Managed Firewall / UTMのログ解析機能において、Rawログのフィールドに表示される各項目の意味を教えてください。

Managed Firewall, Managed UTM, 仕様

2018年5月30日 (2022年4月21日:更新)

Rawログの主な項目とその意味は、以下の通りです。

項目 意味
type= ログの種類を表します。
通信ログの場合は【type=traffic】、セキュリティログの場合は【type=utm】と表示されます。
subtype= ログの種類を表します。
通信ログの場合は【subtype=forward】となり、セキュリティログの場合は【subtype=ips】等検知したUTM機能が表示されます。
srcip= 通信の送信元のIPアドレスが表示されます。
srcintf= Managed Firewall/UTMで通信を入力(受信)したインターフェースが表示されます。
dstip= 通信の宛先のIPアドレスが表示されます。
dstintf= Managed Firewall/UTMで通信を出力(送信)したインターフェースが表示されます。
proto= IPヘッダに記載されるプロトコル番号が表示されます。
ICMPは【proto=1】、TCPは【proto=6】、UDPは【proto=17】と表示されます。
action= Managed Firewall/UTMで該当通信の処理結果を表します。
通信が許可された場合、UDP/ICMPは【action=accept】、TCPは【action=close】と表示されます。
※TCPは通信が終了した時に【action=close】としてログが出力されます。
policyid= Managed Firewall/UTMで通信にマッチしたFirewallPolicyのポリシーIDが表示されます。
trandisp=dnat SourceNATまたはDestinationNATが適用された時に表示されます。
SourceNATの時は【trandisp=snat】、DestinationNATの時は【trandisp=dnat】と表示されます。
tranip= DestinationNAT適用時にアドレス変換されたIPアドレスが表示されます。
tranport= DestinationNAT適用時の(Port Forwardで変換された)ポート番号が表示されます。
※Port Forwardを設定していない場合は、宛先ポートがそのまま【tranport=】として表示されます。
duration= 通信が開始されてから終了までの時間(秒)を表します。

 

参考:チュートリアル – Managed Firewall / Managed UTM – ログ解析