Palo Alto 및 FortiGate에서 방화벽 로그 내보내는 방법

Palo Alto 또는 FortiGate 로그를 분석 가능한 파일로 가져오는 신뢰할 수 있는 방법은 syslog입니다. 방화벽의 로그를 rsyslog가 실행되는 소형 Linux 수집기로 전달한 다음 수집기의 파일을 내보내십시오. 이미 박스에 있는 이력을 위해 FortiGate는 GUI에서 원시 로그를 다운로드할 수 있습니다. PAN-OS에서는 일반적으로 Panorama, Strata Logging Service 또는 SIEM이 이력의 실질적인 출처입니다.

방화벽은 들어오고 나가는 모든 연결을 보고 있으며, 이제 그 자체로 목표물이 되었습니다. 로그는 ‘해당 호스트가 어디와 통신했는가?’와 ‘누가 새벽 3시에 방화벽에 로그인했는가?’라는 질문에 답합니다. Prime Core는 554개의 MITRE ATT&CK 기술에 매핑된 방화벽 로그에 대한 2093개의 탐지 규칙을 가지고 있습니다. 그 중 일부로는 일반 프로토콜을 통한 명령 및 제어(T1071), 대체 채널을 통한 데이터 탈취(T1048) 및 네트워크 스캐닝(T1046)이 있습니다.

무료로 시작하기

시작하기 전에

실제로 무엇이 기록되어 있는지 확인하십시오. 방화벽은 규칙이 말해주는 것만 기록하며 기본 설정은 사람들이 예상하는 것보다 적습니다.

• PAN-OS에서는 사전 정의된 intrazone-default와 interzone-default 규칙이 기본적으로 로그를 기록하지 않습니다. 이들에게 넘겨지는 거부된 트래픽은 로그 기록이 설정되지 않은 경우 아무런 흔적도 남기지 않습니다.
• FortiGate에서 로그는 정책별로 설정됩니다(보안 이벤트만 또는 모든 세션). 암묵적 거부 정책에 해당하는 트래픽의 로그 기록은 기본적으로 꺼져 있습니다.

역사가 어디에 있는지 확인하십시오. 박스 내 저장 공간은 제한되어 있으며 순환됩니다. 디스크가 없는 소형 FortiGate 모델은 메모리에 로그를 기록하며, 재부팅 시 지워집니다. Panorama, Strata Logging Service, FortiAnalyzer 또는 FortiCloud를 사용 중이라면 방화벽보다 더 많은 역사를 보유하고 있을 가능성이 높습니다. 거기서 시작하십시오.

방화벽 자체의 로그를 잊지 마세요. 이제는 에지 장치가 선호되는 진입점이 되었기 때문에, 관리자 로그인의 중요성과 구성 변경 사항(System 및 Config 로그는 PAN-OS, 이벤트 로그는 FortiGate에서)이 트래픽 못지않게 중요합니다.

경로 A: 수집기로 syslog 전달

이는 지금부터 이벤트를 캡처하며, 다음 사고 발생 전까지 준비해 두어야 할 설정입니다.

Linux 수집기에서, /etc/rsyslog.d/10-firewall.conf 파일을 만드십시오:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

그런 다음 rsyslog를 재시작하고 ss -ulpn | grep 514 명령으로 수집기가 듣고 있는지 확인하십시오. 방화벽의 관리 또는 로그 인터페이스에서 수집기로 가는 UDP 514를 열고, 다른 것은 열지 마십시오.

PAN-OS에서:

1. 디바이스 → 서버 프로필 → Syslog: 수집기, UDP, 포트 514를 추가하십시오.
2. 개체 → 로그 전달: 트래픽 및 위협 로그를 해당 syslog 프로필에 보내는 프로필을 만드십시오.
3. 보안 규칙에 프로필을 연결하십시오. 별도로 System 및 Config 로그를 디바이스 → 로그 설정.
4. 에 따라 전달하십시오.

FortiGate에서 (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

기본 형식은 key=value 쌍으로 기록합니다. 분석을 위해 조각이 필요할 때는 수집기의 파일에서 잘라내십시오:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

날짜 형식은 벤더 포맷에 따라 다르므로 패턴을 조정하십시오.

경로 B: 장치에서 이력 가져오기

FortiGate: in 로그 & 리포트, 필요한 로그 뷰를 열고(포워드 트래픽, 보안 이벤트, 시스템 이벤트), 시간 범위를 필터링하고 key=value 라인의 텍스트 파일인 원시 로그를 다운로드하십시오.

FortiGate GUI에서 로그 다운로드 방법

1. FortiGate 웹 UI에 로그인하십시오. [1]
2. 이동합니다 로그 & 리포트 왼쪽 탐색 메뉴에 있습니다. [1]
3. 원하는 로그 카테고리를 선택합니다 (예: 트래픽 로그 > 포워드 트래픽 or 시스템 이벤트). [1, 2]
4. 시간 필터를 설정하거나 특정 로그 행을 선택하십시오 (여러 행을 선택하려면 Ctrl을 누릅니다). [1, 2]
5. 클릭합니다 다운로드 (or 원시 로그 다운로드) 아이콘을 선택합니다. [1, 2]
6. 형식을 선택합니다 (텍스트, CSV, 또는 JSON, FortiOS 버전에 따라 다릅니다) 또는 대량 로그 세트(v7.6+)를 다운로드하고 통합하십시오. [1]

참고: 직접 GUI 다운로드는 하드 캡이 있습니다(일반적으로 장치에서 40만 개의 로그 항목, 또는 FortiGate Cloud를 통해 2,000~40,000개). 더 큰 백업을 위해서는 CLI 명령인 execute backup disk/memory alllogs ftp/tftp를 사용하십시오. [1, 2]

확인해야 할 사항

LogTotal에 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 하고 파일을 드롭하십시오.
2. 정리. 계속하기 전에 검토하십시오.
3. 검토. 

문제가 발생했을 때