ファイアウォール：タイプ2のログフォーマットについて知りたい
サンプルログ
トラフィック
| icmp | Sep 1 21:23:07 isa12345678 isi12345678 date=2025-09-01 time=21:23:07 devid="" eventtime=1752754986924008728 tz="+0900" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.0.2.10 identifier=1 srcintf="" srcintfrole="undefined" dstip=203.0.113.1 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="Japan" sessionid=24740 proto=1 action="accept" policyid=79 policytype="policy" poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policyname="Permit" service="" appcat="unscanned" duration=63 sentbyte=240 rcvdbyte=240 sentpkt=4 rcvdpkt=4 |
|---|---|
| udp | Sep 1 22:45:10 isa12345678 isi12345678 date=2025-09-01 time=22:45:10 devid="" eventtime=1752759910204012970 tz="+0900" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.0.2.10 srcport=50291 srcintf="" srcintfrole="undefined" dstip=203.0.113.2 dstport=53 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="Japan" sessionid=27262 proto=17 action="accept" policyid=2 policytype="policy" poluuid="5ca33fe4-1cc9-51ef-034d-1c86a4bbd3d9" policyname="ISA_DEFAULT_ALLOW" service="" appcat="unscanned" duration=180 sentbyte=85 rcvdbyte=89 sentpkt=1 rcvdpkt=1 |
| tcp | Sep 1 21:28:27 isa12345678 isi12345678 date=2025-09-01 time=21:28:27 devid="" eventtime=1752755307284030601 tz="+0900" logid="0000000011" type="traffic" subtype="forward" level="warning" vd="root" srcip=192.0.2.10 srcport=59996 srcintf="" srcintfrole="undefined" dstip=203.0.113.72 dstport=443 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="Japan" sessionid=24786 proto=6 action="ip-conn" policyid=79 policytype="policy" poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policyname="Permit" service="" crscore=5 craction=262144 crlevel="low" msg="Connection Failed" Sep 1 21:28:27 isa12345678 isi12345678 date=2025-09-01 time=21:28:27 devid="" eventtime=1752755307284034889 tz="+0900" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.0.2.10 srcport=59996 srcintf="" srcintfrole="undefined" dstip=203.0.113.72 dstport=443 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="Japan" sessionid=24786 proto=6 action="client-rst" policyid=79 policytype="policy" poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policyname="Permit" service="" appcat="unscanned" duration=5 sentbyte=1813 rcvdbyte=47607 sentpkt=19 rcvdpkt=45 |
| tcp+app1 | Sep 1 21:45:38 isa12345678 isi12345678 date=2025-09-01 time=21:45:38 devid="" eventtime=1752756338764001697 tz="+0900" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.168.21.130 srcport=60050 srcintf="" srcintfrole="undefined" dstip=172.64.155.209 dstport=443 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="United States" sessionid=24973 proto=6 action="client-rst" policyid=79 policytype="policy" poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policyname="Permit" service="" appid=15893 app="HTTP.BROWSER" appcat="Web.Client" apprisk="medium" applist="ISA_Default_APP" duration=5 sentbyte=1207 rcvdbyte=12714 sentpkt=15 rcvdpkt=17 wanin=11622 wanout=603 lanin=797 lanout=12030 |
| tcp+app2 | Sep 1 21:49:49 isa12345678 isi12345678 date=2025-09-01 time=21:49:48 devid="" eventtime=1752756588504014749 tz="+0900" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.168.21.130 srcport=60624 srcintf="" srcintfrole="undefined" dstip=182.48.49.199 dstport=143 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="Japan" sessionid=25061 proto=6 action="close" policyid=79 policytype="policy" poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policyname="Permit" service="" appid=27783 app="IMAPS" appcat="Email" apprisk="medium" applist="ISA_Default_APP" duration=42 sentbyte=3722 rcvdbyte=9342 sentpkt=42 rcvdpkt=31 utmaction="allow" countapp=1 |
