방화벽 로그 분석: FortiGate 로그 설정·확인과 SIEM 연동 방법

핵심 답변: FortiGate 방화벽 로그 분석은 허용/차단 트래픽, 관리자 접속, VPN 사용, 위협 이벤트 등 네트워크 활동 전반에 대한 깊은 가시성을 제공하여 잠재적 보안 위협을 조기에 탐지하고 대응할 수 있도록 돕습니다. FortiGate의 GUI와 CLI를 통해 로그를 확인하고 Syslog 원격 로깅을 설정함으로써, 로그를 중앙 집중식 SIEM으로 수집하여 장기 보관하고 정교한 탐지 규칙과 MITRE ATT&CK 매핑을 통해 포괄적인 MDR 및 보안관제 체계를 구축할 수 있습니다.

방화벽 로그로 무엇을 알 수 있나

방화벽은 네트워크의 최전선에서 모든 트래픽을 감시하며 보안 정책을 적용하는 핵심 장비입니다. FortiGate와 같은 방화벽이 생성하는 로그는 단순한 기록을 넘어, 네트워크 내부에서 발생하는 다양한 보안 이벤트와 트렌드를 파악하는 데 필수적인 정보를 제공합니다. 이러한 로그를 분석함으로써 다음과 같은 주요 정보들을 얻을 수 있습니다.

허용 및 차단 트래픽: 네트워크 정책에 따라 허용되거나 차단된 모든 통신 기록을 통해 정상적인 서비스 흐름과 비정상적인 접근 시도를 구분할 수 있습니다. 이는 잠재적인 공격 시도를 식별하거나, 정책 위반 트래픽을 찾아내는 데 중요합니다.
관리자 접속 기록: 방화벽 장비에 접속한 관리자의 계정, 시간, IP 주소 등을 기록하여 비인가된 관리자 접근 시도나 내부자에 의한 오남용을 감지할 수 있습니다. 반복적인 로그인 실패는 무차별 대입(Brute-Force) 공격의 신호일 수 있습니다.
VPN 접속 활동: 원격 접속을 위한 VPN 사용자의 로그인 및 로그아웃 기록, 접속 성공 및 실패 여부, 사용된 계정과 출발지 IP 등을 확인하여 VPN 계정 도용이나 비정상적인 원격 접근을 탐지할 수 있습니다.
위협 이벤트: IPS(침입 방지 시스템), AntiVirus, Web Filtering 등 UTM(Unified Threat Management) 기능에서 탐지된 악성코드, Exploit 공격, 악성 웹사이트 접속 등 다양한 보안 위협 이벤트를 파악하여 즉각적인 대응을 계획할 수 있습니다.

FortiGate 로그 확인: GUI 메뉴와 CLI

FortiGate 방화벽에서 생성되는 로그는 관리자의 가시성 확보 및 문제 해결에 중요한 역할을 합니다. FortiGate는 GUI(Graphical User Interface)와 CLI(Command Line Interface)를 통해 다양한 로그를 확인하고 관리할 수 있도록 지원합니다. 다만, FortiOS 버전에 따라 메뉴 명칭이나 옵션이 다를 수 있다는 점을 유의하시기 바랍니다.

2.1. GUI를 통한 로그 확인 및 설정

FortiGate 관리 GUI에 접속한 후, 일반적으로 'Log & Report'(로그 및 보고서) 메뉴에서 다양한 유형의 로그를 확인할 수 있습니다. 주요 로그 유형으로는 'Forward Traffic'(포워드 트래픽), 'System Events'(시스템 이벤트) 등이 있습니다. 이 메뉴를 통해 네트워크 트래픽 흐름, 관리자 활동, 시스템 경고 등 중요한 정보를 시각적으로 파악할 수 있습니다.

로그 설정은 'Log Settings' 메뉴에서 관리합니다. 이곳에서는 로그를 FortiGate 장비 내부에 저장할지(디스크 로깅), 혹은 FortiAnalyzer나 Syslog 서버와 같은 외부 시스템으로 원격 전송할지 설정할 수 있습니다. 필요한 로그 유형을 활성화하고 상세 로깅 레벨을 조절하여 중요한 보안 이벤트가 누락 없이 기록되도록 설정하는 것이 중요합니다.

