E-mail d’échec VPN sur FortiGate : filtrez les champs, pas les journaux

Deux décisions se cachent dans « envoie-moi un e-mail quand une connexion VPN échoue ». La première est la façon dont la notification est livrée : un e-mail par événement, un résumé périodique ou une alerte d’un collecteur. La seconde est ce que contient le message. Se tromper sur la première inonde une boîte aux lettres, et se tromper sur la seconde supprime les champs qui rendent l’alerte exploitable. Aucune des deux ne nécessite de supprimer la catégorie de journal VPN, qui est le raccourci qui détruit silencieusement la piste d’audit.

Trois formes de livraison et quand chacune convient

Choisissez selon qui répond et à quelle vitesse il peut le faire, pas selon l’option la plus simple à configurer. Un seul FortiGate protégeant un bureau peut justifier un e-mail par événement. La même configuration sur une passerelle qui reçoit des tentatives de bourrage d’identifiants produit des milliers de messages par jour et finit filtrée dans un dossier que personne ne lit.

Partez de l’enregistrement de l’événement, pas de la ligne d’objet

Lisez un événement stocké représentatif sur la version que vous exploitez réellement. La référence des journaux FortiOS 7.4.8 identifie l’échec de connexion à SSL VPN comme l’événement 39426, et ses champs incluent action, user, remip, reason, tunneltype et vd. Concevoir un filtre à partir d’un objet d’e-mail transféré plutôt qu’à partir de cet enregistrement, c’est ainsi que les gens finissent par faire correspondre un nom de champ que leur firmware orthographie différemment. Ouvrez deux ou trois échecs réels et confirmez que les identifiants correspondent avant d’écrire un déclencheur. Les cinq minutes que cela prend sont plus courtes qu’une semaine d’alertes qui se déclenchent sur le mauvais événement.

Un point de couture d’automatisation relie un déclencheur de journal d’événements à une action, et le déclencheur est l’endroit où la sélection de l’événement doit vivre. N’ajoutez que les conditions de champ supplémentaires dont votre besoin a besoin ; un déclencheur qui filtre sur un petit ensemble de champs livre encore un comportement non testé pour le reste.

Construisez un corps compact à partir des remplacements pris en charge

Dans les versions qui documentent le remplacement des champs de journal pour les actions d’e-mail, le corps peut être court et rester utile. La forme ci-dessous est illustrative ; vérifiez les noms d’attributs et la syntaxe de remplacement par rapport à votre version de firmware avant de la retenir.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Un modèle qui affiche un champ vide ne prouve pas que l’événement manquait de ces données. Vérifiez d’abord le nom du champ et la syntaxe de remplacement, puis testez avec un échec contrôlé et lisez le message réel. Ajoutez l’identité de l’appareil et l’heure de survenance pour qu’un intervenant retrouve l’enregistrement complet sans deviner quelle unité a envoyé le message.

Réduisez le volume sans supprimer l’enregistrement

Le contrôle du débit, le regroupement et la corrélation appartiennent à la couche de livraison. Relever la gravité minimale des e-mails pour tout est un instrument brutal qui masque des événements sans rapport, et désactiver la catégorie de journal VPN est pire : les événements cessent d’être écrits du tout. Conservez la destination de journalisation approuvée et la politique de rétention exactement telles qu’elles étaient, et laissez plutôt le chemin de notification devenir plus silencieux. Documentez ce que vous avez supprimé, car la personne suivante trouvera un trou dans la boîte aux lettres et doit savoir qu’il était délibéré.

Une fois le nouveau chemin validé, retirez toute règle d’e-mail héritée qui se chevauche via un changement revu. Terminer avec deux chemins qui se déclenchent tous les deux, ou avec aucun parce que l’ancien a été désactivé en premier, est un résultat courant lorsqu’on fait le nettoyage avant le test.

Lisez un échec comme un échec

Un événement d’authentification échoué n’est pas une session VPN réussie, et un nom d’utilisateur dans un événement n’est pas une attribution vérifiée à une personne. Corrélez la raison avec les connexions réussies, l’activité connue de l’utilisateur et les tentatives répétées avant de déclarer un compte compromis, et dites dans l’alerte lesquels vous avez vérifiés.

N’envoyez la notification qu’à des destinataires autorisés. Les noms de compte, les identifiants internes d’appareil et les adresses source sont sensibles sur le plan opérationnel, et une liste de distribution qui grandit par commodité devient une voie de fuite. Un chemin exploitable plus une piste d’audit intacte, c’est tout l’objectif.