Пошта аб збоі VPN на FortiGate: фільтруйце поля, а не журналы

Выберыце форму апавяшчэння, пабудуйце яе з палёў падзеі 39426, а затым знізьце аб’ём, не адключаючы катэгорыю журнала VPN або след аўдыту.

Дзве рашэнні хаваюцца ў фразе «напішы мне, калі ўваход у VPN не ўдаўся». Першае — як дастаўляецца апавяшчэнне: адзін ліст на падзею, перыядычны дайджаст або трывога ад збіральніка. Другое — што змяшчае паведамленне. Памылка ў першым затапляе скрыню, памылка ў другім выдаляе поля, якія робяць трывогу дзейснай. Ні адно рашэнне не патрабуе адключэння катэгорыі журнала VPN — гэта кароткі шлях, які ціха знішчае след аўдыту.

Тры формы дастаўкі і калі кожная падыходзіць

ФормаПадыходзіць, каліКошт
Аўтаматычны ліст на кожную падзеюнізкі аб’ём, рэагуе адна камандаусплёск спроб ператвараецца ў паводку ў скрыні
Планавы дайджастзвычайны агляд, назіранне за тэндэнцыямініхто не бачыць спробу ў працэсе
Трывога збіральніка з карэляцыяйвысокі аб’ём, агульны SOCяшчэ адна сістэма, якую трэба карміць і наладжваць

Выбірайце па тым, хто рэагуе і як хутка ён можа гэта зрабіць, а не па тым, які варыянт прасцей наладзіць. Адзін FortiGate, які абараняе адзін офіс, можа апраўдаць ліст на кожную падзею. Тая ж канфігурацыя на шлюзе, які прымае спробы падстаноўкі ўліковых даных, стварае тысячы паведамленняў у дзень і трапляе ў папку, якую ніхто не чытае.

Пачынайце з запісу падзеі, а не з радка тэмы

Прачытайце прадстаўнічую захаваную падзею ў той версіі, якую вы насамрэч выкарыстоўваеце. Даведнік журналаў FortiOS 7.4.8 вызначае збой уваходу ў SSL VPN як падзею 39426, і яе палі ўключаюць action, user, remip, reason, tunneltype і vd. Распрацоўка фільтра з перасланай тэмы ліста замест гэтага запісу — вось як людзі пачынаюць супастаўляць па імені поля, якое іх прашыўка піша інакш. Адкрыйце два-тры рэальныя збоі і пераканайцеся, што ідэнтыфікатары супадаюць, перш чым пісаць трыгер. Пяць хвілін, якія на гэта спатрэбяцца, карацейшыя за тыдзень трывог, што спрацоўваюць на няправільную падзею.

Злучэнне аўтаматызацыі звязвае трыгер журнала падзей з дзеяннем, і менавіта трыгер — гэта месца выбару падзеі. Дадавайце толькі тыя дадатковыя ўмовы палёў, якія патрабуе ваша задача; трыгер, які фільтруе па невялікім наборы палёў, усё адно дае няправераную паводзіны для астатніх.

Пабудуйце кампактнае цела з падтрыманых замен

У версіях, якія дакументуюць замену палёў журнала для дзеянняў электроннай пошты, цела можа быць кароткім і пры гэтым карысным. Форма ніжэй — ілюстратыўная; перад ужываннем зверце назвы атрыбутаў і сінтаксіс замены з вашай версіяй прашыўкі.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Шаблон, які выводзіць пустое поле, не даказвае, што падзея не мела гэтых даных. Спачатку праверце імя поля і сінтаксіс замены, затым праверце на адным кантраляваным збоі і прачытайце фактычнае паведамленне. Дадайце ідэнтычнасць прылады і час узнікнення, каб той, хто рэагуе, мог знайсці поўны запіс, не здагадваючыся, які блок адправіў ліст.

Знізьце аб’ём, не выдаляючы запіс

Кіраванне хуткасцю, групаванне і карэляцыя належаць да ўзроўню дастаўкі. Падвышэнне мінімальнай важнасці лістоў для ўсяго — грубы інструмент, які хавае незвязаныя падзеі, а адключэнне катэгорыі журнала VPN горш: падзеі перастаюць запісвацца зусім. Пакіньце зацверджанае месца прызначэння журналаў і палітыку захавання дакладна такімі, якімі яны былі, а шлях апавяшчэння няхай стане цішэйшым. Задакументуйце, што вы падавілі, бо наступны чалавек знойдзе прабел у скрыні і павінен ведаць, што гэта было наўмысна.

Калі новы шлях правераны, выведзіце любое перакрыжоўванае старое правіла пошты праз разгледжанае змяненне. Скончыць двума шляхамі, якія спрацоўваюць адначасова, або ні адным, бо стары адключылі першым, — звычайны вынік таго, што прыборку зрабілі да тэсту.

Чытайце збой як збой

Падзея няўдалай аўтэнтыфікацыі — не паспяховая сесія VPN, а імя карыстальніка ў падзеі — не пацверджаная прыналежнасць да чалавека. Суаднясіце прычыну з паспяховымі ўваходамі, вядомай актыўнасцю карыстальніка і паўторнымі спробамі, перш чым абвясціць уліковы запіс скампраметаваным, і скажыце ў трывозе, якія з гэтых пунктаў вы праверылі.

Адпраўляйце апавяшчэнне толькі аўтарызаваным атрымальнікам. Імёны ўліковых запісаў, унутраныя ідэнтыфікатары прылад і адрасы крыніц аперацыйна адчувальныя, а спіс рассылкі, які расце дзеля зручнасці, становіцца шляхам уцечкі. Адзін дзейсны шлях плюс цэласны след аўдыту — гэта ўся мэта.

Падобныя артыкулы