FortiGate VPN-fejl-e-mail: filtrer felter, ikke logs

Der ligger to beslutninger i »send mig en e-mail, når et VPN-login fejler«. Den første er, hvordan notifikationen leveres: én mail pr. hændelse, et periodisk resumé eller en alarm fra en collector. Den anden er, hvad meddelelsen indeholder. Tager du fejl i den første, oversvømmes en postkasse, og tager du fejl i den anden, sletter du de felter, der gør alarmen anvendelig. Ingen af beslutningerne kræver, at VPN-logkategorien undertrykkes, og det er den genvej, der stille ødelægger revisionssporet.

Tre leveringsformer og hvornår hver passer

Vælg efter, hvem der reagerer, og hvor hurtigt de kan, ikke efter hvilken mulighed der er nemmest at konfigurere. En enkelt FortiGate, der beskytter ét kontor, kan retfærdiggøre mail pr. hændelse. Den samme konfiguration på en gateway, der modtager credential-stuffing-forsøg, producerer tusindvis af meddelelser om dagen og ender i en mappe, ingen læser.

Start ved hændelsesposten, ikke ved emnelinjen

Læs en repræsentativ gemt hændelse på den version, du faktisk kører. FortiOS 7.4.8-logreferencen identificerer mislykket login på SSL VPN som hændelse 39426, og dens felter omfatter action, user, remip, reason, tunneltype og vd. At designe et filter ud fra et videresendt e-mailemne i stedet for den post er, hvordan folk ender med at matche et feltnavn, som deres firmware staver anderledes. Åbn to eller tre rigtige fejl, og bekræft, at identifikatorerne stemmer, før du skriver en trigger. De fem minutter, det tager, er kortere end en uge med alarmer, der fyrer på den forkerte hændelse.

En automatiseringssting forbinder en hændelseslog-trigger med en handling, og triggeren er det sted, hvor hændelsesvalget hører hjemme. Tilføj kun de ekstra feltbetingelser, dit krav har brug for; en trigger, der filtrerer på et lille sæt felter, leverer stadig uafprøvet adfærd for resten.

Byg en kompakt body af understøttede erstatninger

I versioner, der dokumenterer logfelt-erstatning til e-mail-handlinger, kan bodyen være kort og stadig nyttig. Formen nedenfor er illustrativ; bekræft attributnavnene og erstatningssyntaksen mod din firmwareversion, før du tager den i brug.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

En skabelon, der viser et tomt felt, beviser ikke, at hændelsen manglede de data. Tjek feltnavnet og erstatningssyntaksen først, og test derefter med én kontrolleret fejl og læs den faktiske meddelelse. Tilføj enhedsidentitet og tidspunkt, så en responder kan finde den fulde post uden at gætte, hvilken enhed der sendte mailen.

Dæmp volumen uden at slette posten

Hastighedskontrol, gruppering og korrelation hører til i leveringslaget. At hæve den minimale e-mail-alvorlighed for alt er et groft instrument, der skjuler urelaterede hændelser, og at slå VPN-logkategorien fra er værre: hændelserne holder helt op med at blive skrevet. Behold den godkendte logdestination og opbevaringspolitik præcis som de var, og lad i stedet notifikationsvejen blive mere stille. Dokumentér, hvad du undertrykte, for den næste person finder et hul i postkassen og skal vide, at det var med vilje.

Når den nye vej er valideret, udfas enhver overlappende gammel e-mailregel gennem en gennemgået ændring. At ende med to veje, der begge fyrer, eller med ingen, fordi den gamle blev slået fra først, er et almindeligt resultat af at gøre oprydningen før testen.

Læs en fejl som en fejl

En mislykket godkendelseshændelse er ikke en vellykket VPN-session, og et brugernavn i en hændelse er ikke verificeret tilskrivning til en person. Korrelér årsagen med vellykkede logins, kendt brugeraktivitet og gentagne forsøg, før du erklærer en konto kompromitteret, og sig i alarmen, hvilke af dem du har tjekket.

Send kun notifikationen til autoriserede modtagere. Kontonavne, interne enhedsidentifikatorer og kildeadresser er operationelt følsomme, og en distributionsliste, der vokser af bekvemmelighed, bliver en lækvej. Én anvendelig vej plus et intakt revisionsspor er hele målet.