Come Esportare i Log del Firewall da Palo Alto e FortiGate

Il modo affidabile per ottenere i log di Palo Alto o FortiGate in un file che puoi analizzare è syslog. Invia i log del firewall a un piccolo collector Linux in esecuzione con rsyslog ed esporta il file del collector. Per la cronologia già presente sul dispositivo, FortiGate può scaricare i log grezzi dalla sua GUI. Su PAN-OS, la fonte pratica della cronologia è solitamente Panorama, Strata Logging Service o il tuo SIEM.

I firewall vedono ogni connessione in ingresso e in uscita, e ora sono un obiettivo a sé stante. I loro log rispondono a “dove ha comunicato quell’host?” e “chi ha effettuato l’accesso al firewall alle 3 del mattino?” Prime Core ha 2093 regole di rilevamento per i log dei firewall, mappate su 554 tecniche MITRE ATT&CK. Tra queste: comando e controllo su protocolli comuni (T1071), esfiltrazione su canali alternativi (T1048) e scansione di rete (T1046).

Inizia gratuitamente

Prima di iniziare

Controlla cosa viene effettivamente registrato. I firewall registrano solo ciò che le loro regole stabiliscono e i valori predefiniti sono più limitati di quanto si pensi.

• Su PAN-OS, le regole predefinite intrazone-default e interzone-default non registrano per impostazione predefinita. Il traffico negato che le attraversa non lascia traccia a meno che qualcuno non le ha sovrascritte per registrare.
• Su FortiGate, la registrazione è impostata per policy (solo eventi di sicurezza o tutte le sessioni). La registrazione del traffico che colpisce la politica di negazione implicita è disattivata per impostazione predefinita.

Controlla dove vive la cronologia. Lo storage on-box è limitato e ruota. I modelli FortiGate più piccoli senza disco registrano nella memoria, che un riavvio cancella. Se utilizzi Panorama, Strata Logging Service, FortiAnalyzer o FortiCloud, quasi certamente mantengono più cronologia rispetto al firewall. Inizia da lì.

Non dimenticare i log propri del firewall. Gli accessi amministrativi e i cambiamenti di configurazione (log di sistema e di configurazione su PAN-OS, log degli eventi su FortiGate) sono importanti quanto il traffico, ora che i dispositivi edge sono un punto di ingresso preferito.

Percorso A: Invia syslog a un collector

Questo cattura gli eventi da ora in poi, ed è la configurazione che vuoi avere prima del prossimo incidente.

Sul collector Linux, crea /etc/rsyslog.d/10-firewall.conf:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Poi riavvia rsyslog, e controlla che ascolti con ss -ulpn | grep 514. Apri la porta UDP 514 dall’interfaccia di gestione o di registrazione del firewall al collector, e nient’altro.

Su PAN-OS:

1. Dispositivo → Profili Server → Syslog: aggiungi il collector, UDP, porta 514.
2. Oggetti → Inoltro Log: crea un profilo che invia i log di Traffico e Minacce a quel profilo syslog.
3. Collega il profilo alle tue regole di sicurezza. Separatamente, inoltra i log di Sistema e Configurazione in Dispositivo → Impostazioni Log.
4. Conferma.

Su FortiGate (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

Il formato predefinito registra coppie chiave=valore. Quando hai bisogno di una porzione per l’analisi, estraila dal file del collector:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

Il modo in cui appaiono le date dipende dal formato del vendor, quindi adatta il pattern per corrispondere.

Percorso B: Preleva la cronologia dal dispositivo

FortiGate: in Log & Report, apri la vista del log necessaria (Traffico Inoltrato, Eventi di Sicurezza, Eventi di Sistema), filtra l’intervallo di tempo e scarica il log grezzo, un file di testo di linee chiave=valore.

Come scaricare i log dalla GUI di FortiGate

1. Accedi alla Web UI di FortiGate. [1]
2. Vai a Log & Report nel menu di navigazione a sinistra. [1]
3. Seleziona la categoria di log desiderata (es. Log di Traffico > Traffico Inoltrato or Eventi di Sistema). [1, 2]
4. Imposta i filtri di tempo o seleziona righe di log specifiche (tieni premuto Ctrl per selezionare più righe). [1, 2]
5. Clicca sull’icona Scarica (or Scarica Log Grezzo). [1, 2]
6. Scegli il tuo formato (Testo, CSV, o JSON, a seconda della tua versione di FortiOS) o seleziona Scarica e combina per grandi set di log (v7.6+). [1]

Nota: I download diretti dalla GUI hanno un limite rigido (tipicamente 400.000 voci di log sul dispositivo, o 2.000–40.000 tramite FortiGate Cloud). Per backup più grandi, usa il comando CLI execute backup disk/memory alllogs ftp/tftp. [1, 2]

Cosa cercare

Carica, sanitizza e rivedi in LogTotal

1. Carica. Apri logtotal.com e inserisci il file.
2. Sanitizza. Guardalo prima di continuare.
3. Rivedi. 

Quando va storto