【Paloalto】Syslogへのログ転送設定を解説　PANOS 10.2.4

Palo Alto Networks のファイアウォールを運用するうえで、ログを Syslog サーバに送っておくと、監視や調査がしやすくなります。この記事では、PA-VM（PAN-OS 10.2.4）で、Syslog サーバ プロファイルの作成から、システム ログとトラフィック ログの送信、ログ フォーマットの変更、ログのフィルタリング、送信元インタフェースの変更までを確認します。

Syslogのメリット

ログを Syslog サーバに送ると、システム ログやトラフィック ログを外部でリアルタイムに監視でき、異常な通信や攻撃の試みに気づきやすくなります。また、ファイアウォール本体より長い期間ログを保存して分析できるので、セキュリティ ポリシーの見直しや、コンプライアンスの要件に合わせたログの保管にも使えます。

どのログを送るかは、ログの種類によって設定する場所が違います。システム ログなどは「ログ設定」で、トラフィック ログなどは「ログ転送プロファイル」で指定し、ログ転送プロファイルはセキュリティ ポリシーに割り当てます。送り先は、どちらも「Syslog サーバ プロファイル」で決めます。

Syslogサーバへ送信する（システムログ）

Syslog サーバ プロファイルを作る

Device ›› サーバー プロファイル ›› Syslog を開き、「追加」をクリックします。名前（今回は Syslog_Profile_1）を入力し、「サーバー」タブの「追加」で Syslog サーバの行を追加して、各項目を入力します。入力したら「OK」をクリックします。

PA-VM（Web インタフェース）画面イメージ

Device ›› サーバー プロファイル ›› Syslog サーバー プロファイル

1名前	Syslog_Profile_1

サーバー ｜ カスタム ログ フォーマット

名前	SYSLOG サーバー	転送	ポート	フォーマット	ファシリティ
2Syslog_Server	（伏せています）	UDP	514	BSD	LOG_USER

追加3OKキャンセル

No.	項目	設定内容
1	名前	プロファイルの名前（今回は Syslog_Profile_1）。31文字まで
2	Syslog サーバの行	名前、Syslog サーバのアドレス、転送方式などを入力する（下の表）
3	OK	設定を保存する

Syslog サーバの行の各項目は次のとおりです。

項目	今回の設定	意味
名前	Syslog_Server	任意の名前
SYSLOG サーバー	（伏せています）	Syslog サーバの IP アドレスか FQDN
転送	UDP	UDP、TCP、SSL から選ぶ。UDP と TCP は平文、SSL は暗号化して送る
ポート	514	Syslog サーバの待ち受けポート。標準は UDP が 514、SSL が 6514。TCP の場合はサーバに合わせて指定する
フォーマット	BSD	BSD（既定）か IETF。Syslog サーバ側が受け付ける形式に合わせる
ファシリティ	LOG_USER	LOG_USER、LOG_LOCAL0〜LOG_LOCAL7 から選ぶ。Syslog サーバ側でのログの振り分けに使う

フォーマットの BSD と IETF は、Syslog メッセージの形式の違いです。

フォーマット	規格	特徴
BSD	RFC 3164	古くからある形式。ヘッダーは優先度（PRI）、時刻、ホスト名だけのシンプルな形で、多くの Syslog サーバが対応している
IETF	RFC 5424	新しい形式。ヘッダーにバージョンやアプリ名、より詳しい時刻を持ち、構造化データも入れられる。形式が厳密に決まっている

ファシリティは、ログをどの種類のメッセージとして扱うかを示す値です。LOG_USER はユーザー プログラムのメッセージ向け、LOG_LOCAL0〜7 は利用者が自由に割り当てる用途向けです。複数の機器のログを1台の Syslog サーバで受ける場合は、機器ごとに LOG_LOCAL の番号を分けておくと、サーバ側で振り分けやすくなります。

ログ設定でシステム ログを送る

どのログを Syslog サーバに送るかを指定します。Device ›› ログ設定 を開き、「システム」の「追加」をクリックします。名前（今回は LOG_Setting）を入力し、「転送方式」の「SYSLOG」で「追加」をクリックして、STEP 1 の Syslog_Profile_1 を選びます。フィルタは「All Logs」（既定）のままにして、すべてのシステム ログを送ります。

