FortiGate VPN ব্যর্থতার ইমেল: লগ নয়, ফিল্ড ফিল্টার করুন

«VPN লগইন ব্যর্থ হলে আমাকে ইমেল পাঠান» — এই কথার ভিতরে দুটি সিদ্ধান্ত লুকিয়ে আছে। প্রথমটি হলো বিজ্ঞপ্তি কীভাবে পৌঁছাবে: প্রতি ঘটনায় একটি মেইল, নিয়মিত সারসংক্ষেপ, নাকি সংগ্রাহক থেকে আসা সতর্কতা। দ্বিতীয়টি হলো বার্তায় কী থাকবে। প্রথমটি ভুল করলে মেইলবক্স উপচে পড়ে, আর দ্বিতীয়টি ভুল করলে সেই ফিল্ডগুলো মুছে যায় যা সতর্কতাকে কার্যকর করে। কোনোটিই VPN লগ বিভাগ চেপে রাখা দাবি করে না — ওটাই সেই শর্টকাট যা চুপচাপ অডিট ট্রেইল ধ্বংস করে।

তিন ধরনের বিতরণ এবং কখন কোনটি মানায়

কে সাড়া দেয় এবং কত দ্রুত দিতে পারে তা দিয়ে বেছে নিন, কোন বিকল্পটি কনফিগার করা সবচেয়ে সহজ তা দিয়ে নয়। একটি অফিস রক্ষা করা একটিমাত্র FortiGate প্রতি-ঘটনা মেইল ন্যায্য প্রমাণ করতে পারে। ক্রেডেনশিয়াল-স্টাফিং প্রচেষ্টা গ্রহণ করা একটি গেটওয়েতে একই কনফিগারেশন দিনে হাজার হাজার বার্তা তৈরি করে এবং এমন ফোল্ডারে ফিল্টার হয়ে যায় যা কেউ পড়ে না।

ঘটনার রেকর্ড থেকে শুরু করুন, বিষয়ের লাইন থেকে নয়

আপনি আসলে যে রিলিজ চালান, তাতে একটি প্রতিনিধিত্বমূলক সংরক্ষিত ঘটনা পড়ুন। FortiOS 7.4.8 লগ রেফারেন্স SSL VPN-এ লগইন ব্যর্থতাকে ঘটনা 39426 হিসেবে চিহ্নিত করে, আর এর ফিল্ডগুলোর মধ্যে আছে action, user, remip, reason, tunneltype এবং vd। ফরওয়ার্ড করা ইমেলের বিষয় থেকে সেই রেকর্ডের বদলে ফিল্টার ডিজাইন করাই হলো সেই পথ যেখানে মানুষ তাদের ফার্মওয়্যার ভিন্নভাবে লেখা ফিল্ড নামের সঙ্গে মিলিয়ে ফেলে। দু-তিনটি বাস্তব ব্যর্থতা খুলুন এবং ট্রিগার লেখার আগে শনাক্তকারীগুলো মেলে কি না নিশ্চিত করুন। এতে যে পাঁচ মিনিট লাগে, তা ভুল ঘটনায় জ্বলে ওঠা এক সপ্তাহের সতর্কতার চেয়ে কম।

একটি অটোমেশন স্টিচ ইভেন্ট-লগ ট্রিগারকে একটি অ্যাকশনের সঙ্গে জোড়ে, এবং ট্রিগারই হলো সেই জায়গা যেখানে ঘটনা নির্বাচন থাকা উচিত। শুধু আপনার প্রয়োজনীয় অতিরিক্ত ফিল্ড শর্ত যোগ করুন; অল্প কিছু ফিল্ডে ফিল্টার করা ট্রিগার বাকিগুলোর জন্য এখনও অপরীক্ষিত আচরণ দেয়।