2.2. CLI를 통한 로그 확인

CLI는 GUI에서 제공하지 않는 세부적인 로그 필터링 및 확인 기능을 제공하여, 특정 조건의 로그를 빠르고 정확하게 찾아낼 때 유용합니다. FortiGate CLI에서 로그를 확인하는 방법은 버전에 따라 다를 수 있으나, 일반적으로 다음과 같은 명령어를 활용합니다.

execute log filter category: 로그 범주(category)를 기준으로 필터링 조건을 설정합니다. 예를 들어, 트래픽 로그, 이벤트 로그 등으로 필터링할 수 있습니다.
execute log display: 필터링 조건에 맞는 로그를 화면에 출력합니다.

이러한 CLI 명령어를 활용하여 특정 Source IP, Destination IP, 정책 ID, 또는 특정 시간대의 로그를 정밀하게 검색함으로써, 보안 사고 발생 시 신속한 분석에 기여할 수 있습니다.

FortiGate syslog 원격 로깅 설정

FortiGate 로그를 중앙 집중식으로 관리하고 장기 보관하며 심층 분석하기 위해서는 Syslog를 이용한 원격 로깅 설정이 필수적입니다. 이를 통해 FortiGate 장비의 저장 공간 제약을 극복하고, 외부 SIEM 또는 로그 관리 시스템에서 상관분석 및 위협 탐지를 수행할 수 있습니다.

FortiGate는 Syslog 원격 로깅 설정 시 로그 형식을 다양하게 지원합니다. 일반적으로 다음과 같은 형식 중 하나를 선택할 수 있습니다.

default: FortiGate의 기본 로그 형식으로, 사람이 읽기 쉬운 텍스트 기반입니다.
csv: 쉼표로 구분된 값(Comma Separated Values) 형식으로, 데이터 파싱이 비교적 용이합니다.
cef: Common Event Format은 ArcSight에서 개발된 표준 로그 형식으로, 다양한 SIEM 솔루션에서 로그 필드를 자동으로 분류하고 파싱하는 데 매우 효과적입니다. SIEM 연동 시 가장 권장되는 형식 중 하나입니다.

다음은 FortiGate CLI를 이용한 Syslog 원격 로깅 설정 예시입니다. FortiOS 버전에 따라 지원하는 형식이 다를 수 있습니다.

config log syslogd setting
    set status enable
    set server "&lt;수집 서버 IP&gt;"
    set port 514
    set format default
end

위 예시에서 `set server`에는 로그를 수집할 SIEM 또는 Syslog 서버의 IP 주소를 입력하며, `set port`는 Syslog 기본 포트인 514번을 사용합니다. `set format`은 앞서 설명한 형식 중 하나를 선택할 수 있습니다. 이 설정을 통해 FortiGate에서 발생하는 모든 중요한 로그가 지정된 외부 서버로 실시간 전송됩니다.

FortiGate 로그 저장 기간

로그 저장 기간 정책은 법적 및 규제 준수뿐만 아니라, 잠재적 보안 침해 사고 발생 시 포렌식 분석 및 위협 헌팅(Threat Hunting)을 위한 필수적인 요소입니다. FortiGate는 장비 내 디스크 로깅과 외부로의 원격 보관이라는 두 가지 주요 로그 저장 방법을 제공합니다.

4.1. 디스크 로깅과 원격 보관 비교

디스크 로깅: FortiGate 장비 자체의 내장 디스크 또는 스토리지를 활용하여 로그를 저장하는 방식입니다. `config log disk setting` 명령어를 통해 디스크 로깅 사용 여부와 보관 관련 옵션(예: `maximum-log-age`, 일 단위)을 설정할 수 있습니다. 하지만 FortiGate 모델에 따라 디스크가 없을 수도 있으며, 장비 내부 저장 공간은 제한적이므로 장기 보관에는 한계가 있습니다. 또한, 장비 자체에 문제가 발생할 경우 로그 유실의 위험이 있습니다.
원격 보관 (Syslog/FortiAnalyzer): FortiGate에서 생성된 로그를 Syslog 서버, FortiAnalyzer, 또는 SIEM과 같은 외부 시스템으로 실시간 전송하여 저장하는 방식입니다. 이는 장비의 저장 용량 제약을 해결하고, 로그를 중앙 집중식으로 관리하며, 장비 장애 시에도 로그를 안전하게 보존할 수 있다는 장점이 있습니다.

4.2. 장기 보관은 외부 수집 서버 및 SIEM으로

개인정보처리시스템 접속기록은 개인정보의 안전성 확보조치 기준에 따라 1년 이상(일부 시스템은 2년 이상) 보관해야 하고, 사고 분석에는 그보다 긴 로그가 필요한 경우가 많습니다. 이러한 장기 보관 요구사항을 충족하고, 고도화된 위협에 대한 심층 분석을 수행하기 위해서는 FortiGate 로그를 외부 수집 서버나 SIEM으로 전송하여 저장하는 것이 바람직합니다.