PA-VM（Web インタフェース）画面イメージ

Device ›› ログ設定 – システム

1名前	LOG_Setting
2フィルタ	All Logs
内容

転送方式

SNMP／電子メール／HTTP	（設定なし）
3SYSLOG	☑ Syslog_Profile_1

4OKキャンセル

No.	項目	設定内容
1	名前	任意の名前（今回は LOG_Setting）
2	フィルタ	送るログの条件。今回は All Logs（すべてのログ）。絞り込み方は後半の「ログのフィルタリング」で説明する
3	SYSLOG	「追加」で STEP 1 の Syslog_Profile_1 を選ぶ
4	OK	設定を保存する

Commit する

画面右上の「Commit」を実行して、設定を反映します。これで、システム ログが Syslog サーバに送られるようになります。

Syslogサーバへ送信する（トラフィックログ）

トラフィック ログは、ファイアウォールが許可または拒否した通信のログです。どの IP アドレスやユーザーが、どのアプリケーションやポートを使ったかがわかるので、不要な通信の確認やトラブルシューティングに役立ちます。

トラフィック ログの送り方は、システム ログと少し違います。Syslog サーバ プロファイルを「ログ転送プロファイル」で指定し、そのログ転送プロファイルを、ログを送りたいセキュリティ ポリシーに割り当てます。Syslog サーバ プロファイルは、STEP 1 で作った Syslog_Profile_1 をそのまま使います。

ログ転送プロファイルを作る

Objects ›› ログ転送 を開き、「追加」をクリックします。「ログ転送プロファイル」の画面で名前（今回は LOG_Forwarding）を入力し、「追加」をクリックすると「ログ転送プロファイルのマッチ リスト」が開きます。各項目を設定して「OK」をクリックします。

PA-VM（Web インタフェース）画面イメージ

Objects ›› ログ転送 ›› ログ転送プロファイルのマッチ リスト

1名前	LOG_Traffic
2ログ タイプ	traffic
フィルタ	All Logs

転送方式

3SYSLOG

☑ Syslog_Profile_1

4OKキャンセル

No.	項目	設定内容
1	名前	任意の名前（今回は LOG_Traffic）
2	ログ タイプ、フィルタ	traffic（既定）と All Logs（既定）。トラフィック ログをすべて送る
3	SYSLOG	「追加」で Syslog_Profile_1 を選ぶ
4	OK	マッチ リストを保存する

「ログ転送プロファイル」の一覧に LOG_Traffic のエントリが追加されたことを確認し、「OK」をクリックします。

PA-VM（Web インタフェース）画面イメージ

Objects ›› ログ転送 ›› ログ転送プロファイル（LOG_Forwarding）

名前	ログ タイプ	フィルタ	転送方式
1LOG_Traffic	traffic	All Logs	SysLog：Syslog_Profile_1

2OKキャンセル

No.	表示・項目	意味・操作
1	LOG_Traffic	トラフィック ログを Syslog_Profile_1 に送るエントリ。1つのプロファイルに、ログ タイプごとのエントリを複数入れられる
2	OK	ログ転送プロファイル（LOG_Forwarding）を保存する

セキュリティ ポリシーに割り当てる

Policies ›› セキュリティ で、トラフィック ログを送りたいポリシーを開きます。「アクション」タブの「ログ設定」で、「ログ転送」に LOG_Forwarding を選び、「OK」をクリックします。

PA-VM（Web インタフェース）画面イメージ

Policies ›› セキュリティ ›› セキュリティ ポリシー ルール ›› アクション

アクション設定

アクション

Allow

ログ設定

セッション開始時にログ	☐
1セッション終了時にログ	☑
2ログ転送	LOG_Forwarding

3OKキャンセル

No.	項目	設定内容
1	セッション終了時にログ	オン（既定）。セッションが終わったときにトラフィック ログが記録される。ログが記録されないポリシーのログは送られない
2	ログ転送	STEP 4 の LOG_Forwarding を選ぶ
3	OK	設定を保存する

