Як експортувати журнали файєрволів з Palo Alto та FortiGate

Надійний спосіб отримати логи Palo Alto або FortiGate у файл, який ви можете аналізувати, – це syslog. Переслати логи фаєрвола на невеликий Linux-збірник, що працює на rsyslog, і експортувати файл збору. Для історії, яка вже знаходиться на пристрої, FortiGate може завантажити необроблені логи з свого графічного інтерфейсу. На PAN-OS практичним джерелом історії є зазвичай Panorama, Strata Logging Service або ваш SIEM.

Фаєрволи бачать кожне підключення всередину та назовні, і вони тепер є метою самі по собі. Їхні логи відповідають на запитання “куди цей хост спілкувався?” та “хто увійшов у фаєрвол о 3 годині ночі?”. Prime Core має 2093 правил виявлення для логів фаєрвола, пов’язаних з 554 техніками MITRE ATT&CK. Серед них: командування та контроль через загальні протоколи (T1071), ексфільтрація через альтернативні канали (T1048) і сканування мережі (T1046).

Розпочніть безкоштовно

Перед початком

Перевірте, що дійсно журналюється. Фаєрволи ведуть лог тільки про те, що вказують їм їхні правила, і за замовчуванням записи є менш об’ємними, ніж зазвичай вважають.

• На PAN-OS заздалегідь визначені правила intrazone-default і interzone-default за замовчуванням не ведуть лог. Заблокований трафік, що проходить через них, не залишає слідів, якщо хтось не змінив їх для ведення журналу.
• На FortiGate журналювання встановлено для кожної політики (тільки безпекові події або всі сесії). Журналювання трафіку, що потрапляє під політику implicit deny, вимкнено за замовчуванням.

Перевірте, де історія зберігається. Місцеве зберігання обмежене та закінчується. Менші моделі FortiGate без диска ведуть логи в пам’ять, яка стирається при перезавантаженні. Якщо ви використовуєте Panorama, Strata Logging Service, FortiAnalyzer чи FortiCloud, вони майже напевно містять більше історії, ніж фаєрвол. Починайте з них.

Не забувайте про власні логи фаєрвола. Вхідні адміністратори і зміни конфігурації (Логи системи та конфігурації на PAN-OS, події на FortiGate) мають таке ж значення, як і трафік, враховуючи, що межеві пристрої тепер є улюбленими точками входу.

Маршрут А: Переслати syslog на збірний пристрій

Це буде захоплення подій відтепер, і це установка, яку ви хочете мати на місці до наступного інциденту.

На Linux-збірнику, створіть /etc/rsyslog.d/10-firewall.conf:

module(load="imudp")

input(type="imudp" port="514" ruleset="firewall")


ruleset(name="firewall") {

    action(type="omfile" file="/var/log/firewall/fw.log")

}

Потім перезапустіть rsyslog і перевірте, чи він слухає одиниці з ss -ulpn | grep 514. Відкрийте UDP 514 з інтерфейсу керування чи реєстрації фаєрволу до збірника і нічого більше.

На PAN-OS:

1. Device → Server Profiles → Syslog: додайте збірник, UDP, порт 514.
2. Objects → Log Forwarding: створіть профіль, який відправляє логи про трафік і загрози на цей профіль syslog.
3. Прикріпіть профіль до своїх правил безпеки. Окремо, переадресуйте системні й конфігураційні логи в Device → Log Settings.
4. Зафіксуйте.

На FortiGate (CLI):

config log syslogd setting

    set status enable

    set server "10.0.0.50"

    set port 514

    set format default

end

За замовчуванням формат записує пари ключ=значення. Коли вам знадобиться зріз для аналізу, виріжте його з файлу збірника:

grep '2026-10-19' /var/log/firewall/fw.log > fw_1019.log

Як виглядають дати, залежить від формату вендора, тому налаштуйте шаблон відповідно.

Маршрут B: Витягніть історію з пристрою

FortiGate: in Log & Report, відкрийте потрібне вам перегляд логів (Пересований Трафік, Безпекові Події, Системні Події), фільтруйте діапазон часу і завантажте необроблений лог, текстовий файл зі строками ключ=значення.

Як завантажити логи з GUI FortiGate

1. Увійдіть у веб-інтерфейс FortiGate. [1]
2. Перейдіть до Log & Report в лівому меню навігації. [1]
3. Виберіть бажану категорію логів (наприклад, Трафік Лог > Пересований Трафік or Системні Події). [1, 2]
4. Встановіть фільтри за часом або виберіть конкретні рядки журналу (утримуйте Ctrl, щоб вибрати кілька рядків). [1, 2]
5. Натисніть Завантажити (or Завантажити необроблений лог) іконку. [1, 2]
6. Оберіть формат (Текст, CSV, або JSON, залежно від версії FortiOS) або виберіть Завантажити та об’єднати для великих наборів логів (v7.6+). [1]

Примітка: Прямі завантаження через GUI мають жорстке обмеження (зазвичай 400,000 записів журналу на пристрої або 2,000–40,000 через FortiGate Cloud). Для великих резервних копій використовуйте команду CLI execute backup disk/memory alllogs ftp/tftp. [1, 2]

На що звернути увагу

Завантажте, санітаризуйте та перевірте у LogTotal

1. Завантажте. Відкрито logtotal.com та внесіть файл. 
2. Санітаризуйте. Перегляньте, перш ніж продовжити.
3. Перевірте. 

Коли щось пішло не так