ouvrez logtotal.com et déposez le fichier. 
2. Assainir. Vérifiez-le avant de continuer.
3. Examiner. 

Lorsque cela tourne mal