Logging & Reporting cơ bản trên FortiGate

1. Liên hệ thực tế

Sau khi triển khai đầy đủ các Security Profile suốt nhóm bài vừa qua — Web Filter, Antivirus, IPS, Application Control — khách hàng đặt câu hỏi tổng kết: "Làm sao biết được tất cả những cấu hình này có thực sự hoạt động không? Tuần trước có sự cố bảo mật, em có tra được log để biết chuyện gì đã xảy ra không?"

Anh Nam nhận ra: dù đã cấu hình đầy đủ suốt mười mấy bài học, anh chưa từng dừng lại kiểm tra xem log đang được lưu ở đâu, giữ lại bao lâu, và cách tra cứu hiệu quả khi cần điều tra sự cố.

Chị Lan: "Đây đúng là bài học tổng kết cần thiết — cấu hình đúng Security Profile mới là một nửa câu chuyện, nửa còn lại là đảm bảo log được ghi lại đầy đủ, lưu trữ đủ lâu, và có thể tra cứu nhanh khi cần điều tra."

Bài này tổng kết cách FortiGate ghi log, các mức độ log (severity), nơi lưu trữ, và cách tra cứu log hiệu quả — khép lại nhóm bài Security Policy & Inspection.

2. Kiến thức cốt lõi

2.1 Các loại log chính trên FortiGate

FortiGate sinh ra nhiều loại log tương ứng với từng hoạt động khác nhau:

• Traffic Log — ghi lại mọi phiên traffic khớp Firewall Policy (nguồn, đích, service, action, bytes truyền...).
• Event Log — ghi lại sự kiện hệ thống (đăng nhập admin, thay đổi cấu hình, khởi động lại, HA failover...).
• UTM Log — ghi log riêng cho từng Security Profile: Antivirus, Web Filter, Application Control, IPS, DNS Filter... — mỗi lần một profile phát hiện/chặn điều gì đó.
• Security Log — tổng hợp các sự kiện bảo mật đáng chú ý từ nhiều nguồn khác nhau.

2.2 Bật logging trên Firewall Policy

Logging không tự động bật cho mọi Policy — cần khai báo tường minh:

config firewall policy
    edit 10
        ...
        set logtraffic all
        set logtraffic-start enable
    next
end

• logtraffic — all (log mọi phiên), utm (chỉ log khi có Security Profile phát hiện điều gì đó), hoặc disable.
• logtraffic-start — ghi thêm log ngay khi phiên bắt đầu (mặc định chỉ log khi phiên kết thúc) — hữu ích để theo dõi các phiên kéo dài lâu (như streaming, download lớn) mà không phải đợi tới khi kết thúc mới thấy log.

⚠️ Lưu ý: Đặt logtraffic all cho toàn bộ Policy có thể sinh ra khối lượng log rất lớn trên mạng có traffic cao — cần cân nhắc dung lượng lưu trữ và hiệu năng tương ứng, nhiều tổ chức chỉ bật all cho Policy quan trọng, còn lại dùng utm để giảm tải.

2.3 Severity — 8 mức độ nghiêm trọng của Event Log

Theo chuẩn syslog, Event Log trên FortiGate phân theo 8 mức độ nghiêm trọng, từ nghiêm trọng nhất tới ít quan trọng nhất:

config log setting
    set resolve-ip enable
    set resolve-port enable
end

config log fortianalyzer setting
    set status enable
    set server "10.0.0.50"
end

2.4 Nơi lưu trữ log

Local Disk — chỉ khả dụng trên model có ổ đĩa cục bộ (đã nhắc ở khái niệm Configuration Revision, bài Backup/Restore & Firmware Upgrade) — lưu trữ trực tiếp trên chính thiết bị, dung lượng giới hạn theo model.

FortiAnalyzer — thiết bị/dịch vụ chuyên dụng để thu thập, phân tích, và lưu trữ log tập trung từ nhiều FortiGate cùng lúc — phù hợp cho tổ chức có nhiều thiết bị hoặc cần lưu log dài hạn.

Syslog Server — gửi log theo chuẩn syslog tới bất kỳ hệ thống SIEM (Security Information and Event Management) bên thứ ba nào.

config log syslogd setting
    set status enable
    set server "10.0.0.60"
    set port 514
    set facility local7
end

⚠️ Lưu ý: FortiGate có thể gửi log đồng thời tới nhiều đích cùng lúc — không giới hạn chỉ chọn một nơi duy nhất. Cấu hình phổ biến: log local để tra cứu nhanh ngắn hạn, đồng thời gửi FortiAnalyzer hoặc Syslog Server để lưu trữ dài hạn và phân tích tập trung.

2.5 Tra cứu log — Log Search và Forward Traffic

Trên GUI, mục Log & Report > Forward Traffic (hoặc tương ứng theo loại log) hiển thị log theo bảng, hỗ trợ lọc theo nhiều tiêu chí (IP nguồn/đích, action, thời gian...).

Qua CLI, dùng lệnh tra log nhanh khi cần debug trực tiếp:

execute log filter category traffic
execute log filter field srcip 192.168.1.100
execute log display

⚠️ Lưu ý: Khi điều tra sự cố (như tình huống mở đầu bài), luôn bắt đầu từ khoảng thời gian sự cố xảy ra, lọc theo địa chỉ IP hoặc user liên quan trước, sau đó mới mở rộng phạm vi nếu chưa tìm ra manh mối — tra cứu log không có bộ lọc trên hệ thống lưu lượng lớn dễ khiến quá tải thông tin, khó xác định đúng sự kiện cần tìm.

