FortiGate VPN-fout e-pos: filter velde, nie logs nie

Twee besluite skuil in “e-pos my wanneer ’n VPN-aanmelding misluk”. Die eerste is hoe die kennisgewing afgelewer word: een e-pos per gebeurtenis, ’n periodieke opsomming, of ’n waarskuwing van ’n versamelaar. Die tweede is wat die boodskap bevat. Kry jy die eerste verkeerd, vloed jy ’n posbus; kry jy die tweede verkeerd, verwyder jy die velde wat die waarskuwing bruikbaar maak. Nie een van die besluite vereis dat jy die VPN-logkategorie onderdruk nie — dit is die kortpad wat die ouditspoor stilweg vernietig.

Drie afleweringsvorms en wanneer elkeen pas

Kies volgens wie reageer en hoe vinnig hulle kan, nie volgens watter opsie die maklikste is om op te stel nie. ’n Enkele FortiGate wat een kantoor beskerm, kan e-pos per gebeurtenis regverdig. Dieselfde opstelling op ’n gateway wat pogings tot credential-stuffing ontvang, lewer duisende boodskappe per dag en beland in ’n vouer wat niemand lees nie.

Begin by die gebeurtenisrekord, nie die onderwerpry nie

Lees ’n verteenwoordigende gestoorde gebeurtenis op die weergawe wat jy werklik gebruik. Die FortiOS 7.4.8-logverwysing identifiseer die aanmeldingsfout in SSL VPN as gebeurtenis 39426, en die velde daarvan sluit in action, user, remip, reason, tunneltype en vd. Om ’n filter uit ’n aangestuurde e-posonderwerp eerder as uit daardie rekord te ontwerp, is hoe mense uiteindelik pas op ’n veldnaam wat hul firmware anders spel. Maak twee of drie werklike foute oop en bevestig dat die identifiseerders ooreenstem voordat jy ’n sneller skryf. Die vyf minute wat dit neem, is korter as ’n week se waarskuwings wat op die verkeerde gebeurtenis afvuur.

’n Outomatiseringssteek verbind ’n gebeurtenislog-sneller aan ’n aksie, en die sneller is waar die gebeurteniskeuse hoort. Voeg net die ekstra veldvoorwaardes by wat jou vereiste nodig het; ’n sneller wat op ’n klein stel velde filter, lewer steeds ongetoetste gedrag vir die res.

Bou ’n kompakte liggaam uit ondersteunde vervangings

In weergawes wat die vervanging van logvelde vir e-posaksies dokumenteer, kan die liggaam kort en tog nuttig wees. Die vorm hieronder is illustratief; bevestig die attribuutname en die vervangingsintaksis teen jou firmwareweergawe voordat jy dit instel.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

’n Sjabloon wat ’n leë veld lewer, bewys nie dat die gebeurtenis daardie data gemis het nie. Kontroleer eers die veldnaam en die vervangingsintaksis, en toets dan met een beheerde fout en lees die werklike boodskap. Voeg toestelidentiteit en die tyd van voorkoms by sodat ’n reageerder die volledige rekord kan vind sonder om te raai watter eenheid die e-pos gestuur het.

Maak die volume stil sonder om die rekord te skrap

Tempo-beheer, groepering en korrelasie hoort in die afleweringslaag. Om die minimum e-poserns vir alles te verhoog, is ’n growwe instrument wat onverwante gebeurtenisse verberg, en om die VPN-logkategorie af te skakel is erger: die gebeurtenisse word glad nie meer geskryf nie. Hou die goedgekeurde logbestemming en retensiebeleid presies soos dit was, en laat die kennisgewingpad eerder stiller word. Dokumenteer wat jy onderdruk het, want die volgende persoon sal ’n gaping in die posbus vind en moet weet dit was opsetlik.

Wanneer die nuwe pad gevalideer is, trek enige oorvleuelende ou e-posreël deur ’n nagegane verandering terug. Om te eindig met twee paaie wat albei afvuur, of met geen wat afvuur nie omdat die ou een eerste afgeskakel is, is ’n algemene gevolg daarvan om die opruiming voor die toets te doen.

Lees ’n fout as ’n fout

’n Mislukte verifikasiegebeurtenis is nie ’n suksesvolle VPN-sessie nie, en ’n gebruikersnaam in ’n gebeurtenis is nie bevestigde toeskrywing aan ’n persoon nie. Korreleer die rede met suksesvolle aanmeldings, bekende gebruikeraktiwiteit en herhaalde pogings voordat jy ’n rekening as gekompromitteer verklaar, en sê in die waarskuwing watter van dié jy nagegaan het.

Stuur die kennisgewing net aan gemagtigde ontvangers. Rekeningname, interne toestelidentifiseerders en bronadresse is operasioneel sensitief, en ’n verspreidingslys wat uit gerief groei, word ’n lekpad. Een bruikbare pad plus ’n ongeskonde ouditspoor is die hele doel.