외부 SIEM은 대용량 로그를 효율적으로 수집, 저장, 인덱싱하고 강력한 검색 및 상관분석 기능을 제공합니다. 이를 통해 수개월 또는 수년 전의 로그에서도 침해의 흔적을 찾아내거나, 특정 공격의 전체 흐름을 재구성하는 데 필요한 정보를 확보할 수 있습니다. 따라서 장기 보관은 FortiGate 내부 디스크보다는 전문적인 로그 관리 시스템이나 SIEM을 활용하는 것을 권장합니다.

FortiGate 로그인 실패 확인 방법

FortiGate 장비에 대한 비정상적인 로그인 시도는 관리자 계정 탈취를 위한 무차별 대입 공격(Brute-Force Attack)이나 내부자의 비인가 접근 시도일 가능성이 높으므로, 이에 대한 지속적인 모니터링은 필수적입니다. FortiGate는 로그인 실패 이벤트를 'System Events' 로그를 통해 기록합니다.

FortiGate GUI의 'Log & Report' 메뉴에서 'System Events' 로그를 확인하면 관리자 로그인 실패와 관련된 이벤트를 찾을 수 있습니다. 또한 CLI를 통해 특정 필터를 적용하여 로그인 실패 기록을 조회할 수도 있습니다. 로그인 실패 로그는 보통 다음과 같은 정보를 포함합니다.

발생 시간: 언제 로그인 시도가 있었는지 알려줍니다.
출발지 IP: 로그인 시도가 어디에서 왔는지 알려주는 중요한 정보입니다.
사용자 이름: 어떤 계정으로 로그인 시도가 있었는지 보여줍니다.
결과: 'fail' 또는 'authentication failure'와 같은 메시지를 통해 실패를 나타냅니다.

여러 출발지 IP에서 특정 사용자 계정으로 반복적인 로그인 실패가 발생하거나, 특정 출발지 IP에서 여러 사용자 계정으로 로그인 실패가 발생하는 패턴을 탐지하는 것은 무차별 대입 공격을 식별하는 핵심 신호입니다. 이러한 로그는 SIEM으로 수집되어 상관분석 규칙을 통해 실시간으로 탐지될 때 가장 효과적으로 활용될 수 있습니다.

방화벽 로그 분석 시나리오 표

FortiGate 방화벽 로그를 효과적으로 분석하여 위협을 탐지하기 위해서는 일반적인 공격 시나리오와 그에 따른 로그 신호를 이해하는 것이 중요합니다. 다음 표는 주요 방화벽 로그 분석 시나리오와 각 시나리오에서 확인할 수 있는 신호, 그리고 권장되는 대응 방안을 제시합니다.

시나리오	로그에서 볼 신호	대응
차단(deny) 트래픽 급증	특정 출발지 IP 또는 목적지 IP에서 비정상적으로 많은 'deny' 로그 발생. 특정 포트나 프로토콜에 대한 대량의 차단.	해당 IP/포트/프로토콜에 대한 상세 분석. 공격으로 판단되면 출발지 IP 차단 정책 강화. DDoS 공격 여부 확인.
내부→외부 비정상 포트 통신	내부 시스템이 외부의 알려지지 않거나 비표준 포트(예: C2 통신 포트)로 'allow' 또는 'deny' 트래픽 시도.	내부 감염 시스템 확인 및 격리. C2 서버로 의심되는 외부 IP 차단. 엔드포인트 EDR 연동 분석.
관리자 로그인 실패 반복	동일 출발지 IP에서 FortiGate 관리자 계정에 대한 반복적인 로그인 실패. 여러 계정 시도.	해당 출발지 IP 차단. 관리자 계정 비밀번호 변경 및 MFA(Multi-Factor Authentication) 의무화.
VPN 이상 접속	평소 사용하지 않던 시간대, 지역, 또는 비정상적인 IP에서 VPN 로그인 시도. VPN 계정 로그인 실패 반복.	해당 계정 임시 잠금 및 사용자 확인. 출발지 IP 차단. VPN 계정 비밀번호 초기화 및 정책 강화.

