Fortigate log filter 특정 로그 예외 처리하는 방법
해당 명령어를 사용하여
특정 log만 syslog 서버 또는 fortianalyzer(Fortinet log 저장 장치)로 보내거나
특정 log를 저장하지 않게 설정이 가능
log filter 설정 필요 상황 예시
특정 불필요한 log가 많이 저장돼서 다른 log 확인이 힘들 때
해당 설정을 적용시켜 불필요한 log 예외 처리
테스트 시나리오
1. 내부 네트워크 대역이 8.8.8.8로 ping 차단 정책 설정
2. 해당 정책으로 인한 차단 log 확인 후 log-filter 설정
3. 차단 시 log가 저장되지 않는지 확인
먼저 내부 네트워크 대역이 목적지 8.8.8.8 ICMP 차단 정책을 만들어 줍니다.
그 다음
내부 PC에서 8.8.8.8로 Ping을 시도해봅니다.
차단이 되고
Fortigate GUI > Log & Report > Foward Traffic에서 deny log를 확인합니다.
거의 바로 차단되는 log 확인이 가능
해당 log를 더블클릭해 보면 자세한 내용 확인이 가능합니다
여기서 제가 필요한건 log filter를 걸기 위해 event level과 log id
log id = 13
event level = notice
log id는 직설적으로 확인이 가능하지만
security level의 경우 표시해 놓은 것처럼 칸수로 나오는데
저기에 마우스를 올리면 notice라고 표시됨
filter를 걸기 위해 CLI (해당 설정은 CLI에서만 가능)
config log <memory> filter
위 이미지는 기본 설정입니다.
filter-type이 include로 설정되어 있고 모든 log를 저장
여기에 filter를 걸어주면 filter에 걸린 log만 memory에 저장
<> 친 이유는 테스트를 memory에 저장되는 log로 테스트 했기 때문
syslog나 fortianalyzer에 적용시키고 싶다면 <>부분만 바꿔주신 후 설정하시면 됩니다.
테스트 설정
filter > 아까 확인한 logid와 event level 설정
filter type > exclude 변경
참고사항
- filter-type만 exclude로 변경 시 모든 log가 예외 처리되지 않는다. 이 땐 filter에 걸어 놓고 매칭되는 log만 예외 처리 -
설정 후 내부 PC에서 8.8.8.8 Ping 시도
차단이 되지만 log를 저장하지 않는다.
이렇게만 올리면 의심이 갈 수 있어 debug 내용까지 첨부하려 했지만.. 테스트 해보시기를 바라며^^
Fortigate log filter 특정 로그 예외 처리하는 방법
'IT > Fortinet' 카테고리의 다른 글
fortigate login fail count setting / 로그인 실패 시 잠금시간 및 실패횟수 설정 (0) | 2022.05.30 |
---|---|
fortigate process list 확인하기 (0) | 2022.03.19 |
Fortigate admin password recovery 관리자 패스워드 복구 (0) | 2022.03.02 |
FortiEMS download 확인사항 (0) | 2022.02.28 |
Fortigate admin delete 관리자 계정 삭제 (0) | 2022.02.25 |