E-mail o selhání VPN na FortiGate: filtrujte pole, ne záznamy

Zvolte podobu oznámení, sestavte ji z polí události 39426 a poté ztište objem, aniž byste vypnuli kategorii protokolu VPN nebo stopu auditu.

Uvnitř věty „pošli mi e-mail, když se přihlášení k VPN nezdaří“ se skrývají dvě rozhodnutí. První je, jak se oznámení doručuje: jeden e-mail na událost, pravidelné shrnutí, nebo upozornění ze sběrače. Druhé je, co zpráva obsahuje. Chyba v prvním zaplaví schránku a chyba ve druhém smaže pole, díky nimž je upozornění použitelné. Ani jedno rozhodnutí nevyžaduje potlačení kategorie protokolu VPN — to je zkratka, která tiše ničí stopu auditu.

Tři podoby doručení a kdy se která hodí

PodobaHodí se, kdyžCena
Automatizační e-mail na každou událostnízký objem, reaguje jeden týmnápor pokusů se změní v záplavu schránky
Plánované shrnutírutinní kontrola, sledování trendůnikdo nevidí probíhající pokus
Upozornění sběrače s korelacívysoký objem, sdílené SOCdalší systém, který je třeba krmit a ladit

Vyberte podle toho, kdo reaguje a jak rychle to zvládne, ne podle toho, která možnost se nejsnáze konfiguruje. Jeden FortiGate chránící jednu kancelář může e-mail na událost ospravedlnit. Stejná konfigurace na bráně, která přijímá pokusy o doplnění ukradených přihlašovacích údajů, produkuje tisíce zpráv denně a končí ve složce, kterou nikdo nečte.

Začněte u záznamu události, ne u řádku předmětu

Přečtěte si reprezentativní uloženou událost ve verzi, kterou skutečně provozujete. Referenční příručka protokolů FortiOS 7.4.8 označuje selhání přihlášení k SSL VPN jako událost 39426 a její pole zahrnují action, user, remip, reason, tunneltype a vd. Navrhovat filtr z přeposlaného předmětu e-mailu místo z tohoto záznamu je způsob, jak lidé skončí tím, že porovnávají název pole, který jejich firmware píše jinak. Otevřete dva nebo tři skutečná selhání a před napsáním triggeru potvrďte, že se identifikátory shodují. Pět minut, které to zabere, je kratších než týden upozornění spouštěných na špatnou událost.

Automatizační steh spojuje trigger protokolu událostí s akcí a trigger je místo, kam volba události patří. Přidejte jen dodatečné podmínky polí, které váš požadavek potřebuje; trigger, který filtruje podle malé sady polí, stále pro zbytek dodává neotestované chování.

Sestavte kompaktní tělo z podporovaných náhrad

Ve verzích, které dokumentují nahrazení polí protokolu pro e-mailové akce, může být tělo krátké a přitom užitečné. Podoba níže je ilustrativní; před uložením ověřte názvy atributů a syntaxi nahrazení vůči své verzi firmwaru.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Šablona, která vykreslí prázdné pole, nedokazuje, že události tato data chyběla. Nejprve zkontrolujte název pole a syntaxi nahrazení, poté otestujte jedním řízeným selháním a přečtěte si skutečnou zprávu. Přidejte identitu zařízení a čas výskytu, aby respondent našel úplný záznam, aniž by hádal, která jednotka e-mail odeslala.

Ztište objem, aniž byste smazali záznam

Řízení rychlosti, seskupování a korelace patří do vrstvy doručení. Zvyšování minimální závažnosti e-mailů pro vše je tupý nástroj, který skrývá nesouvisející události, a vypnutí kategorie protokolu VPN je horší: události se přestanou vůbec zapisovat. Zachovejte schválené cílové umístění protokolů a politiku uchovávání přesně tak, jak byly, a místo toho nechte cestu oznámení ztišit. Zdokumentujte, co jste potlačili, protože další člověk najde ve schránce mezeru a musí vědět, že to bylo záměrné.

Když je nová cesta ověřena, vyřaďte každé překrývající se staré e-mailové pravidlo přes recenzovanou změnu. Skončit se dvěma cestami, které obě udeří, nebo s žádnou, protože stará byla vypnuta první, je častý výsledek úklidu provedeného před testem.

Čtěte selhání jako selhání

Neúspěšná událost ověření není úspěšná relace VPN a uživatelské jméno v události není ověřené připsání osobě. Než prohlásíte účet za kompromitovaný, zkorelujte důvod s úspěšnými přihlášeními, známou aktivitou uživatele a opakovanými pokusy, a v upozornění uveďte, které z toho jste zkontrolovali.

Posílejte oznámení jen oprávněným příjemcům. Názvy účtů, interní identifikátory zařízení a zdrojové adresy jsou provozně citlivé a distribuční seznam, který roste kvůli pohodlí, se stává cestou úniku. Jedna použitelná cesta plus neporušená stopa auditu je celý cíl.

Související články