FortiGate-VPN-Fehler-E-Mail: Felder filtern, nicht Protokolle

Wählen Sie die Form der Benachrichtigung, bauen Sie sie aus den Feldern von Ereignis 39426, und dämpfen Sie dann das Volumen, ohne die VPN-Protokollkategorie oder die Prüfspur abzuschalten.

In „schick mir eine E-Mail, wenn eine VPN-Anmeldung fehlschlägt“ stecken zwei Entscheidungen. Die erste ist, wie die Benachrichtigung zugestellt wird: eine Mail pro Ereignis, eine regelmäßige Zusammenfassung oder ein Alarm von einem Collector. Die zweite ist, was die Nachricht enthält. Ein Fehler bei der ersten flutet ein Postfach, und ein Fehler bei der zweiten löscht die Felder, die den Alarm handlungsfähig machen. Keine der beiden Entscheidungen erfordert, die VPN-Protokollkategorie zu unterdrücken — das ist die Abkürzung, die die Prüfspur still zerstört.

Drei Zustellformen und wann jede passt

FormPasst, wennKosten
Automatisierungs-E-Mail pro Ereignisgeringes Volumen, ein Team reagiertein Schwall von Versuchen wird zur Postfachflut
Geplante ZusammenfassungRoutineprüfung, Trendbeobachtungniemand sieht einen laufenden Versuch
Collector-Alarm mit Korrelationhohes Volumen, gemeinsames SOCein weiteres System, das gefüttert und abgestimmt werden muss

Entscheiden Sie danach, wer reagiert und wie schnell er das kann, nicht danach, welche Option am einfachsten zu konfigurieren ist. Ein einzelnes FortiGate, das ein Büro schützt, kann eine Mail pro Ereignis rechtfertigen. Dieselbe Konfiguration auf einem Gateway, das Credential-Stuffing-Versuche abbekommt, erzeugt tausende Nachrichten pro Tag und landet in einem Ordner, den niemand liest.

Beim Ereignisdatensatz ansetzen, nicht bei der Betreffzeile

Lesen Sie ein repräsentatives gespeichertes Ereignis in der Version, die Sie tatsächlich betreiben. Die FortiOS-7.4.8-Protokollreferenz identifiziert die fehlgeschlagene Anmeldung bei SSL VPN als Ereignis 39426, und ihre Felder umfassen action, user, remip, reason, tunneltype und vd. Einen Filter aus einem weitergeleiteten E-Mail-Betreff statt aus diesem Datensatz zu entwerfen, ist der Weg, auf dem Leute am Ende auf einen Feldnamen matchen, den ihre Firmware anders schreibt. Öffnen Sie zwei oder drei echte Fehlschläge, und bestätigen Sie, dass die Bezeichner übereinstimmen, bevor Sie einen Trigger schreiben. Die fünf Minuten dafür sind kürzer als eine Woche Alarme, die auf das falsche Ereignis feuern.

Ein Automatisierungs-Stitch verbindet einen Ereignisprotokoll-Trigger mit einer Aktion, und der Trigger ist der Ort, an dem die Ereignisauswahl hingehört. Fügen Sie nur die zusätzlichen Feldbedingungen hinzu, die Ihre Anforderung braucht; ein Trigger, der auf eine kleine Feldmenge filtert, liefert für den Rest weiterhin ungetestetes Verhalten.

Einen kompakten Body aus unterstützten Ersetzungen bauen

In Versionen, die die Protokollfeld-Ersetzung für E-Mail-Aktionen dokumentieren, kann der Body kurz und trotzdem nützlich sein. Die Form unten ist illustrativ; prüfen Sie die Attributnamen und die Ersetzungssyntax gegen Ihre Firmware-Version, bevor Sie sie übernehmen.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Eine Vorlage, die ein leeres Feld rendert, beweist nicht, dass dem Ereignis diese Daten fehlten. Prüfen Sie zuerst den Feldnamen und die Ersetzungssyntax, und testen Sie dann mit einem kontrollierten Fehlschlag und lesen Sie die tatsächliche Nachricht. Ergänzen Sie Geräteidentität und Zeitpunkt, damit ein Responder den vollständigen Datensatz findet, ohne raten zu müssen, welche Einheit die Mail geschickt hat.

Das Volumen dämpfen, ohne den Datensatz zu löschen

Ratenbegrenzung, Gruppierung und Korrelation gehören in die Zustellschicht. Die Mindest-E-Mail-Schwere für alles anzuheben, ist ein grobes Werkzeug, das unzusammenhängende Ereignisse versteckt, und die VPN-Protokollkategorie abzuschalten ist schlimmer: die Ereignisse werden gar nicht mehr geschrieben. Behalten Sie das genehmigte Protokollziel und die Aufbewahrungsrichtlinie genau so, wie sie waren, und lassen Sie stattdessen den Benachrichtigungspfad leiser werden. Dokumentieren Sie, was Sie unterdrückt haben, denn die nächste Person findet eine Lücke im Postfach und muss wissen, dass sie Absicht war.

Wenn der neue Pfad validiert ist, ziehen Sie jede überlappende alte E-Mail-Regel über eine geprüfte Änderung zurück. Mit zwei Pfaden zu enden, die beide feuern, oder mit keinem, weil der alte zuerst abgeschaltet wurde, ist ein häufiges Ergebnis davon, die Aufräumarbeit vor dem Test zu machen.

Einen Fehlschlag als Fehlschlag lesen

Ein fehlgeschlagenes Authentifizierungsereignis ist keine erfolgreiche VPN-Sitzung, und ein Benutzername in einem Ereignis ist keine verifizierte Zuordnung zu einer Person. Korrelieren Sie den Grund mit erfolgreichen Anmeldungen, bekannter Benutzeraktivität und wiederholten Versuchen, bevor Sie ein Konto als kompromittiert erklären, und sagen Sie im Alarm, welches davon Sie geprüft haben.

Senden Sie die Benachrichtigung nur an autorisierte Empfänger. Kontonamen, interne Gerätebezeichner und Quelladressen sind betrieblich sensibel, und eine Verteilerliste, die aus Bequemlichkeit wächst, wird zum Leckpfad. Ein handlungsfähiger Pfad plus eine intakte Prüfspur ist das ganze Ziel.

Ähnliche Artikel