E-bost methiant VPN FortiGate: hidlwch feysydd, nid logiau

Mae dwy benderfyniad yn cuddio y tu mewn i «e-bostia fi pan fydd mewngofnodi VPN yn methu». Y gyntaf yw sut mae’r hysbysiad yn cael ei ddanfon: un e-bost y digwyddiad, crynodeb cyfnodol, neu rybudd o gasglwr. Yr ail yw beth mae’r neges yn ei chynnwys. Mae cael y gyntaf yn anghywir yn gorlifo blwch post, ac mae cael yr ail yn anghywir yn dileu’r meysydd sy’n gwneud y rhybudd yn weithredadwy. Nid oes angen atal categori log VPN ar gyfer y naill benderfyniad na’r llall — dyna’r llwybr byr sy’n dinistrio’r trywydd archwilio yn dawel.

Tri siâp danfon a phryd mae pob un yn gweddu

Dewiswch yn ôl pwy sy’n ymateb a pha mor gyflym y gall, nid yn ôl pa opsiwn sy’n hawsaf ei ffurfweddu. Gall un FortiGate sy’n diogelu un swyddfa gyfiawnhau e-bost fesul digwyddiad. Mae’r un ffurfweddiad ar borth sy’n derbyn ymdrechion llenwi manylion mewngofnodi wedi’u dwyn yn cynhyrchu miloedd o negeseuon y dydd ac yn cael ei hidlo i ffolder nad oes neb yn ei ddarllen.

Dechreuwch o gofnod y digwyddiad, nid o linell y pwnc

Darllenwch ddigwyddiad storio cynrychioladol ar y rhyddhau rydych chi’n ei redeg mewn gwirionedd. Mae cyfeirlyfr logiau FortiOS 7.4.8 yn nodi methiant mewngofnodi SSL VPN fel digwyddiad 39426, ac mae ei feysydd yn cynnwys action, user, remip, reason, tunneltype a vd. Dylunio hidlydd o bwnc e-bost a anfonwyd ymlaen yn lle o’r cofnod hwnnw yw sut mae pobl yn gorffen paru ar enw maes y mae eu firmware yn ei sillafu’n wahanol. Agorwch ddau neu dri methiant go iawn a chadarnhewch fod y dynodwyr yn cyfateb cyn ysgrifennu sbardun. Mae’r pum munud y mae’n ei gymryd yn fyrrach na wythnos o rybuddion sy’n tanio ar y digwyddiad anghywir.

Mae pwyth awtomeiddio yn ymuno sbardun log digwyddiadau ag gweithred, a’r sbardun yw’r lle y mae’r dewis digwyddiad yn perthyn. Ychwanegwch yn unig yr amodau maes ychwanegol y mae eich gofyniad eu hangen; mae sbardun sy’n hidlo ar set fach o feysydd yn dal i ddanfon ymddygiad heb ei brofi ar gyfer y gweddill.

Adeiladwch gorff cryno o amnewidiadau a gefnogir

Mewn rhyddhau sy’n dogfennu amnewid meysydd log ar gyfer gweithredoedd e-bost, gall y corff fod yn fyr ac yn ddefnyddiol o hyd. Mae’r siâp isod yn ddarluniadol; cadarnhewch enwau’r priodoleddau a chystrawen yr amnewid yn erbyn eich fersiwn firmware cyn ei gyflwyno.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Nid yw templed sy’n rendro maes gwag yn profi nad oedd y data hwnnw gan y digwyddiad. Gwiriwch enw’r maes a chystrawen yr amnewid yn gyntaf, yna profwch ag un methiant rheoledig a darllenwch y neges wirioneddol. Ychwanegwch hunaniaeth y ddyfais a’r amser digwydd fel y gall ymatebwr ddod o hyd i’r cofnod llawn heb ddyfalu pa uned a anfonodd yr e-bost.

Tawelwch y cyfaint heb ddileu’r cofnod

Mae rheoli cyfradd, grwpio a chydberthynas yn perthyn i’r haen ddanfon. Mae codi’r difrifoldeb e-bost lleiaf ar gyfer popeth yn offeryn di-fin sy’n cuddio digwyddiadau di-gysylltiad, ac mae analluogi categori log VPN yn waeth: mae’r digwyddiadau’n stopio cael eu hysgrifennu o gwbl. Cadwch y gyrchfan logio gymeradwy a’r polisi cadw yn union fel yr oeddent, a gadewch i’r llwybr hysbysu ddod yn dawelach yn lle hynny. Dogfennwch yr hyn a atalwyd gennych, oherwydd bydd y person nesaf yn dod o hyd i fwlch yn y blwch post ac angen gwybod ei fod yn fwriadol.

Pan fydd y llwybr newydd wedi’i ddilysu, ymddeolwch unrhyw reol e-bost etifeddol sy’n gorgyffwrdd trwy newid a adolygwyd. Gorffen gyda dau lwybr sy’n tanio’r ddau, neu gyda’r un yn tanio oherwydd bod yr hen un wedi’i analluogi gyntaf, yw canlyniad cyffredin gwneud y glanhau cyn y prawf.

Darllenwch fethiant fel methiant

Nid yw digwyddiad dilysu wedi methu yn sesiwn VPN lwyddiannus, ac nid yw enw defnyddiwr mewn digwyddiad yn briodoliad wedi’i wirio i berson. Cydberthynwch y rheswm â mewngofnodi llwyddiannus, gweithgaredd defnyddiwr hysbys ac ymdrechion ailadroddus cyn datgan bod cyfrif wedi’i gyfaddawdu, a dywedwch yn y rhybudd pa rai o’r rheini a wiriwyd gennych.

Anfonwch yr hysbysiad at dderbynwyr awdurdodedig yn unig. Mae enwau cyfrif, dynodwyr dyfais mewnol a chyfeiriadau ffynhonnell yn sensitif yn weithredol, ac mae rhestr ddosbarthu sy’n tyfu er hwylustod yn dod yn llwybr gollwng. Un llwybr gweithredadwy ynghyd â thrywydd archwilio cyfan yw’r nod i gyd.