FortiGate : comprendre les logs et l’intégration FortiAnalyzer

Un journal de trafic décrit une communication traitée par le firewall ; un événement système concerne son exploitation. Les profils de sécurité ajoutent leurs propres événements, par exemple lorsqu’un contenu ou une application déclenche une action. Pour dépanner, commencez par le type d’information que vous cherchez.

Le journal attendu dépend du réglage de la politique ou de la fonction. Une communication réussie n’implique pas automatiquement qu’un événement de sécurité soit produit. Inversement, un événement d’administration ne démontre pas que le flux utilisateur a été autorisé.

Les paramètres de Log & Report définissent les informations enregistrées et leurs destinations. Les possibilités de stockage local dépendent du modèle et du disque disponible ; la collecte distante doit être étudiée avec sa connectivité et sa rétention. Choisir un stockage n’active pas à lui seul tous les événements utiles.

FortiAnalyzer apporte une collecte et une consultation centralisées. Son intégration demande l’adresse du serveur, les paramètres de connexion et l’autorisation du FortiGate côté collecteur. Dans une Security Fabric, la connexion et ses informations de topologie ajoutent un contexte distinct de la seule émission des journaux.

Pour une recherche reproductible, relevez l’heure, le fuseau, les adresses, le protocole et le service. Ajoutez si possible la politique concernée et le VDOM. Comparez le même intervalle sur FortiGate et FortiAnalyzer pour distinguer une absence de génération d’un problème de transmission ou de filtre.

Les options de journalisation du trafic local concernent les communications vers ou depuis le FortiGate lui-même. Elles se distinguent du trafic transitant entre deux interfaces. Cette distinction est utile quand vous cherchez un accès de management ou une connexion initiée par le firewall.

Procédez par étapes : événement attendu, réglage qui le produit, destination configurée, connectivité vers le collecteur, autorisation de l’équipement puis recherche. Chaque étape doit fournir une observation. Élargir la période ou modifier un filtre est souvent plus instructif qu’activer toutes les options de collecte.

L’envoi peut être en temps réel ou différé selon la configuration et l’intégration Fabric. Tenez compte du rythme d’envoi avant de conclure à une perte. Pour une recette, documentez une communication identifiée et son événement sur les deux équipements, ainsi que les délais observés.

Pour un flux de laboratoire, noter sa source, sa destination et son heure. Construire la recherche des événements correspondants et expliquer ce qu’une absence de résultat permet, ou ne permet pas, de conclure.

Pour terminer, formulez votre résultat attendu, les observations relevées et une hypothèse alternative si le résultat diffère. Conservez la version du produit et le contexte de test avec vos notes de laboratoire.