FortiGate VPN-fiaska retpoŝto: filtru kampojn, ne protokolojn

Du decidoj kaŝiĝas en «sendu al mi retpoŝton kiam VPN-ensaluto malsukcesas». La unua estas kiel la sciigo estas liverata: unu mesaĝo por evento, perioda resumo, aŭ alarmo de kolektilo. La dua estas kion la mesaĝo enhavas. Erari en la unua superverŝas poŝtkeston, kaj erari en la dua forigas la kampojn, kiuj faras la alarmon agoplena. Neniu el la decidoj postulas subpremi la VPN-protokolan kategorion, kiu estas la mallongigo, kiu silente detruas la revizian spuron.

Tri liverformoj kaj kiam ĉiu taŭgas

Elektu laŭ tio, kiu respondas kaj kiom rapide li povas, ne laŭ tio, kiu opcio estas plej facile agordebla. Unu FortiGate protektanta unu oficejon povas pravigiligi retpoŝton por evento. La sama agordo sur pordego ricevanta provojn de plenigo de ŝtelitaj akreditaĵoj produktas milojn da mesaĝoj tage kaj finiĝas en dosierujo, kiun neniu legas.

Komencu de la eventa rikordo, ne de la temlinio

Legu reprezentan konservitan eventon en la eldono, kiun vi vere funkciigas. La protokola referenco de FortiOS 7.4.8 identigas malsukcesan ensaluton al SSL VPN kiel eventon 39426, kaj ĝiaj kampoj inkluzivas action, user, remip, reason, tunneltype kaj vd. Dezajni filtrilon el plusendita retpoŝta temo anstataŭ el tiu rikordo estas kiel homoj finas kongruigante kamponomon, kiun ilia firmvaro literumas alie. Malfermu du aŭ tri realajn malsukcesojn kaj konfirmu, ke la identigiloj kongruas antaŭ ol skribi ekigilon. La kvin minutoj, kiujn tio bezonas, estas pli mallongaj ol semajno da alarmoj pafantaj sur la malĝustan eventon.

Aŭtomatiga kunkudro kunligas eventprotokolan ekigilon kun ago, kaj la ekigilo estas la loko, kie la eventa elekto apartenas. Aldonu nur la pliajn kampokondiĉojn, kiujn via postulo bezonas; ekigilo filtranta laŭ malgranda aro da kampoj ankoraŭ liveras netestitan konduton por la resto.

Konstruu kompaktan korpon el subtenataj anstataŭigoj

En eldonoj, kiuj dokumentas anstataŭigon de protokolaj kampoj por retpoŝtaj agoj, la korpo povas esti mallonga kaj tamen utila. La formo sube estas ilustra; konfirmu la atributajn nomojn kaj la anstataŭigan sintakson kontraŭ via firmvara versio antaŭ ol apliki ĝin.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Ŝablono, kiu montras malplenan kampon, ne pruvas, ke la evento mankis tiujn datumojn. Kontrolu unue la kamponomon kaj la anstataŭigan sintakson, poste testu per unu kontrolita malsukceso kaj legu la faktan mesaĝon. Aldonu aparatan identecon kaj okaztempon, por ke respondanto povu trovi la plenan rikordon sen diveni, kiu unuo sendis la mesaĝon.

Mallaŭtigu la volumon sen forigi la rikordon

Rapideca kontrolo, grupigo kaj korelacio apartenas al la livera tavolo. Altigi la minimuman retpoŝtan gravecon por ĉio estas maldelikata ilo, kiu kaŝas nerilatajn eventojn, kaj malŝalti la VPN-protokolan kategorion estas pli malbone: la eventoj tute ĉesas esti skribataj. Konservu la aprobitan protokolan celon kaj la retenpolitikon ĝuste kiel ili estis, kaj anstataŭe lasu la sciigan vojon pli silentan. Dokumentu, kion vi subpremis, ĉar la sekva persono trovos breĉon en la poŝtkesto kaj devas scii, ke ĝi estis intenca.

Kiam la nova vojo estas validigita, emeritigu ĉiun interkovrantan malnovan retpoŝtan regulon per reviziita ŝanĝo. Fini kun du vojoj, kiuj ambaŭ pafas, aŭ kun neniu pafanta ĉar la malnova unue estis malŝaltita, estas ofta rezulto de fari la purigadon antaŭ la testo.

Legu malsukceson kiel malsukceson

Malsukcesa aŭtentiga evento ne estas sukcesa VPN-sesio, kaj uzantnomo en evento ne estas konfirmita atribuo al persono. Korelaciu la kialon kun sukcesaj ensalutoj, konata uzantaktiveco kaj ripetaj provoj antaŭ ol deklari konton kompromitita, kaj diru en la alarmo, kiujn el tiuj vi kontrolis.

Sendu la sciigon nur al rajtigitaj ricevantoj. Kontonomoj, internaj aparataj identigiloj kaj fontadresoj estas operative sentemaj, kaj dissendolisto, kiu kreskas pro oportuno, fariĝas lika vojo. Unu agoplena vojo plus sendifekta revizia spuro estas la tuta celo.