FortiGateのログ設定と解析方法｜FortiAnalyzer連携とトラブル調査

FortiGateのログ管理は、セキュリティ監視やトラブルシューティングに不可欠です。適切なログ設定により、不正アクセスの検知や通信障害の原因特定が迅速に行えます。本記事では、FortiGateのログ種類から設定方法、実務での活用法まで詳しく解説します。

FortiGateは複数種類のログを出力し、それぞれ異なる目的で使用されます。主要なログタイプを理解することが、効果的なログ管理の第一歩です。

主要なログタイプと用途

FortiGateのログには重要度を示すレベルがあります。Emergency（最高）からDebug（最低）まで8段階あり、通常運用ではWarning以上を記録することが推奨されます。Debug レベルはトラブルシューティング時のみ有効化し、大量のログ出力によるディスク容量圧迫を防ぎます。

FortiGate本体にログを保存するローカルログ設定は、小規模環境や一時的なログ取得に有効です。ただし、ディスク容量に限りがあるため、適切な管理が必要です。

# ログディスク使用状況の確認
diagnose sys logdisk usage

# ログファイル一覧表示
execute log list

# 特定ログの削除（注意して実行）
execute log delete traffic

FortiAnalyzerは、FortiGateのログを集中管理・分析するための専用アプライアンスです。複数台のFortiGateを一元管理し、高度なレポート機能を提供します。

# FortiAnalyzer設定（CLI）
config log fortianalyzer setting
    set status enable
    set server "192.168.1.100"
    set reliable enable
    set upload-option realtime
end

# 接続確認
diagnose test application fazd 5

図1: FortiAnalyzer連携によるログ管理効率の向上

既存のSIEM（Security Information and Event Management）システムやログ管理ソリューションと統合する場合、Syslog転送が有効です。標準的なSyslogプロトコルを使用するため、汎用性が高い方法です。

# Syslogサーバー設定
config log syslogd setting
    set status enable
    set server "10.0.1.50"
    set port 514
    set facility local7
    set source-ip 192.168.1.1
    set format default
end

# トラフィックログをSyslogに送信
config log syslogd filter
    set severity information
    set traffic-log enable
end

Syslog転送時の主要設定項目

障害調査やセキュリティ監査では、膨大なログから必要な情報を迅速に抽出する能力が求められます。FortiGateはGUIとCLIの両方で強力なログ検索機能を提供しています。

Log & Report > Forward Traffic から、送信元IP、宛先IP、ポート番号、アクション（許可/拒否）などで絞り込みが可能です。時間範囲を指定し、特定の期間のログを効率的に確認できます。Custom Filterを作成すれば、頻繁に使用する検索条件を保存できます。

# 特定IPアドレスからのトラフィックログを表示
execute log filter field srcip 192.168.10.50
execute log display

# 拒否されたセッションのみ表示
execute log filter field action deny
execute log display

# 特定時間範囲のログ（開始時刻指定）
execute log filter start-line 100
execute log filter view-lines 50
execute log display

# フィルタのクリア
execute log filter reset

図2: ログ調査における検索手法の効果

実際の運用では、ログを効果的に活用することで、セキュリティインシデントの早期発見や通信障害の迅速な解決が可能になります。代表的な活用例を紹介します。

「特定のサーバーに接続できない」という報告を受けた場合の調査手順です。トラフィックログで該当する通信を検索し、action=denyとなっている場合はポリシー設定を確認します。action=acceptでもセッションが確立しない場合は、ルーティングやNAT設定をログから検証します。

# 通信障害調査の実例
# クライアント192.168.10.20からサーバー10.0.5.100への通信を調査
execute log filter field srcip 192.168.10.20
execute log filter field dstip 10.0.5.100
execute log display

# ログ出力例の確認ポイント
# - action: accept/deny（許可/拒否）
# - policyid: どのポリシーで処理されたか
# - sentbyte/rcvdbyte: データ転送量（0の場合は接続失敗）
# - msg: エラーメッセージ