Azure Sentinel ASIM解析器中Fortinet Fortigate DNS日志处理问题分析

在Azure Sentinel的ASIM（高级安全信息模型）解析器实现中，Fortinet Fortigate设备的DNS日志处理存在两个关键问题需要引起注意。这些问题可能导致部分合法DNS日志事件被错误过滤，影响安全监控的完整性。

设备产品标识匹配问题

原始解析器使用严格匹配条件DeviceProduct == "Fortigate"来识别Fortigate设备日志。但在实际环境中，FortiOS系统记录的DeviceProduct字段可能包含设备型号后缀，例如"FortiGate-400F"等变体。这种差异会导致部分合法日志被错误排除。

解决方案建议采用更灵活的前缀匹配方式：

| where DeviceVendor == "Fortinet" and DeviceProduct startswith_cs "FortiGate"

事件ID格式兼容性问题

第二个问题涉及DNS事件ID的识别机制。原始解析器仅匹配5位数字格式的事件ID（如54000），但某些FortiOS版本会生成10位数字格式的事件ID（如1500054000）。经分析，这两种格式存在对应关系：

• 1500054000 → 54000
• 1501054200 → 54200
• 1501054601 → 54601
• 1501054800 → 54800
• 1501054802 → 54802

对于其他已知DNS事件ID（54400、54401、54600、54803、54804、54805、54801），建议采用后缀匹配方案确保兼容性：

| where DeviceEventClassID endswith_cs "54000" or 
        DeviceEventClassID endswith_cs "54200" or 
        DeviceEventClassID endswith_cs "54400" or 
        DeviceEventClassID endswith_cs "54401" or 
        DeviceEventClassID endswith_cs "54600" or 
        DeviceEventClassID endswith_cs "54601" or 
        DeviceEventClassID endswith_cs "54801" or 
        DeviceEventClassID endswith_cs "54802" or 
        DeviceEventClassID endswith_cs "54803" or 
        DeviceEventClassID endswith_cs "54804" or 
        DeviceEventClassID endswith_cs "54805"

最佳实践建议

1. 版本兼容性测试：在部署前应针对不同FortiOS版本验证解析规则
2. 日志采样检查：定期检查被过滤的日志样本，确保没有误过滤合法事件
3. 字段映射文档：维护内部文档记录不同设备型号和OS版本的特殊字段格式

这些问题反映了安全日志解析中常见的设备厂商实现差异问题。通过采用更灵活的匹配策略，可以显著提高日志收集的完整性和可靠性，为安全分析提供更全面的数据基础。