Jak eksportować logi zapory z Palo Alto i FortiGate

Niezawodny sposób na pobranie logów z Palo Alto lub FortiGate do pliku, który można analizować, to syslog. Skieruj logi zapory do małego kolektora Linux z uruchomionym rsyslog i wyeksportuj plik z kolektora. Dla historii już istniejącej na urządzeniu FortiGate można pobrać surowe logi z interfejsu GUI. Na PAN-OS praktycznym źródłem historii jest zazwyczaj Panorama, Strata Logging Service lub Twój SIEM.

Zapory sieciowe widzą każde połączenie przychodzące i wychodzące, i same stają się teraz celem. Ich logi odpowiadają na pytania „gdzie komunikował się ten host?” i „kto zalogował się do zapory o 3 nad ranem?”. Prime Core ma 2093 reguły wykrywania dla logów zapory, przypisane do 554 technik MITRE ATT&CK. Wśród nich: command-and-control poprzez powszechne protokoły (T1071), eksfiltracja poprzez alternatywne kanały (T1048) i skanowanie sieci (T1046).

Zacznij za darmo

Przed rozpoczęciem

Sprawdź, co faktycznie jest logowane. Zapory logują tylko to, co nakazują ich reguły, a domyślne ustawienia są mniejsze, niż się przypuszcza.

• Na PAN-OS domyślne reguły intrazone-default i interzone-default nie logują domyślnie. Odmówiony ruch, który przechodzi przez nie, nie pozostawia śladów, chyba że ktoś zmodyfikował je do logowania.
• Na FortiGate logowanie jest ustawiane przez politykę (wyłącznie zdarzenia bezpieczeństwa, lub wszystkie sesje). Logowanie ruchu trafiającego do domyślnej polityki odmowy jest wyłączone domyślnie.

Sprawdź, gdzie przechowywana jest historia. Przechowywanie na urządzeniu jest ograniczone i nadpisuje się. Mniejsze modele FortiGate bez dysku logują do pamięci, która jest czyszczona po restarcie. Jeśli korzystasz z Panorama, Strata Logging Service, FortiAnalyzer lub FortiCloud, prawie na pewno przechowują one więcej historii niż zapora. Zacznij tam.

Nie zapomnij o własnych logach zapory. Logowania administratora i zmiany konfiguracji (logi System i Config na PAN-OS, logi zdarzeń na FortiGate) są tak samo ważne jak ruch, zwłaszcza że urządzenia brzegowe są teraz popularnym punktem wejścia.

Ścieżka A: Przekierowanie syslog do kolektora

To przechwytuje zdarzenia od teraz i jest konfiguracją, którą chcesz mieć przed kolejnym incydentem.

Na kolektorze Linux, utwórz /etc/rsyslog.d/10-firewall.conf:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Następnie zrestartuj rsyslog i sprawdź, czy nasłuchuje używając ss -ulpn | grep 514. Otwórz UDP 514 z interfejsu zarządzania lub logowania zapory do kolektora, i nic innego.

Na PAN-OS:

1. Device → Server Profiles → Syslog: dodaj kolektor, UDP, port 514.
2. Objects → Log Forwarding: utwórz profil, który wysyła logi Ruchu i Zagrożeń do tego profilu syslog.
3. Podłącz profil do swoich zasad bezpieczeństwa. Osobno, przekieruj logi System i Config pod Device → Log Settings.
4. Zatwierdź.

Na FortiGate (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

Domyślny format zapisuje pary klucz=wartość. Gdy potrzebujesz wycinka do analizy, wytnij go z pliku kolektora:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

Jak wyglądają daty zależy od formatu dostawcy, więc dostosuj wzór, aby pasował.

Ścieżka B: Pobierz historię z urządzenia

FortiGate: in Log & Report, otwórz widok logu, który potrzebujesz (Ruch Przekierowany, Zdarzenia Bezpieczeństwa, Zdarzenia Systemowe), przefiltruj zakres czasu i pobierz surowy log, plik tekstowy z liniami klucz=wartość.

Jak pobrać logi z GUI FortiGate

1. Zaloguj się do FortiGate Web UI. [1]
2. Wejdź do Log & Report w menu nawigacyjnym po lewej stronie. [1]
3. Wybierz żądaną kategorię logów (np. Traffic Log > Forward Traffic or System Events). [1, 2]
4. Ustaw filtry czasu lub wybierz konkretne wiersze logów (przytrzymaj Ctrl, aby wybrać wiele wierszy). [1, 2]
5. Kliknij ikonę Pobierz (or Pobierz surowy log). [1, 2]
6. Wybierz format (Text, CSV, lub JSON, zależnie od wersji FortiOS) lub wybierz Pobierz i połącz dla dużych zestawów logów (v7.6+). [1]

Uwaga: Bezpośrednie pobrania z GUI mają twardy limit (zazwyczaj 400,000 wpisów logów na urządzeniu, lub 2,000–40,000 przez FortiGate Cloud). Dla większych kopii zapasowych, użyj polecenia CLI execute backup disk/memory alllogs ftp/tftp. [1, 2]

Co warto sprawdzić

Prześlij, zanonimizuj i sprawdź w LogTotal

1. Prześlij. Otwórz logtotal.com i dodaj plik.
2. Anonimizuj. Przejrzyj przed kontynuacją.
3. Przejrzyj. 

Gdy coś idzie nie tak