防火墙日志内容详解

防火墙日志类型详解

一．日志类型

配置管理（管理日志）；系统运行（系统日志）；连接日志； 访问控制；防攻击 ；深度内容检测； 虚拟专网（VPN日志）；防病毒（病毒日志） ；阻断策略（阻断日志）

二．日志关键字说明 基本关键字包括：

关键字 Id Time Fw Pri 名称 日志标示 日期时间 设备标示 优先级 说明 对于防火墙NGFW4000固定为id=tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 分为8个级别，从0到7 0 – emergency 1 – alert 2 – critical 3 – error 4 – warning 5 – notice 6 – information 7 – debug 危急 报警 严重 错误 警告 提示 信息 调试 扩展关键字：

关键字 rule proto 规则 协议 名称 防火墙规则号码 说明 协议类型，如下： ip tcp udp icmp http ftp telnet pop3 smtp snmp realaudio duration sent rcvd 持续时间 发送字节 接收字节 单位：秒 源到目的的字节 目的到源的字节 src dst user op 源地址 目的地址 用户 操作 IP地址 IP地址 用户名 根据记录类型不同而含义不同： GET POST result 结果 根据记录类型不同而含义不同： 操作取得的结果 arg type 参数 记录类型 根据记录类型不同而含义不同： 目前定义如下： mgmt -- 管理日志，管理员进行管理时记录 vpn -- VPN日志，防火墙内VPN活动记录 *system -- 系统日志，系统运行过程中的运行记录 *conn -- 连接日志，通信时的记录 *ids -- IDS日志，防火墙IDS活动记录 *virus -- 防病毒日志，防火墙防病毒活动记录 日志记录信息 源端口 目的端口 源MAC 目的MAC 产生日志的模块或进程 msg *sport *dport *smac *dmac *recorder 信息 源端口 目的端口 源MAC 目的MAC 模块或进程

三．各日志类型详细说明

管理日志（type=mgmt）

关键词 id time fw pri tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 描述 type msg *recorder user src op result

固定为mgmt 日志信息输出 产生日志的模块/进程名称 管理员名字 登陆ip 执行的管理命令 命令结果 系统日志（type=system）

关键词 id time fw pri type msg 描述 固定为tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 固定为system 日志信息输出 *recorder 产生日志的模块/进程名称，若是内核则为kernel result

命令结果 连接日志（type=conn）

关键词 id time fw pri type msg 描述 固定为tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 固定为conn 日志信息输出 *recorder 产生日志的模块/进程名称，若是内核则为kernel proto Tcp、udp、icmp，其它协议直接用协议号 src dst sport dport inpkt outpkt sent rcvd duration connid msg 源IP地址 目的IP地址 源端口 目的端口 接收包数 发送包数 发送字节数 接收字节数 持续时间 连接id 日志信息输出 访问策略/地址转换策略日志（type=ac）

关键词 id time fw pri type msg 描述 固定为tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 固定为ac 日志信息输出 *recorder 产生日志的模块名称 rule proto src dst sport dport smac dmac accept/deny Tcp、udp、icmp，其它协议直接用协议号 源IP地址 目的IP地址 源端口 目的端口 源mac地址 目的mac地址 indev outdev connid parentid policyid dpiid msg

来源接口 转发接口 连接id 如果是子连接,此处为父连接的id 匹配的策略id dpi对象的id 附加消息 包过滤日志（type=pf）

关键词 id time fw pri type msg rule proto src dst sport dport smac dmac indev policyid

描述 固定为tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 固定为pf 日志信息输出 accept/deny Tcp、udp、icmp，其它协议直接用协议号 源IP地址 目的IP地址 源端口 目的端口 源mac地址 目的mac地址 来源接口 匹配的策略id VPN日志(type=vpn）

关键词 描述 id time fw pri type msg 固定为tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 固定为vpn 日志信息输出 *recorder 产生日志的模块名称

安全日志（type=secure）

关键词 id time fw pri type msg 描述 固定为tos 格式为”yyyy-mm-dd hh:mm:ss”，24小时制 防火墙名称 日志的级别 固定为secure 日志信息输出 *recorder 产生日志的模块/进程名称，若是内核则为kernel src dst

源IP地址 目的IP地址

本文来源：https://www.bwwdw.com/article/9met.html