Commit する

「Commit」を実行して、設定を反映します。これで、このポリシーに一致した通信のトラフィック ログが Syslog サーバに送られるようになります。

その他ログの転送（システム・トラフィックログ以外）

システム ログとトラフィック ログ以外のログも、ログの種類ごとに設定すれば Syslog サーバに送れます。

設定する場所	対象のログ	使い方
Device ›› ログ設定	システム、設定、ユーザー ID、HIP マッチ、GlobalProtect など	画面にログの種類ごとの欄（「システム」の下に「設定」「ユーザー ID」…）が並ぶ。欄ごとに「追加」でフィルタと転送方式を設定する
Objects ›› ログ転送（ログ転送プロファイル）	認証（auth）、データ フィルタリング（data）、復号（decryption）、脅威（threat）、トラフィック（traffic）、トンネル検査（tunnel）、URL フィルタリング（url）、WildFire への送信（wildfire）	マッチ リストの「ログ タイプ」で種類を選んでエントリを追加する。作ったプロファイルはセキュリティ ポリシーに割り当てる

ログフォーマットの変更

監視や分析の要件に合わせて、送るログの形式を変えることもできます。Syslog サーバ プロファイルの「カスタム ログ フォーマット」タブで、ログ タイプごとに設定します。

PA-VM（Web インタフェース）画面イメージ

Syslog サーバー プロファイル（Syslog_Profile_1） ›› カスタム ログ フォーマット

ログ タイプ	カスタム フォーマット
設定	デフォルト
1システム	デフォルト
脅威	デフォルト
トラフィック	デフォルト
URL	デフォルト
データ	デフォルト
WildFire	デフォルト
⋮　（中略）

☐ エスケープ

エスケープされた文字
エスケープ文字

ログ フォーマットの編集（システム ログ形式）

2フィールド	actionflags、device_name、eventid、module、object、receive_time、serial、severity …
システム ログ形式

No.	項目	設定内容
1	ログ タイプ	既定はどれも「デフォルト」。変えたいログ タイプをダブルクリックすると、「ログ フォーマットの編集」が開く
2	フィールド、ログ形式	左のフィールド名をクリックすると、ログ形式の欄に追加される。送りたいフィールドを並べて形式を作る

各ログのフィールドの意味は、次のドキュメントで確認できます。

>> 参考記事：Syslog Field Descriptions（メーカドキュメント）

ログのフィルタリング

送るログが多すぎると、大事なログが埋もれたり、Syslog サーバの容量を圧迫したりします。必要なログだけを送るには、「ログ設定」や「ログ転送プロファイル」のフィルタで条件を指定します。フィルタに使える項目は、ログの種類によって違います。

ログ設定のフィルタ

システム ログの例で見ていきます。ログ設定の「フィルタ」の右端にある下向きのマークをクリックし、「フィルタ ビルダー」をクリックすると、「フィルタの作成」画面が開きます。

たとえば、重大度が critical のログだけを送る場合は、属性で「重大度」、演算子で「equal」、値で「critical」を選び、「追加」をクリックします。上の欄に (severity eq critical) という条件が入ります。

PA-VM（Web インタフェース）画面イメージ

ログ設定 – システム ›› フィルタ ビルダー ›› フィルタの作成

5フィルタ

(severity eq critical)

結合子	属性	演算子	値
and or	イベント オブジェクト タイプ 内容 受信日時 生成日時 1重大度	2equal 次の値と等しくない 次の値以上 次の値以下	informational low medium high 3critical

4追加OKキャンセル

No.	項目	設定内容
1	属性	重大度
2	演算子	equal（次の値と等しい）
3	値	critical
4	追加	条件をフィルタの欄に追加する
5	フィルタ	(severity eq critical) が入る。結合子 and／or で条件を重ねることもできる

作ったフィルタで正しくログが絞り込まれるかは、「フィルタリングされたログの表示」タブで確認できます。

PA-VM（Web インタフェース）画面イメージ

フィルタの作成 ›› フィルタリングされたログの表示　(severity eq critical)

