Имейл за неуспех на VPN във FortiGate: филтрирайте полетата, не журналите

Изберете формата на известието, изградете го от полетата на събитие 39426 и след това намалете обема, без да изключвате категорията на VPN журнала или одитната следа.

Две решения се крият във фразата „пиши ми, когато влизане във VPN се провали“. Първото е как се доставя известието: един имейл на събитие, периодичен дайджест или сигнал от колектор. Второто е какво съдържа съобщението. Грешка в първото залива пощенската кутия, а грешка във второто изтрива полетата, които правят сигнала приложим. Нито едно от двете решения не изисква потискане на категорията на VPN журнала — това е краткият път, който тихо унищожава одитната следа.

Три форми на доставяне и кога всяка е подходяща

ФормаПодходяща, когатоЦена
Автоматичен имейл за всяко събитиенисък обем, реагира един екипизблик от опити се превръща в наводнение в кутията
Планиран дайджеструтинен преглед, наблюдение на тенденцииникой не вижда опит в ход
Сигнал от колектор с корелациявисок обем, споделен SOCоще една система, която да се храни и настройва

Избирайте по това кой реагира и колко бързо може, а не по това кой вариант е най-лесен за конфигуриране. Един FortiGate, защитаващ един офис, може да оправдае имейл на всяко събитие. Същата конфигурация на шлюз, който приема опити за запълване с откраднати идентификационни данни, произвежда хиляди съобщения на ден и се филтрира в папка, която никой не чете.

Започнете от записа на събитието, не от реда с темата

Прочетете представително запазено събитие във версията, която действително използвате. Справочникът на журналите на FortiOS 7.4.8 определя неуспешното влизане през SSL VPN като събитие 39426, а полетата му включват action, user, remip, reason, tunneltype и vd. Проектирането на филтър от препратена тема на имейл вместо от този запис е начинът, по който хората започват да съвпадат по име на поле, което фърмуерът им изписва различно. Отворете два-три реални неуспеха и потвърдете, че идентификаторите съвпадат, преди да напишете тригер. Петте минути, които това отнема, са по-кратки от седмица сигнали, задействани за грешното събитие.

Автоматизационен шев свързва тригер на журнал на събития с действие и тригерът е мястото, където принадлежи изборът на събитие. Добавяйте само допълнителните условия за полета, които изискването ви налага; тригер, който филтрира по малък набор от полета, все още дава непроверено поведение за останалите.

Изградете компактно тяло от поддържани замествания

Във версии, които документират заместване на полета на журнала за действия с имейл, тялото може да бъде кратко и пак полезно. Формата по-долу е илюстративна; проверете имената на атрибутите и синтаксиса на заместване спрямо версията на фърмуера си, преди да го въведете.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Шаблон, който извежда празно поле, не доказва, че събитието е нямало тези данни. Проверете първо името на полето и синтаксиса на заместване, после тествайте с един контролиран неуспех и прочетете действителното съобщение. Добавете идентичност на устройството и време на възникване, за да може реагиращият да намери пълния запис, без да гадае кое устройство е изпратило имейла.

Намалете обема, без да изтривате записа

Ограничаването на скоростта, групирането и корелацията принадлежат на слоя за доставяне. Повишаването на минималната важност на имейлите за всичко е груб инструмент, който скрива несвързани събития, а изключването на категорията на VPN журнала е по-лошо: събитията спират да се записват напълно. Запазете одобрената дестинация за журнали и политиката за съхранение точно каквито бяха, а вместо това оставете пътя на известията да стане по-тих. Документирайте какво сте потиснали, защото следващият човек ще намери празнина в кутията и трябва да знае, че е било умишлено.

Когато новият път е валидиран, премахнете всяко припокриващо се старо имейл правило чрез прегледана промяна. Да завършите с два пътя, които и двата се задействат, или с нито един, защото старият е бил изключен първи, е чест резултат от правенето на почистването преди теста.

Четете неуспеха като неуспех

Неуспешно събитие за удостоверяване не е успешна VPN сесия, а потребителско име в събитие не е потвърдено приписване на човек. Свържете причината с успешни влизания, известно потребителско поведение и повторни опити, преди да обявите акаунт за компрометиран, и кажете в сигнала кое от тях сте проверили.

Изпращайте известието само до упълномощени получатели. Имената на акаунти, вътрешните идентификатори на устройства и адресите на източника са оперативно чувствителни, а списък за разпространение, който расте от удобство, се превръща в път за изтичане. Един приложим път плюс непокътната одитна следа е цялата цел.

Подобни статии