FortiGate VPN-i tõrke e-kiri: filtreeri välju, mitte logisid

Fraasis «saada mulle e-kiri, kui VPN-i sisselogimine ebaõnnestub» peitub kaks otsust. Esimene on see, kuidas teavitus kohale jõuab: üks kiri sündmuse kohta, perioodiline kokkuvõte või koguja alarm. Teine on see, mida sõnum sisaldab. Esimese puhul vale otsus ujutab postkasti üle, teise puhul vale otsus kustutab väljad, mis teevad alarmi tegutsemiskõlblikuks. Kumbki otsus ei nõua VPN-i logikategooria summutamist — see on lühike tee, mis hävitab vaikselt auditijälje.

Kolm kohaletoimetamise kuju ja millal kumb sobib

Valige selle järgi, kes reageerib ja kui kiiresti ta seda teha saab, mitte selle järgi, millist valikut on kõige lihtsam seadistada. Üht kontorit kaitsv üksik FortiGate võib õigustada kirja sündmuse kohta. Sama seadistus lüüsil, mis võtab vastu varastatud mandaatide täitmise katseid, toodab tuhandeid sõnumeid päevas ja filtreeritakse kausta, mida keegi ei loe.

Alustage sündmuse kirjest, mitte teemarealt

Lugege esinduslikku salvestatud sündmust versioonil, mida te tegelikult kasutate. FortiOS 7.4.8 logiviide tuvastab ebaõnnestunud sisselogimise SSL VPN juures sündmusena 39426 ja selle väljad hõlmavad action, user, remip, reason, tunneltype ja vd. Filtri kujundamine edastatud e-kirja teemalt selle kirje asemel on viis, kuidas inimesed lõpuks sobitavad välja nime, mille nende püsivara kirjutab teisiti. Avage kaks või kolm tegelikku tõrget ja kinnitage, et identifikaatorid kattuvad, enne kui kirjutate päästiku. Selleks kuluv viis minutit on lühem kui nädal valesündmusele reageerivaid alarme.

Automatiseerimisõmblus ühendab sündmuselogi päästiku toiminguga ja päästik on koht, kuhu sündmuse valik kuulub. Lisage ainult need täiendavad väljatingimused, mida teie nõue vajab; väikese väljahulga järgi filtreeriv päästik annab ülejäänu jaoks ikkagi testimata käitumist.

Ehitage kompaktne keha toetatud asendustest

Väljaannetes, mis dokumenteerivad logiväljade asendamist e-kirja toimingute jaoks, võib keha olla lühike ja siiski kasulik. Allolev kuju on näitlik; kontrollige atribuudinimesid ja asendussüntaksit oma püsivara versiooni vastu enne selle kasutuselevõttu.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Mall, mis kuvab tühja välja, ei tõesta, et sündmusel need andmed puudusid. Kontrollige esmalt välja nime ja asendussüntaksit, seejärel katsetage ühe kontrollitud tõrkega ja lugege tegelikku sõnumit. Lisage seadme identiteet ja toimumisaeg, et reageerija leiaks täieliku kirje ilma oletamata, milline üksus kirja saatis.

Vaigistage maht kirjet kustutamata

Kiiruse kontroll, rühmitamine ja korrelatsioon kuuluvad kohaletoimetamise kihti. Kõige jaoks e-kirja minimaalse tõsiduse tõstmine on tönts tööriist, mis peidab mitteseotud sündmused, ja VPN-i logikategooria väljalülitamine on hullem: sündmusi ei kirjutata enam üldse. Hoidke kinnitatud logisihtkoht ja säilituspoliitika täpselt sellisena, nagu need olid, ja laske selle asemel teavitusrajal vaiksemaks muutuda. Dokumenteerige, mida te summutasite, sest järgmine inimene leiab postkastis lünga ja peab teadma, et see oli tahtlik.

Kui uus rada on valideeritud, kõrvaldage ülekattuv vana e-kirja reegel üle vaadatud muudatuse kaudu. Lõpetada kahe rajaga, mis mõlemad käivituvad, või mitte ühegagi, sest vana lülitati esimesena välja, on tavaline tulemus puhastustöö tegemisest enne katset.

Lugege tõrget tõrkena

Ebaõnnestunud autentimissündmus ei ole edukas VPN-i sessioon ja kasutajanimi sündmuses ei ole isikule kinnitatud omistus. Korreleerige põhjus edukate sisselogimistega, teadaoleva kasutajategevuse ja korduvate katsetega enne, kui kuulutate konto kompromiteerituks, ja öelge alarmis, milliseid neist te kontrollisite.

Saatke teavitus ainult volitatud adressaatidele. Kontonimed, seadme sisemised identifikaatorid ja lähteaadressid on operatiivselt tundlikud ning mugavuse tõttu kasvav levitusnimekiri muutub lekkerajaks. Üks tegutsemiskõlblik rada pluss terve auditijälg on kogu eesmärk.