التسجيل هو عينك على كل ما يمر عبر الـ FortiGate، فبدون logs دقيقة لا تستطيع تتبّع هجوم أو إثبات أن سياسة معينة تعمل. في هذه الوحدة نفصّل أنواع الـ logs وأماكن تخزينها ومستويات الخطورة وكيف يُفعَّل التسجيل لكل firewall policy على حدة. ثم ننتقل إلى FortiView لمراقبة الترافيك لحظياً والغوص في التفاصيل.

• 1هناك ثلاث فئات من الـ logs: Traffic logs لحركة الجلسات عبر الـ policies، وEvent logs لأحداث النظام (system / user / router / vpn / wireless)، وSecurity logs الخاصة بمحركات الـ UTM مثل AntiVirus وWeb Filter وIPS وApplication Control.
• 2وجهات التخزين (log storage) متعددة: Memory وهي سريعة لكنها volatile وصغيرة، local Disk على الجهاز، أو إرسالها خارجياً إلى FortiAnalyzer أو FortiCloud أو Syslog server. يمكن تفعيل أكثر من وجهة في وقت واحد.
• 3لكل log سجلٌّ severity level من 0 إلى 7: emergency (0)، alert، critical، error، warning، notification، information، ثم debug (7). كلما صغر الرقم زادت الخطورة، وتُستخدم هذه المستويات للفلترة وتقليل الضجيج.
• 4التسجيل يُفعَّل per firewall policy عبر الخيار Log Allowed Traffic، الذي يقدّم اختيارين: Security Events لتسجيل أحداث الـ UTM فقط، أو All Sessions لتسجيل كل جلسة. اختيار All Sessions يولّد حجماً ضخماً من الـ traffic logs.
• 5FortiView يوفّر تصوّراً للترافيك real-time وhistorical مع إمكانية الـ drill-down حسب المصدر أو الوجهة أو التطبيق أو الـ policy. لرؤية تفاصيل جلسات HTTPS داخل الـ logs تحتاج إلى تفعيل SSL inspection.

• اختيار وجهة التخزين قرار تشغيلي مهم: Memory logging تُمسح عند إعادة التشغيل وحجمها محدود جداً فهي مناسبة للاختبار السريع فقط. الـ local Disk يحتفظ بالـ logs عبر reboot لكن الكتابة المستمرة تستنزف الـ flash على الأجهزة الـ entry-level. لذا في بيئة production تُرسَل الـ logs إلى FortiAnalyzer أو FortiCloud أو Syslog للاحتفاظ طويل الأمد.
• FortiAnalyzer ليس مجرد مستودع تخزين بل محرك correlation وتقارير: يجمع logs من عدة FortiGate ويبني reports وincident analysis ويوفّر retention طويل خارج محدودية الجهاز نفسه. هذا هو السبب الذي يجعله best practice في النشر المؤسسي بدل الاعتماد على الـ local Disk وحده.
• الفلترة حسب الـ severity توازن بين العمق والضجيج: ضبط مستوى عند warning مثلاً يلتقط الأحداث الأهم ويتجاهل information وdebug، بينما رفعه إلى debug يفيد في troubleshooting لكنه يغرق التخزين. وتذكّر أن تفاصيل HTTPS لن تظهر في الـ logs ما لم يُفعَّل SSL inspection ليفك التشفير ويُسجَّل المحتوى المفحوص.