সমর্থিত প্রতিস্থাপন থেকে সংক্ষিপ্ত বডি গড়ুন

যে রিলিজগুলো ইমেল অ্যাকশনের জন্য লগ-ফিল্ড প্রতিস্থাপন নথিভুক্ত করে, সেগুলোতে বডি সংক্ষিপ্ত হয়েও কাজে লাগতে পারে। নিচের ধরনটি উদাহরণমাত্র; প্রয়োগের আগে অ্যাট্রিবিউটের নাম ও প্রতিস্থাপনের সিনট্যাক্স আপনার ফার্মওয়্যার সংস্করণের সঙ্গে মিলিয়ে নিন।

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

খালি ফিল্ড দেখানো টেমপ্লেট প্রমাণ করে না যে ঘটনাটিতে সেই তথ্য ছিল না। আগে ফিল্ডের নাম ও প্রতিস্থাপনের সিনট্যাক্স যাচাই করুন, তারপর একটি নিয়ন্ত্রিত ব্যর্থতা দিয়ে পরীক্ষা করুন এবং প্রকৃত বার্তাটি পড়ুন। ডিভাইসের পরিচয় ও ঘটনার সময় যোগ করুন যাতে সাড়াদানকারী কোন ইউনিট মেইল পাঠিয়েছে তা আন্দাজ না করেই সম্পূর্ণ রেকর্ড খুঁজে পান।

রেকর্ড না মুছেই পরিমাণ শান্ত করুন

হার নিয়ন্ত্রণ, গ্রুপিং ও সংযোগ বিতরণ স্তরের কাজ। সবকিছুর জন্য ন্যূনতম ইমেল গুরুত্ব বাড়ানো একটি ভোঁতা হাতিয়ার যা অসম্পর্কিত ঘটনা লুকায়, আর VPN লগ বিভাগ বন্ধ করা তার চেয়েও খারাপ: ঘটনাগুলো লেখাই বন্ধ হয়ে যায়। অনুমোদিত লগিং গন্তব্য ও ধারণ নীতি ঠিক আগের মতোই রাখুন, আর বরং বিজ্ঞপ্তির পথটিকে আরও শান্ত হতে দিন। কী চেপে রেখেছেন তা নথিভুক্ত করুন, কারণ পরের ব্যক্তি মেইলবক্সে একটি ফাঁক পাবেন এবং জানা দরকার যে সেটি ইচ্ছাকৃত ছিল।

নতুন পথ যাচাই হওয়ার পর, পর্যালোচিত পরিবর্তনের মাধ্যমে যেকোনো ওভারল্যাপিং পুরনো ইমেল নিয়ম অবসর দিন। দুটি পথ একসঙ্গে জ্বলে ওঠা, বা পুরনোটি আগে বন্ধ হওয়ায় কোনোটিই না জ্বলা — পরীক্ষার আগেই পরিষ্কার করার একটি সাধারণ ফল।

ব্যর্থতাকে ব্যর্থতা হিসেবেই পড়ুন

ব্যর্থ প্রমাণীকরণ ঘটনা কোনো সফল VPN সেশন নয়, আর ঘটনার ভিতরের ব্যবহারকারীনাম কোনো ব্যক্তির প্রতি যাচাই করা আরোপ নয়। অ্যাকাউন্ট আপোষ হয়েছে ঘোষণা করার আগে কারণটিকে সফল লগইন, পরিচিত ব্যবহারকারীর কার্যকলাপ ও পুনরাবৃত্ত প্রচেষ্টার সঙ্গে মিলিয়ে দেখুন, এবং সতর্কতায় বলুন এর মধ্যে কী কী আপনি যাচাই করেছেন।

বিজ্ঞপ্তি কেবল অনুমোদিত প্রাপকদের পাঠান। অ্যাকাউন্টের নাম, অভ্যন্তরীণ ডিভাইস শনাক্তকারী ও উৎস ঠিকানা পরিচালনাগতভাবে সংবেদনশীল, আর সুবিধার জন্য বাড়তে থাকা বিতরণ তালিকা একটি ফাঁসের পথ হয়ে ওঠে। একটি কার্যকর পথ আর অক্ষত অডিট ট্রেইলই পুরো লক্ষ্য।