Correu de fallada de VPN a FortiGate: filtreu camps, no registres

Dins de «envia’m un correu quan falli un inici de sessió VPN» s’amaguen dues decisions. La primera és com es lliura la notificació: un correu per esdeveniment, un resum periòdic o una alerta d’un col·lector. La segona és què conté el missatge. Equivocar-vos en la primera inunda una bústia, i equivocar-vos en la segona esborra els camps que fan que l’alerta sigui accionable. Cap de les dues decisions no requereix suprimir la categoria de registre de VPN, que és la drecera que destrueix silenciosament el rastre d’auditoria.

Tres formes de lliurament i quan encaixa cadascuna

Trieu segons qui respon i amb quina rapidesa pot fer-ho, no segons quina opció és més fàcil de configurar. Un sol FortiGate que protegeix una oficina pot justificar el correu per esdeveniment. La mateixa configuració en una passarel·la que rep intents d’ompliment de credencials produeix milers de missatges al dia i s’acaba filtrant en una carpeta que ningú no llegeix.

Partiu del registre de l’esdeveniment, no de la línia d’assumpte

Llegiu un esdeveniment emmagatzemat representatiu a la versió que realment executeu. La referència de registres de FortiOS 7.4.8 identifica la fallada d’inici de sessió a SSL VPN com a esdeveniment 39426, i els seus camps inclouen action, user, remip, reason, tunneltype i vd. Dissenyar un filtre a partir d’un assumpte de correu reenviat en lloc d’aquell registre és com la gent acaba coincidint amb un nom de camp que el seu firmware escriu diferent. Obriu dues o tres fallades reals i confirmeu que els identificadors coincideixen abans d’escriure un desencadenant. Els cinc minuts que calen són més curts que una setmana d’alertes que salten a l’esdeveniment equivocat.

Una costura d’automatització uneix un desencadenant de registre d’esdeveniments amb una acció, i el desencadenant és on ha de viure la selecció de l’esdeveniment. Afegiu només les condicions de camp addicionals que necessiti el vostre requisit; un desencadenant que filtra per un conjunt petit de camps encara lliura un comportament no provat per a la resta.

Construïu un cos compacte amb substitucions admeses

A les versions que documenten la substitució de camps de registre per a accions de correu, el cos pot ser curt i seguir sent útil. La forma de sota és il·lustrativa; confirmeu els noms dels atributs i la sintaxi de substitució amb la versió del firmware abans de desar-ho.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Una plantilla que mostra un camp buit no demostra que l’esdeveniment no tingués aquestes dades. Comproveu primer el nom del camp i la sintaxi de substitució, i després proveu-ho amb una fallada controlada i llegiu el missatge real. Afegiu la identitat del dispositiu i l’hora d’ocurrència perquè qui respongui pugui trobar el registre complet sense endevinar quina unitat va enviar el correu.

Silencieu el volum sense esborrar el registre

El control de ritme, l’agrupació i la correlació pertanyen a la capa de lliurament. Apujar la gravetat mínima del correu per a tot és un instrument contundent que amaga esdeveniments no relacionats, i desactivar la categoria de registre de VPN és pitjor: els esdeveniments deixen d’escriure’s del tot. Manteniu la destinació de registre aprovada i la política de retenció exactament com eren, i deixeu que el camí de notificació es torni més silenciós. Documenteu què heu suprimit, perquè la propera persona trobarà un buit a la bústia i necessita saber que va ser deliberat.

Quan el camí nou estigui validat, retireu qualsevol regla de correu heretada que se superposi mitjançant un canvi revisat. Acabar amb dos camins que salten tots dos, o amb cap que salti perquè el vell es va desactivar primer, és un resultat habitual de fer la neteja abans de la prova.

Llegiu una fallada com una fallada

Un esdeveniment d’autenticació fallit no és una sessió VPN correcta, i un nom d’usuari en un esdeveniment no és una atribució verificada a una persona. Correlacioneu el motiu amb iniciais de sessió correctes, activitat coneguda de l’usuari i intents repetits abans de declarar un compte compromès, i digueu a l’alerta quins d’aquests heu comprovat.

Envieu la notificació només a destinataris autoritzats. Els noms de compte, els identificadors interns de dispositiu i les adreces d’origen són sensibles operativament, i una llista de distribució que creix per comoditat es converteix en una via de fuita. Un camí accionable més un rastre d’auditoria intacte és tot l’objectiu.