La configuración para filtrar logs en dispositivos Palo Alto Networks permite a los administradores de red focalizar el análisis y la supervisión de eventos específicos, facilitando la identificación de incidentes de seguridad y el seguimiento de tráfico relevante para la organización. En particular, utilizar filtros que combinan condiciones temporales y de zona mejora la eficiencia en la gestión de logs, ayudando a aislar eventos recientes dentro de una zona de seguridad determinada.
Campos principales
- receive_time: Este campo establece el rango temporal para filtrar los logs, permitiendo delimitar el análisis a eventos ocurridos dentro de un periodo específico, en este caso las últimas 24 horas. Es fundamental para auditar eventos recientes o investigar incidentes sin afectar el rendimiento con búsquedas demasiado amplias.
- zone: Se refiere a la zona de seguridad declarada en el firewall desde donde se originan o reciben los paquetes. Filtrar por zona es crucial para segmentar el tráfico por su grado de confianza o función dentro de la topología de red (por ejemplo, ‘untrust’, ‘trust’, ‘dmz’).
- Conectores lógicos (and, or): Permiten combinar múltiples condiciones de filtro para definir con precisión qué registros deben mostrarse. En este caso, se usa ‘and’ para asegurar que el registro cumpla ambas condiciones: pertenecer a la zona ‘untrust’ y haber ocurrido en las últimas 24 horas.
Compatibilidad de versiones y modelos
El uso de filtros avanzados en logs está soportado en las versiones PAN-OS 7.0 en adelante, mejorando gradualmente con cada release para incluir más campos y operadores. Este tipo de filtros se aplica en cualquier modelo de firewall Palo Alto Networks, incluyendo la serie PA-220, PA-820, PA-2200, PA-3200, PA-5200 y superiores.
Sin embargo, es importante considerar que versiones muy antiguas podrían carecer de la interfaz gráfica o la capacidad para configurar expresiones tan detalladas en la sección de monitorización. Además, en modelos más antiguos con hardware limitado, aplicar filtros complejos en tiempo real puede impactar en la performance de la interfaz de gestión.
Escenarios de uso y recomendaciones
Este filtro es útil en situaciones donde se requiere auditar o analizar eventos ocurridos recientemente dentro de una zona perimetral no confiable (‘untrust’), que generalmente representa el tráfico entrante desde Internet. Permite identificar intentos de intrusión, reconocimiento o conexiones sospechosas que hayan ocurrido en las últimas 24 horas.
Se recomienda combinar estos filtros con otros atributos, como tipo de tráfico (por ejemplo, tráfico de tipo amenaza o aplicación), para afinar aún más el análisis. No obstante, es importante tener cuidado con el uso excesivo de filtros muy restrictivos, pues puede dar lugar a omitir eventos relevantes o aumentar la complejidad del diagnóstico.
Los riesgos asociados incluyen la posible saturación de logs si el filtro es demasiado amplio, o el riesgo de perder visibilidad si se aplican filtros erróneos. Una configuración adecuada debe buscar siempre un balance entre detalle y volumen de datos.
Comandos de CLI útiles para diagnóstico
show log traffic query "(receive_time geq now-1d) and (zone eq untrust)"– Ejecuta una consulta directa en CLI para filtrar logs de tráfico con condiciones similares a las configuradas gráficamente.show log threat query "(receive_time geq now-1d) and (zone eq untrust)"– Consulta incidentes de amenazas en la zona perimetral recientes.show log system direction equal backward time geq last-24-hours zone equal untrust– Otro formato para filtrar logs según dirección, tiempo y zona.debug log-receiver log-filter show– Permite visualizar los filtros activos y validar su correcta aplicación para diagnóstico.
Buenas prácticas de configuración
- Configurar filtros con condiciones claras y combinadas usando operadores lógicos para evitar incluir información irrelevante.
- Limitar siempre el intervalo de tiempo para evitar consultas muy amplias que pueden afectar el rendimiento del firewall y la consola de administración.
- Aplicar filtros en función de la zona y otros atributos relevantes para la política de seguridad definida, ajustándolos según el contexto de la red.
- Documentar cada filtro configurado, su propósito y ajustes para mantenimiento y auditorías posteriores.
- Verificar la compatibilidad y desempeño tras la aplicación de filtros complejos, especialmente en ambientes con tráfico elevado o hardware con limitaciones.
- Utilizar la CLI para complementar diagnósticos avanzados y verificar que los resultados del filtro aplicado cumplen con los objetivos de análisis.