FortiGate VPN -virheen sähköposti: suodata kenttiä, älä lokeja

Lauseessa «lähetä minulle sähköposti, kun VPN-kirjautuminen epäonnistuu» piilee kaksi päätöstä. Ensimmäinen on, miten ilmoitus toimitetaan: yksi viesti tapahtumaa kohden, säännöllinen yhteenveto vai kerääjän hälytys. Toinen on, mitä viesti sisältää. Ensimmäisen virhe tulvii postilaatikon, ja toisen virhe poistaa kentät, jotka tekevät hälytyksestä toimintakelpoisen. Kumpikaan päätös ei vaadi VPN-lokiluokan tukahduttamista — se on oikotie, joka tuhoaa auditointijäljen hiljaa.

Kolme toimitustapaa ja milloin kukin sopii

Valitse sen mukaan, kuka vastaa ja kuinka nopeasti hän voi, ei sen mukaan, mikä vaihtoehto on helpoin määrittää. Yhtä toimistoa suojaava yksittäinen FortiGate voi perustella sähköpostin tapahtumaa kohden. Sama kokoonpano yhdyskäytävällä, joka ottaa vastaan varastettujen tunnusten täyttöyrityksiä, tuottaa tuhansia viestejä päivässä ja suodattuu kansioon, jota kukaan ei lue.

Aloita tapahtumatietueesta, älä aiherivistä

Lue edustava tallennettu tapahtuma versiossa, jota todella ajat. FortiOS 7.4.8 -lokuite tunnistaa epäonnistuneen kirjautumisen SSL VPN -palveluun tapahtumaksi 39426, ja sen kenttiin kuuluvat action, user, remip, reason, tunneltype ja vd. Suodattimen suunnitteleminen edelleenlähetetystä sähköpostin aiheesta tuon tietueen sijaan on tapa, jolla ihmiset päätyvät sovittamaan kenttänimeä, jonka heidän firmwarensa kirjoittaa eri tavalla. Avaa kaksi tai kolme todellista epäonnistumista ja varmista, että tunnisteet täsmäävät ennen liipaisimen kirjoittamista. Siihen kuluva viisi minuuttia on lyhyempi kuin viikko hälytyksiä, jotka laukeavat väärästä tapahtumasta.

Automaatiosauma yhdistää tapahtumalokin liipaisimen toimintoon, ja liipaisin on paikka, johon tapahtuman valinta kuuluu. Lisää vain ne ylimääräiset kenttäehdot, jotka vaatimuksesi tarvitsee; liipaisin, joka suodattaa pientä kenttäjoukkoa, toimittaa silti testaamatonta käyttäytymistä muulle osalle.

Rakenna kompakti runko tuetuista korvauksista

Versioissa, joissa dokumentoidaan lokikenttien korvaaminen sähköpostitoiminnoille, runko voi olla lyhyt ja silti hyödyllinen. Alla oleva muoto on havainnollinen; varmista määritteiden nimet ja korvausmerkintä firmware-versiotasi vasten ennen käyttöönottoa.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Malli, joka näyttää tyhjän kentän, ei todista, että tapahtumalta puuttuivat ne tiedot. Tarkista ensin kentän nimi ja korvausmerkintä, testaa sitten yhdellä hallitulla epäonnistumisella ja lue todellinen viesti. Lisää laitteen identiteetti ja esiintymisaika, jotta vastaaja löytää täydellisen tietueen arvaamatta, mikä yksikkö lähetti viestin.

Vaimenna määrä poistamatta tietuetta

Nopeuden hallinta, ryhmittely ja korrelaatio kuuluvat toimitustasolle. Sähköpostin vähimmäisvakavuuden nostaminen kaikelle on tylsä työkalu, joka piilottaa toisiinsa liittymättömät tapahtumat, ja VPN-lokiluokan poistaminen käytöstä on pahempaa: tapahtumien kirjoittaminen loppuu kokonaan. Pidä hyväksytty lokikohde ja säilytyskäytäntö täsmälleen sellaisina kuin ne olivat, ja anna ilmoituspolun muuttua hiljaisemmaksi sen sijaan. Dokumentoi, mitä tukahdutit, koska seuraava henkilö löytää postilaatikosta aukon ja tarvitsee tietää, että se oli tahallinen.

Kun uusi polku on validoitu, poista mikä tahansa päällekkäinen vanha sähköpostisääntö arvioidun muutoksen kautta. Kahden polun päättyminen molempien lauetessa, tai ei kummankaan, koska vanha poistettiin ensin käytöstä, on yleinen seuraus siivouksen tekemisestä ennen testiä.

Lue epäonnistuminen epäonnistumisena

Epäonnistunut todennustapahtuma ei ole onnistunut VPN-istunto, eikä tapahtuman käyttäjänimi ole vahvistettu kytkös henkilöön. Korreloi syy onnistuneiden kirjautumisten, tunnetun käyttäjätoiminnan ja toistuvien yritysten kanssa ennen kuin julistat tilin vaarantuneeksi, ja kerro hälytyksessä, mitkä niistä tarkistit.

Lähetä ilmoitus vain valtuutetuille vastaanottajille. Tilinimet, laitteiden sisäiset tunnisteet ja lähdeosoitteet ovat operatiivisesti arkaluontoisia, ja mukavuuden vuoksi kasvava jakelulista muuttuu vuotoreitiksi. Yksi toimintakelpoinen polku plus ehjä auditointijälki on koko tavoite.