受信日時	タイプ	重大度	イベント	オブジェクト	内容
11/11 20:38:52	dynamic-updates	1critical	palo-alto-networks-message		Urgent Action required: PAN-OS Certificate Expiration on Dec 31 2023. …
11/11 20:24:41	dhcp	critical	if-clear	ethernet1/2	DHCP client cleared IP address on interface:ethernet1/2 due to: Lease expiry
10/29 05:41:37	crypto	critical	private-key-export		Private key PA-Cert-Authority was exported by user （伏せています）
⋮　（中略）

No.	表示	意味
1	重大度：critical（赤の表示）	表示されたログがすべて critical で、フィルタどおりに絞り込まれている

ログ転送プロファイルのフィルタ

ログ転送プロファイルのマッチ リストでも、「フィルタ」で同じように条件を指定できます。手順はログ設定と同じなので省略します。

サービスルートの設定（送信元インタフェースの変更）

既定では、Syslog メッセージは管理インタフェースから送られます。管理インタフェースから Syslog サーバに届かないネットワーク構成の場合は、「サービスルート」の設定で、送信元のインタフェースを変えられます。

Device ›› セットアップ ›› サービス を開き、「サービス機能」の「サービスルートの設定」をクリックします。「カスタマイズ」を選び、「IPv4」タブの「Syslog」をクリックします。「送信元インターフェイス」と「送信元アドレス」を選んで「OK」をクリックし、一覧の Syslog の行が変わったことを確認して「OK」をクリックします。最後に Commit して反映します。

PA-VM（Web インタフェース）画面イメージ

Device ›› セットアップ ›› サービス ›› サービスルートの設定

1○ すべてに管理インターフェイスを使用◉ カスタマイズ

サービスルート送信元（syslog）

2送信元インターフェイス	ethernet1/1
送信元アドレス	（伏せています）/24

3OKキャンセル

No.	項目	設定内容
1	カスタマイズ	サービスごとに送信元を変えられるようにする
2	送信元インターフェイス、送信元アドレス	Syslog を送るインタフェース（今回は ethernet1/1）と、そのインタフェースのアドレス
3	OK	設定を保存し、Commit で反映する

うまくいかないとき

状態	よくある原因	確認すること
ログが Syslog サーバに届かない	管理インタフェースから Syslog サーバに届かない	経路と、途中のファイアウォールで Syslog のポートが通るか。必要ならサービスルートで送信元を変える
同上	転送方式やポートがサーバと合っていない	UDP／TCP／SSL とポート番号が、Syslog サーバの待ち受けと一致しているか
システム ログは届くが、トラフィック ログが届かない	ポリシーにログ転送プロファイルを割り当てていない	セキュリティ ポリシーのアクション タブで、ログ転送とセッション終了時のログが設定されているか
ログは届くが、サーバ側で正しく解析されない	フォーマットやカスタム形式がサーバの想定と違う	BSD／IETF の選択と、カスタム ログ フォーマットの内容

まとめ

項目	設定場所	今回の設定
送り先	Device ›› サーバー プロファイル ›› Syslog	Syslog_Profile_1（UDP／514／BSD／LOG_USER）
システム ログ	Device ›› ログ設定	LOG_Setting（All Logs → Syslog_Profile_1）
トラフィック ログ	Objects ›› ログ転送	LOG_Forwarding（LOG_Traffic：traffic、All Logs → Syslog_Profile_1）
ポリシーへの割り当て	Policies ›› セキュリティ ›› アクション	ログ転送：LOG_Forwarding
フォーマット（任意）	Syslog サーバ プロファイル ›› カスタム ログ フォーマット	ログ タイプごとにフィールドを並べる
フィルタ（任意）	ログ設定／ログ転送プロファイル ›› フィルタ	例：(severity eq critical)
送信元（任意）	Device ›› セットアップ ›› サービス ›› サービスルートの設定	Syslog：ethernet1/1

関連記事：【Paloalto】SNMPアクセス・トラップ設定を解説 PANOS 10.2.4 ／ 【Paloalto】よく使用するCLIコマンド　PANOS 10.0.7