Bài test lưu syslog của Fortigate dùng ứng dụng Splunk

FortiGate lưu log cục bộ rất hạn chế: dung lượng bộ nhớ nhỏ, log cũ bị ghi đè nhanh, và việc tìm kiếm trực tiếp trên thiết bị không thuận tiện khi cần điều tra sự cố. Cách phổ biến là đẩy log ra hệ thống bên ngoài qua giao thức syslog để lưu lâu dài và phân tích tập trung.

Splunk là một lựa chọn như vậy. Splunk nhận syslog, đánh chỉ mục (index) và cho phép tìm kiếm, lập dashboard trên toàn bộ log. Khi kết hợp với Fortinet FortiGate Add-On for Splunk (tách trường log) và Fortinet FortiGate App for Splunk (dashboard dựng sẵn), log của FortiGate được chuẩn hoá thành các trường như nguồn, đích, dịch vụ, hành động, giúp lọc và thống kê dễ dàng.

Bài này là một bài test (LAB) thực tế: FortiGate gửi syslog tới máy Windows cài Splunk (địa chỉ 192.168.1.102), cài hai ứng dụng của Fortinet trên Splunk, cấu hình nhận syslog, sau đó kiểm tra log đã về và export ra để theo dõi.

⚡ Điểm nhanh

• Mô hình LAB: FortiGate (nguồn log) → syslog → Splunk trên Windows, địa chỉ 192.168.1.102
• Ứng dụng cần cài trên Splunk: Fortinet FortiGate App for Splunk (Splunkbase app 2800) và Fortinet FortiGate Add-On for Splunk (Splunkbase app 2846)
• Vai trò: Add-On tách trường (field extraction) cho log FortiGate; App cung cấp dashboard và báo cáo dựng sẵn
• Cách nhận log: tạo Data Input dạng UDP trong Splunk (ví dụ cổng 514) và gán sourcetype khớp với cấu hình của Add-On
• Kết quả: log từ FortiGate hiển thị trong Splunk, có thể tìm kiếm và export ra file để theo dõi

Splunk, App và Add-On đóng vai trò gì?

LAB: Lưu syslog của FortiGate bằng Splunk

Các bước thực hiện:

- Trên Fortigate cấu hình để gửi syslog tới địa chỉ của Splunk (192.168.1.102)

- Sau khi download và cài đặt Splunk lên Windows:

- Login bằng user, pass khi cài đặt Splunk và tiến hành cài:

Fortinet FortiGate App for Splunk: https://splunkbase.splunk.com/app/2800/
Fortinet FortiGate Add-On for Splunk: https://splunkbase.splunk.com/app/2846/

- Cài đặt các thông số cho Splunk để nhận syslog từ Fortigate:

- Tiến hành gửi request để lấy syslog từ Fortigate:

- Kết quả syslog từ Fortigate đã được đẩy về Splunk:

- Chúng ta có thể export syslog ra để tiện theo dõi:

Tham khảo: cấu hình gửi syslog trên FortiGate bằng CLI

Ngoài giao diện web, có thể cấu hình gửi syslog bằng CLI. Ví dụ với Splunk ở 192.168.1.102, nhận qua UDP cổng 514:

config log syslogd setting
    set status enable
    set server 192.168.1.102
    set mode udp
    set port 514
end

Sau khi cấu hình, kiểm tra trên Splunk (mục tìm kiếm) xem log đã xuất hiện hay chưa. Nếu chưa thấy log, xem phần xử lý sự cố bên dưới.

Lưu ý khi cấu hình Splunk nhận syslog từ FortiGate

• Sourcetype phải khớp với Add-On. Từ phiên bản 1.2, Add-On không còn tự nhận theo source hoặc sourcetype dạng wildcard; sourcetype mặc định được khai báo trong file props.conf của Add-On là fgt_log. Khi tạo Data Input UDP trong Splunk, đặt sourcetype tương ứng (hoặc chỉnh props.conf cho khớp nếu dùng tên khác).
• Một cổng, một sourcetype. Mọi dữ liệu vào cùng một cổng UDP/TCP được Splunk coi là cùng loại, nên nếu có nhiều loại thiết bị gửi syslog, hãy dùng cổng riêng cho FortiGate (ví dụ 513 hoặc 515) thay vì dồn chung cổng 514.
• Mở cổng trên Windows Firewall. Máy Windows cần cho phép UDP vào cổng đã chọn, nếu không FortiGate gửi log nhưng Splunk không nhận được.
• Chọn UDP hay TCP. UDP đơn giản và dùng trong LAB này, nhưng không đảm bảo giao nhận. Với môi trường production nên cân nhắc TCP hoặc dùng syslog server trung gian (như syslog-ng) rồi để Splunk đọc file, nhằm giảm rủi ro mất log.
• Kiểm soát dung lượng. Log traffic của firewall có thể chiếm phần lớn dung lượng index hằng ngày, nên cần tính toán license Splunk trước khi bật ghi log toàn bộ lưu lượng.

Xử lý sự cố thường gặp

Câu hỏi thường gặp

Cần cài cả App và Add-On không? Nên cài cả hai. Add-On chịu trách nhiệm tách trường log FortiGate, còn App dùng các trường đó để dựng dashboard. Chỉ cài App mà thiếu Add-On thì dashboard thường không có dữ liệu.

Dùng cổng nào để nhận syslog trên Splunk? Có thể dùng cổng bất kỳ khả dụng, ví dụ 514. Nếu cổng 514 đã dùng cho thiết bị khác, hãy tạo Data Input riêng cho FortiGate ở một cổng khác và cấu hình FortiGate gửi đúng cổng đó.

Có cần cài Splunk trên Windows không? Không bắt buộc. Bài LAB dùng Windows cho tiện thực hành; Splunk cũng chạy trên Linux và thường được dùng trên Linux ở môi trường production.

Có thể lưu syslog FortiGate mà không dùng Splunk không? Có. Bạn có thể dùng syslog server đơn giản, ví dụ xem bài Sử dụng Free TFTPd Software làm Syslog Server. Splunk phù hợp khi cần tìm kiếm, thống kê và dashboard trên khối lượng log lớn.

Thông tin liên quan

• Giải pháp bảo mật FortiGate UTM
• Checklist hardening FortiGate
• Sử dụng Free TFTPd Software làm Syslog Server