FortiGate VPN xətası e-poçtu: jurnalları deyil, sahələri süzün

«VPN girişi uğursuz olduqda mənə e-poçt göndər» ifadəsinin içində iki qərar gizlənir. Birincisi, bildirişin necə çatdırılacağıdır: hər hadisə üçün bir məktub, dövri xülasə və ya toplayıcıdan gələn xəbərdarlıq. İkincisi, mesajın nə ehtiva etdiyidir. Birincini səhv etsəniz poçt qutusu daşır, ikincini səhv etsəniz xəbərdarlığı istifadə edilə bilən edən sahələri silirsiniz. Heç bir qərar VPN jurnal kateqoriyasının sıxışdırılmasını tələb etmir — audit izini səssizcə məhv edən qısa yol budur.

Üç çatdırılma forması və hər birinin nə vaxt uyğun olduğu

Seçimi kimin cavab verdiyinə və nə qədər sürətli ola bildiyinə görə edin, konfiqurasiya etməsi ən asan olan varianta görə deyil. Bir ofisi qoruyan tək FortiGate hər hadisə üçün məktubu doğrultmağa bilər. Eyni konfiqurasiya etimad məlumatlarının doldurulması cəhdlərini qəbul edən şlüz üzərində gündə minlərlə mesaj yaradır və heç kimin oxumadığı qovluğa süzülür.

Mövzu sətrindən deyil, hadisə qeydindən başlayın

Həqiqətən işlətdiyiniz buraxılışda təmsilçi saxlanmış hadisəni oxuyun. FortiOS 7.4.8 jurnal arayışı SSL VPN üzrə giriş uğursuzluğunu 39426 hadisəsi kimi müəyyən edir və onun sahələrinə bunlar daxildir: action, user, remip, reason, tunneltype və vd. Filtrin yönləndirilmiş e-poçt mövzusundan deyil, həmin qeyddən qurulması — insanların firmware-inin başqa cür yazdığı sahə adına uyğunlaşmasının səbəbi budur. İki-üç real uğursuzluq açın və tetikleyici yazmadan əvvəl identifikatorların üst-üstə düşdüyünü təsdiqləyin. Buna sərf olunan beş dəqiqə, səhv hadisəyə atəş açan bir həftəlik xəbərdarlıqlardan qısadır.

Avtomatlaşdırma tiki hadisə jurnalı tetikleyicisini bir əməliyyata bağlayır və hadisə seçimi məhz tetikleyicinin yeridir. Yalnız tələbinizin ehtiyac duyduğu əlavə sahə şərtlərini əlavə edin; kiçik sahə dəstini süzən tetikleyici qalan hissə üçün yenə də sınaqdan keçirilməmiş davranış verir.

Dəstəklənən əvəzetmələrdən yığcam gövdə qurun

E-poçt əməliyyatları üçün jurnal sahəsi əvəzetməsini sənədləşdirən buraxılışlarda gövdə qısa və yenə də faydalı ola bilər. Aşağıdakı forma nümunəvidir; tətbiq etməzdən əvvəl atribut adlarını və əvəzetmə sintaksisini firmware versiyanızla yoxlayın.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Boş sahə göstərən şablon hadisənin o məlumatdan məhrum olduğunu sübut etmir. Əvvəlcə sahə adını və əvəzetmə sintaksisini yoxlayın, sonra bir nəzarətli uğursuzluqla sınaqdan keçirin və faktiki mesajı oxuyun. Cihaz kimliyini və baş vermə vaxtını əlavə edin ki, cavab verən şəxs hansı bölmənin məktubu göndərdiyini təxmin etmədən tam qeydi tapa bilsin.

Qeydi silmədən həcmi sakitləşdirin

Sürət nəzarəti, qruplaşdırma və korrelyasiya çatdırılma qatına aiddir. Hər şey üçün minimum e-poçt ciddiliyini qaldırmaq əlaqəsiz hadisələri gizlədən kobud alətdir, VPN jurnal kateqoriyasını söndürmək isə daha pisdir: hadisələr ümumiyyətlə yazılmır. Təsdiqlənmiş jurnal təyinatını və saxlama siyasətini olduğu kimi saxlayın və bunun əvəzinə bildiriş yolunun daha sakit olmasına icazə verin. Nəyi sıxışdırdığınızı sənədləşdirin, çünki növbəti şəxs poçt qutusunda boşluq tapacaq və bunun qəsdən olduğunu bilməlidir.

Yeni yol təsdiqləndikdən sonra üst-üstə düşən hər hansı köhnə e-poçt qaydasını nəzərdən keçirilmiş dəyişikliklə ləğv edin. İkisinin də işə düşdüyü iki yolla, ya da köhnəsi əvvəl söndürüldüyü üçün heç birinin işə düşmədiyi vəziyyətlə bitirmək — təmizliyi sınaqdan əvvəl etməyin adi nəticəsidir.

Uğursuzluğu uğursuzluq kimi oxuyun

Uğursuz autentifikasiya hadisəsi uğurlu VPN sessiyası deyil və hadisədəki istifadəçi adı bir şəxsə təsdiqlənmiş aidiyyat deyil. Hesabı kompromisə uğramış elan etməzdən əvvəl səbəbi uğurlu girişlərlə, məlum istifadəçi fəaliyyəti ilə və təkrar cəhdlərlə əlaqələndirin və xəbərdarlıqda bunlardan hansılarını yoxladığınızı deyin.

Bildirişi yalnız səlahiyyətli alıcılara göndərin. Hesab adları, daxili cihaz identifikatorları və mənbə ünvanları əməliyyat baxımından həssasdır və rahatlıq üçün böyüyən paylama siyahısı sızma yoluna çevrilir. Bir istifadə edilə bilən yol və bütöv audit izi bütün məqsəddir.