SIEM 연동: 수집→정규화→Sigma 규칙 탐지→MITRE ATT&CK 매핑

FortiGate 로그를 SIEM에 연동하는 것은 단순한 로그 수집을 넘어, 복합적인 위협을 탐지하고 효율적인 보안관제를 수행하기 위한 핵심 단계입니다. SIEM 연동은 FortiGate 로그를 SIEM이 이해할 수 있는 형식으로 수집, 정규화하고, 이를 기반으로 정교한 탐지 규칙을 적용하여 MITRE ATT&CK 프레임워크에 매핑하는 과정을 포함합니다.

7.1. 수집 및 정규화

FortiGate에서 Syslog를 통해 로그를 전송하면, SIEM은 Collector 또는 Agent를 통해 이 로그를 수집합니다. 수집된 원시 로그는 SIEM의 Parser에 의해 표준화된 필드(예: Source IP, Destination IP, Action, Protocol, Event Type 등)로 분리되고 정규화됩니다. 이때 CEF(Common Event Format)와 같은 표준 형식을 사용하면 SIEM이 로그를 더욱 정확하고 효율적으로 파싱할 수 있어 분석 기반을 견고히 합니다.

7.2. Sigma 규칙 탐지 및 MITRE ATT&CK 매핑

정규화된 로그를 기반으로 SIEM은 다양한 탐지 규칙을 적용하여 위협 이벤트를 식별합니다. Sigma 규칙은 SIEM 벤더에 독립적인(vendor-agnostic) 일반적인 형식의 탐지 규칙으로, 다양한 보안 솔루션에서 위협 탐지 시나리오를 공유하고 적용하는 데 사용됩니다. FortiGate 로그에 Sigma 규칙을 적용함으로써 특정 패턴이나 임계치를 초과하는 비정상 행위를 탐지할 수 있습니다.

또한, 탐지된 위협 이벤트를 MITRE ATT&CK 프레임워크의 Tactic과 Technique에 매핑함으로써, 공격자의 의도와 전술, 사용된 기법을 체계적으로 이해하고 통합적인 관점에서 공격 흐름을 분석할 수 있습니다. 이는 효과적인 위협 헌팅과 사고 대응 전략 수립에 중요한 기반이 됩니다.

다음은 FortiGate 로그에서 관리자 로그인 실패를 탐지하는 간단한 Sigma 규칙 예시입니다.

title: FortiGate Admin Login Failure Spike
id: abcdefgh-1234-5678-90ab-cdefghijkl
status: experimental
description: Detects a sudden increase in failed admin login attempts on FortiGate.
logsource:
  product: fortigate
  service: firewall
detection:
  selection:
    subtype: 'event'
    action: 'authenticate'
    status: 'fail'
    msg|contains: 'User authentication failure'
  timeframe: 5m
  condition: selection | count() by srcip > 5
falsepositives:
  - User typo errors
level: medium
tags:
  - attack.t1110.003 # Brute Force: Password Spraying

KYRA MDR Collector로 FortiGate syslog를 받아 탐지·대응하는 흐름

KYRA MDR은 SeekersLab의 AI 기반 MDR(Managed Detection & Response) 플랫폼으로, SIEM, NDR, EASM, SOAR를 하나의 플랫폼에 통합하여 24시간 보안관제를 제공합니다. FortiGate syslog를 KYRA MDR Collector로 수집하여 위협을 탐지하고 대응하는 흐름은 다음과 같습니다.

먼저, FortiGate는 Syslog를 통해 네트워크 트래픽, 시스템 이벤트, 위협 이벤트 등의 로그를 KYRA MDR Collector로 전송합니다. KYRA MDR Collector는 방화벽, 서버, 클라우드 등 다양한 소스로부터 Syslog나 파일을 통해 로그를 수집하는 역할을 합니다. 리눅스 환경에서는 한 줄 명령으로 쉽게 설치할 수 있습니다.

수집된 FortiGate 로그는 KYRA MDR 플랫폼으로 전달되어 탐지 엔진에 의해 분석됩니다. KYRA MDR은 3,200개 이상의 Sigma 규칙 엔진을 사용하여 다양한 공격 시나리오를 탐지합니다. 탐지된 이벤트는 MITRE ATT&CK 프레임워크의 14개 전술, 200개 이상의 기법에 매핑되어 공격의 전체 맥락을 이해할 수 있도록 돕습니다. 또한, 행위 분석, 다단계 공격 상관분석, 위협 인텔리전스(Threat Intelligence) IOC(Indicator of Compromise) 보강 등을 통해 탐지 정확도를 높입니다.

