Quasi tutto il lavoro di un analista si consuma qui dentro: restringere qualche miliardo di righe fino alle dieci che raccontano la storia. Log View è potente ma pieno di modalità, e gran parte degli errori di analisi nasce dal non sapere in quale modalità ti trovi.

Quale insieme di log stai guardando davvero

Nel ramo Logs di Log View convivono due cose diverse. Le viste per dispositivo o per gruppo mostrano per default i log storici, cioè gli Analytics indicizzati nel database, e in alternativa i real-time appena arrivati. Log Browse apre invece i file su disco, sia quello attivo sia quelli già ruotati e compressi. Se un fatto è uscito dalla finestra di Analytics, nelle viste non lo troverai mai e in Log Browse sì.

Per passare fra i due mondi temporali si usa More, con Real-time Log e Historical Log. Due dettagli che l’esame ama: la vista di default è quella storica, e Custom View e Chart Builder esistono soltanto in vista storica. Su un FortiAnalyzer in Collector mode, dove Log View mostra i soli archivi raw, per vedere i messaggi più recenti devi aprire esplicitamente il file di log più recente.

Un gruppo di log serve a interrogare più dispositivi insieme: è un oggetto virtuale, non ha un proprio database SQL e non occupa spazio, con un tetto di 100 dispositivi. Se aggiungi un dispositivo con VDOM, tutti i suoi VDOM entrano nel gruppo.

Filtri: tre strade e una trappola

La prima strada è il filter mode: dal box Add Filter scegli il campo, l’operatore e il valore. I filtri aggiunti si concatenano in AND, e per passare a OR si clicca l’operatore nel box. La trappola è che nel menu a tendina compaiono solo i campi delle colonne visualizzate: se cerchi un campo e non lo trovi, quasi sempre manca la colonna, non il dato. Il rimedio è passare al text mode con l’icona a destra del box e scrivere direttamente nome campo, operatore e valore.

La seconda strada è il menu contestuale. Con il tasto destro su una cella aggiungi un filtro in AND, in AND negato, in OR o in OR negato, oppure sostituisci tutti i filtri con quello. Serve anche a un altro scopo, molto pratico: siccome dopo il clic destro il box mostra il nome del campo di log, è il modo più veloce per scoprire come si chiama davvero una colonna prima di scrivere un dataset o un handler.

La terza è la ricerca freestyle, che cerca una stringa nei soli campi indicizzati definiti in CLI. Con la configurazione qui sotto, scrivere semplicemente Skype cerca dentro app, dstip, proto, service, srcip, user e utmaction, e si può combinare con il resto scrivendo per esempio Skype user=David.

config system sql
    config ts-index-field
        edit "FGT-traffic"
            set value "app,dstip,proto,service,srcip,user,utmaction"
        next
    end
end

La sintassi accetta AND implicito con lo spazio, OR con la virgola o con «or», negazione con il trattino davanti al campo, wildcard, subnet, range, regex. I confronti di maggiore e minore valgono solo sui campi interi.

user=henry group=sales
user=henry,linda
-user=henry
srcip=192.168.1.0/24
srcip=10.1.0.1-10.1.0.254
policyid>1 and policyid<10

Due promemoria: i filtri non sono case sensitive per default e vanno resi tali da Tools, e per filtrare i log di traffico FortiGate per Source Object o Destination Object serve il logging UUID abilitato sul FortiGate. Per isolare il traffico originato da FortiClient il filtro è fct_devid=*.

Formatted, raw e la colonna che ti mente

La vista formattata è una proiezione: comoda, ordinabile, con colonne configurabili. La vista raw, che si attiva da More, mostra la riga come è arrivata e non permette di personalizzare le colonne, ma è l’unico modo per vedere campi che la formattata non espone. Quando un valore non torna, passa a raw e confronta con la Log Message Reference della piattaforma.

Poi c’è la trappola vera, quella che l’esame verifica volentieri. La colonna Action è uno smart action filter: combina l’azione di policy con l’azione del profilo UTM. Mostra il segno di spunta verde quando entrambe consentono il traffico, e la X rossa con la motivazione quando una delle due nega, ricavando la motivazione dal threattype presente in craction. Il problema è il caso misto: se craction classifica quel traffico come minaccia ma il profilo UTM del FortiGate è impostato su allow, la riga resta verde e non viene mostrata alcuna spiegazione. Un verde in quella colonna non significa «innocuo», significa «lasciato passare».

Log importati e ricerche fuori finestra

Puoi caricare log vecchi da Log Browse con Import, per esempio per un report su un periodo già scaduto. Il dispositivo deve però esistere già sul FortiAnalyzer: se scegli di leggerlo dal file, i messaggi devono contenere il campo device_id, altrimenti l’import fallisce con Invalid Device ID. E perché i log importati finiscano davvero in SQL, sia start-time sia rebuild-event-start-time devono essere anteriori alla data dei log, e la finestra Keep Logs for Analytics deve estendersi abbastanza indietro. Il formato è hh:mm yyyy/mm/dd.

config system sql
    set start-time 00:00 2026/01/01
    set rebuild-event-start-time 00:00 2026/01/01
end