FortiGate Logging, Monitoring und FortiAnalyzer-Integration

FortiGate-Logging ist das Aufzeichnen und Analysieren von Traffic-, Event- und Security-Logs. Logs können an lokale Disk, Syslog, FortiCloud oder FortiAnalyzer gesendet werden; FortiAnalyzer bietet zentrale Sammlung, Korrelation und Reporting.

FortiGate-Logging-Typen

FortiGate-Logging gliedert sich in drei Hauptkategorien: Traffic-Logs (Sitzungsdaten), Event-Logs (System-/Admin-Ereignisse) und Security-Logs (UTM-Ereignisse wie Antivirus, IPS, Webfilterung).

Traffic-Logs zeigen, welche Quelle unter welcher Richtlinie welches Ziel erreichte. Event-Logs umfassen Admin-Anmeldungen, HA-Status und Systemwarnungen. Security-Logs erfassen blockierte Bedrohungen und ausgelöste UTM-Profile.

Damit Logging wirkt, muss die Log-Option in den betreffenden Firewall-Richtlinien aktiviert sein; sonst wird für diesen Verkehr kein Eintrag erzeugt.

Um zu verstehen, welche UTM-Ereignisse geloggt werden, siehe unseren Leitfaden zu UTM-Sicherheitsprofilen.

Log-Ziele und Aufbewahrung

Log-Ziele können die lokale Disk des Geräts, der Speicher, ein externer Syslog-Server, FortiCloud und FortiAnalyzer sein. In der Produktion wird ein externes Ziel für zentrale, dauerhafte Speicherung bevorzugt.

Lokale Disk-Logs haben begrenzte Kapazität, und Speicher-Logs gehen beim Neustart verloren. Daher leiten Organisationen mit Compliance- und Forensik-Anforderungen Logs an FortiAnalyzer oder ein SIEM.

Zentrales Logging mit FortiAnalyzer

FortiAnalyzer ist eine Analyseplattform, die die Logs mehrerer FortiGates an einem Ort sammelt, korreliert und berichtet; sie steigert die Transparenz mit FortiView-Dashboards und integrierten Reports.

FortiAnalyzer bietet in verteilten Umgebungen eine zentrale Sicht, statt die Logs jedes Geräts separat zu prüfen. Bedrohungs-, Traffic- und Compliance-Reports können automatisch erzeugt werden; FortiView-Dashboards zeigen schnell die am stärksten betroffenen Quellen und Anwendungen.

Durch Ereigniskorrelation lassen sich Angriffsmuster aufdecken, die in einzelnen Logs unsichtbar sind. Das beschleunigt die Incident-Response.

Zentrales Logging ist auch zur Überwachung von Failover-Ereignissen in HA-Clustern entscheidend; siehe FortiGate-HA-Konfiguration.

Monitoring, Alerting und SIEM-Integration

Monitoring und Alerting bedeuten das Erzeugen automatischer Benachrichtigungen bei kritischen Ereignissen und das Exportieren von Logs in ein Enterprise-SIEM, um sie im breiteren Sicherheitskontext zu bewerten.

FortiGate und FortiAnalyzer können Warnungen auslösen, wenn bestimmte Schwellen überschritten werden oder kritische Signaturen feuern. Durch Weiterleiten der Logs an ein SIEM per Syslog oder Konnektoren (z. B. ein zentrales Security Operations Center) korrelieren Sie mit anderen Quellen.

Diese Integration macht aus FortiGate statt eines isolierten Geräts einen Teil der Enterprise-Sicherheitsoperationen.

Best Practices bei Logging und Monitoring

Best Practices sind, die richtigen Ereignisse zu loggen, eine angemessene Aufbewahrung zu setzen, ein zentrales Ziel zu nutzen, die Zeitsynchronisation sicherzustellen und Reports regelmäßig zu prüfen.

• Loggen Sie kritischen Verkehr und alle Sicherheitsereignisse; begrenzen Sie unnötige Logs zur Rauschreduktion.
• Setzen Sie eine an Compliance-Anforderungen ausgerichtete Aufbewahrung.
• Nutzen Sie ein zentrales Ziel (FortiAnalyzer/SIEM).
• Sichern Sie die Zeitsynchronisation per NTP; korrekte Zeitstempel sind für Korrelation essenziell.
• Prüfen Sie Bedrohungs- und Traffic-Reports regelmäßig.

Um die Performance-Auswirkung des Loggings auszugleichen, siehe unseren Leitfaden zur Performance-Optimierung und für die Gesamtarchitektur unseren Was-ist-FortiGate-Leitfaden.

Häufig gestellte Fragen

Welche Log-Typen erzeugt FortiGate?

Hauptsächlich Traffic-Logs (Sitzungsdaten), Event-Logs (System- und Admin-Ereignisse) und Security-Logs (UTM-Ereignisse wie Antivirus, IPS, Webfilterung).

Warum sollte ich Logs an FortiAnalyzer senden?

Lokale Disk und Speicher sind begrenzt; FortiAnalyzer bietet in Umgebungen mit vielen Geräten zentrale Sammlung, Ereigniskorrelation und automatisiertes Reporting und stärkt Transparenz und Compliance.

Was ist FortiView?

FortiView ist eine Analyseoberfläche, die Traffic- und Bedrohungsdaten in visuellen Dashboards darstellt. Sie lässt die am stärksten betroffenen Quellen, Nutzer und Anwendungen schnell erkennen.

Kann ich FortiGate-Logs in ein SIEM exportieren?

Ja. Logs können per Syslog oder Konnektoren an ein Enterprise-SIEM weitergeleitet werden, was die Korrelation mit anderen Sicherheitsquellen für breiteren Kontext ermöglicht.

Wie soll ich die Aufbewahrungsdauer setzen?

Die Aufbewahrung richtet sich nach den Compliance-Anforderungen Ihrer Branche und Forensik-Bedürfnissen. Reservieren Sie ausreichend Kapazität auf einem zentralen Ziel und definieren Sie eine Archivierungsrichtlinie.

Warum ist Zeitsynchronisation wichtig?

Ohne korrekte Zeitstempel lassen sich Logs verschiedener Geräte nicht zuverlässig korrelieren. Die Synchronisation aller Uhren per NTP ist für Korrelation und Forensik entscheidend.

Fazit

FortiGate-Logging und die FortiAnalyzer-Integration machen Sicherheitsereignisse sichtbar und ermöglichen schnelle Reaktion. Mit zentraler Sammlung, korrekter Aufbewahrung und SIEM-Integration wird FortiGate ein starker Teil der Enterprise-Sicherheitsoperationen.

Um Ihre zentrale Logging- und Monitoring-Architektur aufzubauen, sprechen Sie mit dem Team von Sora Yazılım.