| tcp+ssl | Sep 1 21:49:06 isa12345678 isi12345678 date=2025-09-01 time=21:49:05 devid="" eventtime=1752756545473997595 tz="+0900" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.168.21.130 srcport=60621 srcintf="" srcintfrole="undefined" dstip=20.42.73.29 dstport=443 dstintf="" dstintfrole="undefined" srccountry="Reserved" dstcountry="United States" sessionid=25057 proto=6 action="close" policyid=79 policytype="policy" poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policyname="Permit" service="" appid=15895 app="SSL" appcat="Network.Service" apprisk="elevated" applist="ISA_Default_APP" duration=5 sentbyte=739 rcvdbyte=3187 sentpkt=9 rcvdpkt=9 wanin=4568 wanout=375 lanin=375 lanout=2823 utmaction="allow" countssl=1 |
UTM
| ssl検査 | Sep 1 21:54:54 isa12345678 isi12345678 date=2025-09-01 time=21:54:54 devid="" eventtime=1752756893979277578 tz="+0900" logid="1700062302" type="utm" subtype="ssl" eventtype="ssl-anomaly" level="notice" vd="root" action="resign-as-untrusted" policyid=79 poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policytype="policy" sessionid=25199 service="" profile="ISA_Certificate_Inspection" srcip=192.0.2.10 srcport=60676 srccountry="Reserved" dstip=203.0.113.90 dstport=443 dstcountry="Netherlands" srcintf="" srcintfrole="undefined" dstintf="" dstintfrole="undefined" srcuuid="57a7988c-1cc9-51ef-b361-c9990c7494e5" dstuuid="57a7988c-1cc9-51ef-b361-c9990c7494e5" proto=6 eventsubtype="certificate-anomaly" msg="Server certificate is re-signed as untrusted, certificate-status: untrusted." hostname="example.com" |
|---|---|
| アプリケーション制御 | Sep 1 21:49:07 isa12345678 isi12345678 date=2025-09-01 time=21:49:06 devid="" eventtime=1752756546441383391 tz="+0900" logid="1059028704" type="utm" subtype="app-ctrl" eventtype="signature" level="information" vd="root" appid=27783 srcip=192.0.2.10 srccountry="Reserved" dstip=203.0.113.62 dstcountry="Japan" srcport=60624 dstport=143 srcintf="" srcintfrole="undefined" dstintf="" dstintfrole="undefined" proto=6 service="" direction="outgoing" policyid=79 poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policytype="policy" sessionid=25061 applist="ISA_Default_APP" action="pass" appcat="Email" app="IMAPS" incidentserialno=169869435 msg="Email: IMAPS" apprisk="medium" |
| アンチマルウェア | Sep 1 22:11:05 isa12345678 isi12345678 date=2025-09-01 time=22:11:05 devid="" eventtime=1752757864867364679 tz="+0900" logid="0211008192" type="utm" subtype="virus" eventtype="infected" level="warning" vd="root" policyid=79 poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policytype="policy" msg="File is infected." action="blocked" service="" sessionid=25819 srcip=192.0.2.10 dstip=203.0.113.97 srcport=60972 dstport=443 srccountry="Reserved" dstcountry="Russian Federation" srcintf="" srcintfrole="undefined" dstintf="" dstintfrole="undefined" srcuuid="57a7988c-1cc9-51ef-b361-c9990c7494e5" dstuuid="57a7988c-1cc9-51ef-b361-c9990c7494e5" proto=6 direction="incoming" filename="example.zip" quarskip="Quarantine-disabled" virus="EXAMPLE_TEST_FILE" viruscat="Virus" dtype="av-engine" ref="https://fortiguard.com/encyclopedia/virus/2172" virusid=2172 url="https://www.example.com/example.zip" profile="ISA_Default_AM" agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:140.0) Gecko/20100101 Firefox/140.0" httpmethod="GET" referralurl="https://www.example.com/" analyticssubmit="false" crscore=50 craction=2 crlevel="critical" rawdata="[RESP] content-type=application/x-zip-compressed" |