위협이 탐지되면 KYRA MDR의 AI 기능이 LLM(Large Language Model) 기반으로 경보를 분류하고 분석 요약을 제공하여 보안 분석가의 초기 트리아지(Triage) 시간을 단축합니다. 중요한 판단은 사람 분석가가 최종 검토하는 HITL(Human-In-The-Loop) 구조를 통해 오탐을 줄이고 정확한 결정을 내립니다.

탐지된 위협에 대해서는 SOAR(Security Orchestration, Automation, and Response) 플레이북 기반의 자동 대응이 이루어집니다. 이는 호스트 격리, 차단 조치 등을 포함하며, 조사 워크플로를 통해 침해 사고에 대한 신속하고 효율적인 대응을 지원합니다. 이처럼 KYRA MDR은 FortiGate 로그를 포함한 다양한 보안 데이터를 통합하여 위협 탐지부터 대응까지 포괄적인 보안관제 서비스를 제공합니다.

FAQ

Q1. FortiGate 로그를 SIEM으로 보내야 하는 주된 이유는 무엇입니까?

A1. FortiGate 로그를 SIEM으로 보내는 주된 이유는 중앙 집중식 로그 관리, 장기 보관, 그리고 다양한 소스의 로그 간 상관분석을 통한 복합적인 위협 탐지를 위해서입니다. SIEM은 대량의 로그를 효율적으로 처리하고, 규제 준수(예: ISMS-P)를 위한 보고서를 자동화하며, 실시간 위협 모니터링 및 대응을 강화하는 데 필수적인 역할을 수행합니다.

Q2. FortiGate Syslog 전송 시 어떤 로그 형식을 선택하는 것이 가장 좋습니까?

A2. FortiGate Syslog 전송 시 가장 권장되는 로그 형식은 CEF(Common Event Format)입니다. CEF는 표준화된 형식으로 다양한 SIEM 솔루션에서 로그 필드를 자동으로 파싱하고 분류하는 데 매우 효과적입니다. 이를 통해 SIEM에서 FortiGate 로그를 더욱 정확하고 효율적으로 분석할 수 있습니다.

Q3. FortiGate 로그 저장 기간은 어떻게 결정해야 합니까?

A3. FortiGate 로그 저장 기간은 소속 산업의 법적 및 규제 요구사항(예: 개인정보 접속기록은 1년 이상, 일부 2년 이상 보관), 내부 보안 정책, 그리고 예상되는 위협 헌팅 및 침해사고 분석 주기 등을 종합적으로 고려하여 결정해야 합니다. 일반적으로 장기 보관을 위해서는 FortiGate 내부 디스크보다는 외부 SIEM이나 로그 관리 시스템을 활용하는 것이 효율적입니다.

Q4. SIEM 연동 시 FortiGate 장비의 성능에 영향을 줄 수 있습니까?

A4. Syslog를 통한 로그 전송은 FortiGate 장비의 CPU 및 네트워크 대역폭에 약간의 부하를 줄 수 있습니다. 하지만 FortiGate는 로그 전송 기능을 최적화하여 설계되었으므로, 일반적인 환경에서는 미미한 수준의 영향만 미칩니다. 대량의 로그가 발생하는 환경에서는 Syslog 전송 속도 제한(`max-log-rate`) 등의 설정을 검토하여 부하를 조절할 수 있습니다.

Q5. KYRA MDR이 FortiGate 로그 분석을 통한 보안관제에 어떤 도움을 줍니까?

A5. KYRA MDR은 FortiGate Syslog를 효율적으로 수집하여 SIEM, NDR, EASM, SOAR 기능을 통합한 플랫폼에서 분석합니다. 이를 통해 FortiGate 로그를 Sigma 규칙 기반으로 정교하게 탐지하고, MITRE ATT&CK에 매핑하여 공격 전술을 파악하며, AI 기반의 경보 분류 및 SOAR 플레이북을 통한 자동 대응으로 보안관제 업무의 효율성과 위협 대응 속도를 크게 향상시킵니다.

KYRA MDR로 보안관제 시작하기

지금 바로 FortiGate 로그 분석을 넘어선 차세대 MDR 및 보안관제 서비스를 경험해 보십시오. KYRA MDR은 AI 기반의 통합 플랫폼으로 24시간 위협 탐지 및 대응을 제공하여 귀사의 보안 역량을 한 단계 더 높여드립니다. 간편한 시작을 통해 진화된 보안관제 서비스를 만나보세요.

KYRA MDR 무료로 시작하기