Logs de tráfico en FortiGate

El análisis y monitoreo del tráfico de red es una función crítica en la gestión y seguridad de una infraestructura de red. En dispositivos FortiGate, el registro y la revisión del Forward Traffic (tráfico reenviado) permiten a los administradores auditar políticas de firewall, analizar comportamiento de usuarios y hosts, y detectar posibles anomalías o ataques. Este tipo de configuración no solo facilita la visibilidad en tiempo real, sino que resuelve problemas relacionados con la falta de información granular sobre las conexiones permitidas o bloqueadas por las políticas.

Campos principales

Al revisar un log de tráfico reenviado en FortiGate, encontraremos varios campos que definen el contexto y permiten una interpretación precisa:

• Source: Indica la dirección IP origen del paquete. Es vital para identificar qué equipo o segmento de red inicia la comunicación.
• Device: Representa la dirección MAC o identificador del dispositivo que genera el tráfico. Facilita la correlación con dispositivos físicos y el análisis MAC filtering.
• Destination: Es la dirección IP destino a la cual se dirige el tráfico. Puede ir acompañado de nombre de dominio resuelto, lo que agiliza la comprensión del destino real.
• Application Name: Campo que identifica la aplicación o servicio que está generando tráfico, basado en inspección profunda o firmas. Es esencial para control de aplicaciones y segmentación por tipos de tráfico.
• Result: Muestra el estado o resultado del procesamiento de la política, incluyendo bytes enviados y recibidos. Un check verde indica tráfico permitido y correcto procesamiento.
• Policy y Policy Name: Refieren a la política de firewall que ha permitido o bloqueado el paquete, permitiendo auditorías y verificaciones legales o de cumplimiento.
• Policy Type: Indica la naturaleza de la política, que en este caso es Firewall, confirmando que el tráfico es controlado por reglas de seguridad perimetral.

Activar funciones relacionadas con el log de tráfico garantiza un monitoreo efectivo, pero puede suponer un impacto en rendimiento si el volumen de tráfico es muy alto. Desactivarlo implica perder esta visibilidad, afectando la capacidad reactiva ante incidentes.

Compatibilidad de versiones y modelos

La capacidad de registro y monitoreo detallado de Forward Traffic ha estado presente desde versiones antiguas de FortiOS, con mejoras y nuevas funciones integradas en las ramas 7.4.x,7.6.x, 7.4.x,7.6.x, 7.0 y posteriores. Algunas funcionalidades avanzadas, como la identificación de aplicaciones mediante firmas y resoluciones DNS internas, han mejorado en la serie 7.x, que optimiza el rendimiento y visualización.

Se encuentra disponible en dispositivos FortiGate de gama media y alta, incluidos modelos para sucursales y centros de datos, dado que requieren capacidades robustas de inspección y políticas granularizadas. En modelos muy básicos o con recursos limitados, ciertas opciones suplementarias como la identificación avanzada o la integración con Security Fabric pueden no estar presentes o estar limitadas.

Las interfaces gráficas para logs han cambiado progresivamente, con versiones recientes incorporando paneles divididos y filtros dinámicos. Algunos parámetros han cambiado de nombre o se han reorganizado en menús, por lo que es recomendable revisar la documentación oficial para cada versión. En firmware muy antiguos, los logs eran más básicos y menos interactivos.

Escenarios de uso y recomendaciones

Esta configuración se utiliza en entornos donde es crucial auditar el tráfico saliente o entrante a través del firewall. Por ejemplo, en redes empresariales que deben cumplir con normativas de seguridad estrictas, la visualización y análisis de tráfico evidencian si las políticas están funcionando como se espera.

Si la configuración se realiza mal, por ejemplo, sin activar el log de tráfico en políticas críticas, se perderán trazabilidades valiosas en caso de incidentes de seguridad. También activar el nivel de logging muy alto sin filtros puede saturar el dispositivo y complicar la extracción de datos relevantes.

Fortinet recomienda seleccionar cuidadosamente las políticas a auditar, usar filtros en los logs para no volcar información innecesaria y aprovechar la correlación con Security Fabric para un análisis integral. También aconseja mantener el firmware actualizado para beneficiarse de mejoras en la gestión y visualización.

Comandos de CLI útiles para diagnóstico

• diagnose log device: Muestra eventos de logs en tiempo real, útil para revisar tráfico y eventos recientes.
• show firewall policy: Lista las políticas de firewall configuradas y detalles asociados.
• diagnose debug enable y diagnose debug flow filter addr <IP>: Activa debug para un flujo específico y permite analizar tráfico relacionado.
• get system performance top: Verifica el estado de CPU y memoria para detectar impacto por logging intensivo.
• diagnose firewall iprope lookup <IP origen> <IP destino> <Puerto> <Protocolo>: Simula una consulta del firewall para validar políticas aplicadas a un flujo específico.

Buenas prácticas de configuración

• Activar logging únicamente en políticas críticas para evitar saturar recursos.
• Implementar filtros en los logs para centrarse en rangos IP o servicios relevantes.
• Mantener el firmware actualizado para aprovechar mejoras en funcionalidad y rendimiento.
• Configurar resoluciones DNS internas para mejor visualización de dominios en los logs.
• Correlacionar logs con otras fuentes dentro del Security Fabric para obtener contexto.
• Realizar auditorías periódicas para verificar que las políticas reflejan la realidad del tráfico necesario y permitido.
• Evitar usar niveles de debug permanentes en producción, ya que impactan el rendimiento.
• Documentar las políticas y su uso para facilitar la gestión y respuesta ante incidentes.