| 侵入防止 | Sep 1 22:26:33 isa12345678 isi12345678 date=2025-09-01 time=22:26:33 devid="" eventtime=1752758793463075345 tz="+0900" logid="0419016384" type="utm" subtype="ips" eventtype="signature" level="alert" vd="root" severity="medium" srcip=192.0.2.10 srccountry="Reserved" dstip=203.0.113.97 dstcountry="Ireland" srcintf="" srcintfrole="undefined" dstintf="" dstintfrole="undefined" sessionid=27095 action="dropped" proto=6 service="" policyid=79 poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policytype="policy" attack="Multiple.Vendors.getcfg.php.Information.Disclosure" srcport=61746 dstport=80 hostname="example.com" url="/etc/passwd" agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36 Edg/138.0.0.0" httpmethod="GET" referralurl="http://example.com/" direction="outgoing" attackid=44585 profile="ISA_Default_IPS" ref="http://www.fortinet.com/ids/VID44585" incidentserialno=169870294 msg="applications3: Multiple.Vendors.getcfg.php.Information.Disclosure" attackcontextid="0/2" crscore=10 craction=16384 crlevel="medium" Sep 1 22:26:33 isa12345678 isi12345678 date=2025-09-01 time=22:26:33 devid="" eventtime=1752758793463351407 tz="+0900" logid="0419016384" type="utm" subtype="ips" eventtype="signature" level="alert" vd="root" severity="medium" srcip=192.0.2.10 srccountry="Reserved" dstip=203.0.113.97 dstcountry="Ireland" srcintf="" srcintfrole="undefined" dstintf="" dstintfrole="undefined" sessionid=27095 action="dropped" proto=6 service="" policyid=79 poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policytype="policy" attack="Multiple.Vendors.getcfg.php.Information.Disclosure" srcport=61746 dstport=80 agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36 Edg/138.0.0.0" httpmethod="GET" referralurl="http://example.com/" direction="outgoing" attackid=44585 profile="ISA_Default_IPS" ref="http://www.fortinet.com/ids/VID44585" incidentserialno=169870294 attackcontextid="1/2" attackcontext="ZXhhbXBsZSBhdHRhY2tjb250ZXh0" Sep 1 22:26:33 isa12345678 isi12345678 date=2025-09-01 time=22:26:33 devid="" eventtime=1752758793463500563 tz="+0900" logid="0419016384" type="utm" subtype="ips" eventtype="signature" level="alert" vd="root" severity="medium" srcip=192.0.2.10 srccountry="Reserved" dstip=203.0.113.97 dstcountry="Ireland" srcintf="" srcintfrole="undefined" dstintf="" dstintfrole="undefined" sessionid=27095 action="dropped" proto=6 service="" policyid=79 poluuid="67e9ac94-1cc9-51ef-11f2-d72d6301d7fb" policytype="policy" attack="Multiple.Vendors.getcfg.php.Information.Disclosure" srcport=61746 dstport=80 agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36 Edg/138.0.0.0" httpmethod="GET" referralurl="http://example.com/" direction="outgoing" attackid=44585 profile="ISA_Default_IPS" ref="http://www.fortinet.com/ids/VID44585" incidentserialno=169870294 attackcontextid="2/2" attackcontext="ZXhhbXBsZSBhdHRhY2tjb250ZXh0" crscore=10 craction=16384 crlevel="medium" |
共通
項目 |
例 |
説明 |
|---|---|---|
Month day hh:mm:dd |
Sep 1 21:23:07 |
ログ出力日時 |
isaXXXXXXXX |
isa12345678 |
isaサービスコード |
isiXXXXXXXX |
isi12345678 |
isiサービスコード |
key |
value |
説明 |
|---|---|---|
date |
2025-09-01 |
通信が発生した日付 |
time |
21:23:07 |
通信が発生した時間 |
devid |
"" |
内部パラメータ |
eventtime |
1752754986924008728 |
ログイベントのタイムスタンプ（UNIX時間（ナノ秒単位）） |
tz |
+0900 |
タイムゾーン |
logid |
0000000013 |
ログ識別子 |
type |
traffic |