2.6 Reports — tổng hợp log thành báo cáo

Ngoài log chi tiết từng sự kiện, FortiGate (đặc biệt khi kết hợp FortiAnalyzer) hỗ trợ tạo Report — tổng hợp dữ liệu log theo khoảng thời gian thành báo cáo trực quan (biểu đồ top website truy cập nhiều nhất, top user tiêu tốn băng thông, số lượng threat bị chặn theo loại...), phù hợp cho báo cáo định kỳ tới ban lãnh đạo hoặc phục vụ audit.

2.7 Bảng tổng hợp

3. Hỏi & Đáp

logtraffic all và logtraffic utm khác nhau thế nào về khối lượng log sinh ra?

all ghi log cho mọi phiên khớp Policy, kể cả traffic hoàn toàn bình thường không có gì đáng chú ý — sinh ra khối lượng log lớn hơn nhiều. utm chỉ ghi log khi có ít nhất một Security Profile (Antivirus, Web Filter...) phát hiện/chặn điều gì đó — khối lượng log nhỏ hơn đáng kể, phù hợp khi chỉ quan tâm sự kiện bảo mật thay vì toàn bộ traffic thông thường.

Nếu FortiGate không có ổ đĩa cục bộ, có thể xem log gần đây không?

Có — FortiGate vẫn giữ một lượng log gần đây trong bộ nhớ RAM (memory log) dù không có ổ đĩa, đủ cho việc kiểm tra nhanh sự cố vừa xảy ra. Tuy nhiên log trong RAM sẽ mất khi khởi động lại thiết bị, và dung lượng lưu được rất hạn chế so với ổ đĩa hoặc FortiAnalyzer.

Có nên gửi toàn bộ log ra Syslog Server bên ngoài dù đã có FortiAnalyzer không?

Tùy nhu cầu tổ chức — nếu công ty đã có hệ thống SIEM tập trung xử lý log từ nhiều nguồn khác nhau (không chỉ FortiGate), gửi thêm Syslog song song với FortiAnalyzer giúp tích hợp dữ liệu bảo mật toàn diện hơn. Nếu chỉ cần phân tích riêng cho FortiGate, dùng FortiAnalyzer là đủ vì nó được thiết kế tối ưu riêng cho hệ sinh thái Fortinet.

Report có thể tự động gửi định kỳ mà không cần vào GUI kiểm tra thủ công không?

Có — có thể lên lịch tạo Report tự động theo chu kỳ (hàng ngày/tuần/tháng) và cấu hình gửi email tự động tới danh sách người nhận, giúp ban lãnh đạo hoặc đội bảo mật nhận được tổng quan định kỳ mà không cần chủ động vào kiểm tra GUI.

4. Quiz

Câu 1: Tham số logtraffic trên Firewall Policy đặt utm nghĩa là gì?

• A. Ghi log cho mọi phiên, không phân biệt
• B. Chỉ ghi log khi có Security Profile phát hiện/chặn điều gì đó
• C. Tắt hoàn toàn logging
• D. Chỉ ghi log cho traffic IPv6

Câu 2: Theo chuẩn 8 mức severity của Event Log, mức nào nghiêm trọng nhất?

• A. debug
• B. information
• C. emergency
• D. notice

Câu 3: FortiGate có thể gửi log tới bao nhiêu đích lưu trữ cùng lúc?

• A. Chỉ 1 đích duy nhất
• B. Nhiều đích đồng thời (local disk, FortiAnalyzer, Syslog Server...)
• C. Chỉ gửi được tới FortiAnalyzer
• D. Không thể gửi log ra ngoài thiết bị

Câu 4: logtraffic-start trên Firewall Policy có tác dụng gì?

• A. Xóa toàn bộ log cũ
• B. Ghi thêm log ngay khi phiên bắt đầu, không chỉ khi phiên kết thúc
• C. Tắt log hoàn toàn cho phiên đó
• D. Chỉ áp dụng cho UDP

Câu 5: Report trên FortiGate/FortiAnalyzer dùng để làm gì?

• A. Thay thế hoàn toàn Traffic Log
• B. Tổng hợp dữ liệu log theo thời gian thành báo cáo trực quan, phục vụ audit hoặc báo cáo định kỳ
• C. Chỉ dùng để debug lỗi cấu hình
• D. Không có chức năng thực tế

👉 Đáp án

Câu 1: B logtraffic utm chỉ ghi log khi có ít nhất một Security Profile (Antivirus, Web Filter, IPS...) phát hiện hoặc chặn điều gì đó, giúp giảm khối lượng log so với ghi toàn bộ mọi phiên.

Câu 2: C Theo chuẩn 8 mức severity, emergency là mức nghiêm trọng nhất (hệ thống không dùng được), trong khi debug là mức thấp nhất, chỉ mang tính thông tin gỡ lỗi chi tiết.

Câu 3: B FortiGate có thể gửi log đồng thời tới nhiều đích lưu trữ khác nhau cùng lúc — local disk, FortiAnalyzer, và Syslog Server — không giới hạn chỉ một nơi duy nhất.

Câu 4: B logtraffic-start ghi thêm một log ngay khi phiên bắt đầu, bổ sung cho hành vi mặc định chỉ ghi log khi phiên kết thúc — hữu ích để theo dõi các phiên kéo dài lâu.

Câu 5: B Report tổng hợp dữ liệu log theo khoảng thời gian thành báo cáo trực quan (biểu đồ, thống kê top website/user/threat...), phục vụ báo cáo định kỳ hoặc mục đích audit.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng