Email αποτυχίας VPN στο FortiGate: φιλτράρετε πεδία, όχι αρχεία καταγραφής

Δύο αποφάσεις κρύβονται μέσα στη φράση «στείλε μου email όταν αποτύχει μια σύνδεση VPN». Η πρώτη είναι πώς παραδίδεται η ειδοποίηση: ένα email ανά συμβάν, μια περιοδική σύνοψη ή ένας συναγερμός από συλλέκτη. Η δεύτερη είναι τι περιέχει το μήνυμα. Λάθος στην πρώτη πλημμυρίζει ένα γραμματοκιβώτιο, και λάθος στη δεύτερη διαγράφει τα πεδία που κάνουν τον συναγερμό αξιοποιήσιμο. Καμία από τις δύο δεν απαιτεί καταστολή της κατηγορίας καταγραφής VPN — αυτή είναι η συντόμευση που καταστρέφει ήσυχα το ίχνος ελέγχου.

Τρεις μορφές παράδοσης και πότε ταιριάζει καθεμία

Διαλέξτε με κριτήριο ποιος ανταποκρίνεται και πόσο γρήγορα μπορεί, όχι με κριτήριο ποια επιλογή είναι ευκολότερη στη διαμόρφωση. Ένα μόνο FortiGate που προστατεύει ένα γραφείο μπορεί να δικαιολογήσει email ανά συμβάν. Η ίδια διαμόρφωση σε μια πύλη που δέχεται απόπειρες γεμίσματος κλεμμένων διαπιστευτηρίων παράγει χιλιάδες μηνύματα την ημέρα και καταλήγει σε φάκελο που δεν διαβάζει κανείς.

Ξεκινήστε από την εγγραφή του συμβάντος, όχι από τη γραμμή θέματος

Διαβάστε ένα αντιπροσωπευτικό αποθηκευμένο συμβάν στην έκδοση που εκτελείτε πραγματικά. Η αναφορά καταγραφών του FortiOS 7.4.8 προσδιορίζει την αποτυχημένη σύνδεση στο SSL VPN ως συμβάν 39426, και τα πεδία της περιλαμβάνουν action, user, remip, reason, tunneltype και vd. Το να σχεδιάζετε φίλτρο από ένα προωθημένο θέμα email αντί από αυτή την εγγραφή είναι το πώς οι άνθρωποι καταλήγουν να ταιριάζουν σε όνομα πεδίου που το firmware τους γράφει διαφορετικά. Ανοίξτε δύο ή τρεις πραγματικές αποτυχίες και επιβεβαιώστε ότι οι αναγνωριστικοί κωδικοί ταιριάζουν πριν γράψετε ένα έναυσμα. Τα πέντε λεπτά που χρειάζεται είναι λιγότερα από μια εβδομάδα συναγερμών που χτυπούν στο λάθος συμβάν.

Μια ραφή αυτοματισμού ενώνει ένα έναυσμα αρχείου καταγραφής συμβάντων με μια ενέργεια, και το έναυσμα είναι το σημείο όπου ανήκει η επιλογή συμβάντος. Προσθέστε μόνο τις επιπλέον συνθήκες πεδίων που χρειάζεται η απαίτησή σας· ένα έναυσμα που φιλτράρει σε μικρό σύνολο πεδίων εξακολουθεί να παραδίδει μη δοκιμασμένη συμπεριφορά για τα υπόλοιπα.

Χτίστε ένα συμπαγές σώμα από υποστηριζόμενες αντικαταστάσεις

Σε εκδόσεις που τεκμηριώνουν την αντικατάσταση πεδίων καταγραφής για ενέργειες email, το σώμα μπορεί να είναι σύντομο και χρήσιμο. Η μορφή παρακάτω είναι ενδεικτική· επιβεβαιώστε τα ονόματα των χαρακτηριστικών και τη σύνταξη αντικατάστασης με την έκδοση firmware σας πριν την υιοθετήσετε.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Ένα πρότυπο που αποδίδει κενό πεδίο δεν αποδεικνύει ότι το συμβάν δεν είχε αυτά τα δεδομένα. Ελέγξτε πρώτα το όνομα του πεδίου και τη σύνταξη αντικατάστασης, μετά δοκιμάστε με μία ελεγχόμενη αποτυχία και διαβάστε το πραγματικό μήνυμα. Προσθέστε ταυτότητα συσκευής και χρόνο εμφάνισης, ώστε όποιος ανταποκρίνεται να βρίσκει την πλήρη εγγραφή χωρίς να μαντεύει ποια μονάδα έστειλε το email.

Μειώστε τον όγκο χωρίς να διαγράψετε την εγγραφή

Ο έλεγχος ρυθμού, η ομαδοποίηση και η συσχέτιση ανήκουν στο επίπεδο παράδοσης. Το να ανεβάσετε την ελάχιστη σοβαρότητα email για τα πάντα είναι ένα αμβλύ εργαλείο που κρύβει άσχετα συμβάντα, και η απενεργοποίηση της κατηγορίας καταγραφής VPN είναι χειρότερη: τα συμβάντα παύουν να γράφονται εντελώς. Κρατήστε τον εγκεκριμένο προορισμό καταγραφής και την πολιτική διατήρησης ακριβώς όπως ήταν, και αφήστε αντ’ αυτού τη διαδρομή ειδοποίησης να γίνει πιο ήσυχη. Τεκμηριώστε τι καταστείλατε, γιατί ο επόμενος άνθρωπος θα βρει ένα κενό στο γραμματοκιβώτιο και πρέπει να ξέρει ότι ήταν σκόπιμο.

Όταν η νέα διαδρομή επικυρωθεί, αποσύρετε κάθε επικαλυπτόμενο παλιό κανόνα email μέσω αναθεωρημένης αλλαγής. Το να καταλήξετε με δύο διαδρομές που πυροδοτούνται και οι δύο, ή με καμία επειδή η παλιά απενεργοποιήθηκε πρώτη, είναι συνηθισμένο αποτέλεσμα του να κάνετε τον καθαρισμό πριν τη δοκιμή.

Διαβάστε μια αποτυχία ως αποτυχία

Ένα αποτυχημένο συμβάν ελέγχου ταυτότητας δεν είναι επιτυχημένη συνεδρία VPN, και ένα όνομα χρήστη σε ένα συμβάν δεν είναι επαληθευμένη απόδοση σε πρόσωπο. Συσχετίστε τον λόγο με επιτυχημένες συνδέσεις, γνωστή δραστηριότητα χρήστη και επαναλαμβανόμενες απόπειρες πριν κηρύξετε λογαριασμό παραβιασμένο, και πείτε στον συναγερμό ποια από αυτά ελέγξατε.

Στείλτε την ειδοποίηση μόνο σε εξουσιοδοτημένους παραλήπτες. Τα ονόματα λογαριασμών, οι εσωτερικοί αναγνωριστικοί συσκευών και οι διευθύνσεις προέλευσης είναι επιχειρησιακά ευαίσθητα, και μια λίστα διανομής που μεγαλώνει για ευκολία γίνεται διαδρομή διαρροής. Μία αξιοποιήσιμη διαδρομή συν ένα άθικτο ίχνος ελέγχου είναι ολόκληρος ο στόχος.