ログの主分類 |
subtype |
forward |
ログの副分類 |
level |
notice |
ログイベントの重大度 |
srcip |
192.0.2.10 |
送信元IPアドレス |
dstip |
203.0.113.1 |
宛先IPアドレス |
sessionid |
24740 |
セッションID |
proto |
1 |
プロトコル番号 |
action |
accept |
通信に対しての対応結果 |
policyid |
79 |
ポリシーID |
policytype |
policy |
ポリシーのタイプ |
poluuid |
67e9ac94-1cc9-51ef-11f2-d72d6301d7fb |
ポリシーのUUID |
srcport |
50291 |
送信元ポート番号 |
dstport |
53 |
宛先ポート番号 |
vd |
root |
バーチャルドメイン名 |
srcintf |
"" |
内部パラメータ |
srcintfrole |
undefined |
内部パラメータ |
dstintf |
"" |
内部パラメータ |
dstintfrole |
undefined |
内部パラメータ |
srccountry |
Reserved |
送信元IPアドレスから判断した送信元の国名 送信元IPアドレスがプライベートIPアドレスの場合、Reservedと出力する |
dstcountry |
Japan |
宛先IPアドレスから判断した宛先の国名 |
service |
"" |
内部パラメータ |
appid |
15893 |
アプリケーションID |
app |
HTTP.BROWSER |
アプリケーション名 |
appcat |
unscanned |
アプリケーションのカテゴリ |
apprisk |
medium |
アプリケーションのリスクレベル |
applist |
ISA_Default_APP |
アプリケーションプロファイル名 |
type別
type |
subtype |
key |
value |
説明 |
|---|---|---|---|---|
traffic |
通信ログ |
|||
forward |
転送トラフィックログ |
|||
identifier |
1 |
特定のイベントやアクションを一意に識別するための情報 |
||
policyname |
Permit |
ポリシー名 |
||
duration |
63 |
通信継続時間 |
||
sentbyte |
240 |
送信バイト数 |
||
rcvdbyte |
240 |
受信バイト数 |
||
sentpkt |
4 |
送信パケット数 |
||
rcvdpkt |
4 |
受信パケット数 |
||
sentdelta |
11409 |
送信されたバイト数の差分 |
||
rcvddelta |
31975 |
受信されたバイト数の差分 |
||
durationdelta |
181 |
経過時間（秒単位） |
||
sentpktdelta |
18 |
送信されたパケット数の差分 |
||
rcvdpktdelta |
30 |
受信されたパケット数の差分 |
||
wanin |
11622 |
wanの受信トラフィック（バイト単位） |
||
wanout |
603 |
wanの送信トラフィック（バイト単位） |
||
lanin |
797 |
lanの受信トラフィック（バイト単位） |
||
lanout |
1203 |
lanの送信トラフィック（バイト単位） |
||
utmaction |
allow |
UTMが行うセキュリティアクション |
||
countapp |
1 |
セッションに関連するアプリケーションコントロールログの数 |
||
countssl |
1 |
セッションに関連するSSLログの数 |
||
utm |
UTMログ |
|||
| 全subtype共通 | eventtype | { ssl-anomaly | signature | infected } | イベントタイプ | |
| direction | { outgoing | incoming } | 攻撃の方向性 outgoing = 外部へ向けた攻撃 incoming = 内部へ向けた攻撃 |
||
| msg | Server certificate is re-signed as untrusted, certificate-status: untrusted. | メッセージフィールド | ||
| hostname | example.com | 宛先ホスト名 | ||
| url | https://www.example.com/example.zip | 宛先URL | ||
| profile | ISA_Certificate_Inspection | プロファイル名 | ||
| agent | Mozilla/5.0 | User-Agent | ||
| httpmethod | GET | HTTPメソッド | ||
| referralurl | https://www.example.com/ | アクセス元のリンクURL | ||
| incidentserialno | 169869435 | インシデントシリアル番号 | ||
| ref | https://fortiguard.com/encyclopedia/virus/2172 | シグネチャの詳細 | ||
| crscore | 50 | リスクスコア | ||
| craction | 2 | 脅威に対してUTMが取ったアクション | ||
| crlevel | critical | リスクレベル | ||
| srcuuid | 57a7988c-1cc9-51ef-b361-c9990c7494e5 | 送信元UUID | ||
| dstuuid | 57a7988c-1cc9-51ef-b361-c9990c7494e5 | 宛先UUID | ||
ssl |
SSL検査ログ |
|||
sni |
www.example.com |
接続先のSNI |
||
eventsubtype |
certificate-anomaly |
イベントのサブタイプ |
||
catdesc |
Information Technology |
Webサイトのカテゴリ名 |
||
app-ctl |
アプリケーション制御ログ |
|||
virus |
アンチマルウェアログ |
|||
filename |
example.zip |
ファイル名 |
||
quarskip |
Quarantine-disabled |
検疫スキップ理由 |
||
virus |
EXAMPLE_TEST_FILE |
ウイルス検知名 |
||
viruscat |
Virus |
ウイルスのカテゴリ |
||
dtype |
av-engine |
ウイルスカテゴリのデータタイプ |
||
virusid |
2172 |
ウイルスID |
||
agent |
Mozilla/5.0 |
User-Agent |
||
analyticssubmit |
false |
分析送信のフラグ |
||
rawdata |
[RESP] content-type=application/x-zip-compressed |
HTTPリクエストの詳細情報（HTTPメソッドやリファラ情報・UAなど） |
||
ips |
侵入防止ログ |
|||
severity |
medium |
重要度 |
||
attack |
Multiple.Vendors.getcfg.php.Information.Disclosure |
シグネチャ名 |
||
attackid |
44585 |
シグネチャID |
||
attackcontextid |
0/2 |
アタックコンテキストID |
||
attackcontext |
[Base64エンコードされたデータ] |
base64エンコーディングした検知パターン情報 |
||