FortiGate VPN-flater-e-mail: filter fjilden, net lochboeken

Twa besluten ferskûlje har yn «stjoer my in e-mail as in VPN-oanmelding mislearret». It earste is hoe’t de melding levere wurdt: ien mail per barren, in periodike gearfetting of in alaarm fan in samler. It twadde is wat it berjocht befettet. Ferkeard yn it earste oerstreamt in postbus, en ferkeard yn it twadde smyt de fjilden weilitten dy’t it alaarm brûkber meitsje. Gjin fan beide besluten freget om de VPN-lochkategory te ûnderdrukken, en dat is de koarte wei dy’t it auditpaad stil ferneatiget.

Trije leveringsfoarmen en wannear’t elk past

Kies nei wa’t reagearret en hoe fluch hy dat kin, net nei hokker opsje it maklikst te konfigurearjen is. Ien inkele FortiGate dy’t ien kantoar beskermet kin e-mail per barren rjochtfeardigje. Deselde konfiguraasje op in poarte dy’t besykjen ta it foljen fan stellen oanmeldgegevens oannimt, produsearret tûzenen berjochten deis en wurdt filtere yn in map dy’t nimmen lêst.

Begjin by it barrensrekord, net by de ûnderwerpregel

Lês in represintatyf bewarre barren op ’e ferzje dy’t jo eins draaie. De FortiOS 7.4.8-lochferwizing identifisearret de mislearre oanmelding by SSL VPN as barren 39426, en de fjilden omfetsje action, user, remip, reason, tunneltype en vd. In filter ûntwerpe út in trochstjoerde e-mailûnderwerp ynstee fan út dat rekord is hoe’t minsken úteinliks oerienkomme op in fjildnamme dy’t har firmware oars skriuwt. Iepenje twa of trije echte flaters en befestigje dat de identifiers oerienkomme foardat jo in trigger skriuwe. De fiif minuten dy’t dat kostet binne koarter as in wike alaarmen dy’t op it ferkearde barren ôfgeane.

In automatisearringstik ferbynt in barrenslochtrigger mei in aksje, en de trigger is it plak dêr’t de barrensseleksje heart. Foegje allinnich de ekstra fjildbetingsten ta dy’t jo eask nedich hat; in trigger dy’t op in lytse set fjilden filteret, leveret foar de rest noch altyd ûnteste gedrach.

Bou in kompakt lichem út stipe ferfangingen

Yn ferzjes dy’t it ferfangen fan lochfjilden foar e-mailaksjes dokumintearje, kin it lichem koart en dochs brûkber wêze. De foarm hjirûnder is yllustratyf; befestigje de attributnammen en de ferfangingssyntaksis tsjin jo firmwareferzje foardat jo it oernimme.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

In sjabloan dat in leech fjild werjout, bewiist net dat it barren dy gegevens miste. Kontrolearje earst de fjildnamme en de ferfangingssyntaksis, testje dan mei ien beheinde flater en lês it werklike berjocht. Foegje apparaatidentiteit en tiid fan foarkommen ta, sadat in reagearder it folsleine rekord fine kin sûnder te rieden hokker ienheid de mail stjoerde.

Bring it folume del sûnder it rekord te wiskjen

Tariochtkontrôle, groepearring en korrelaasje hearre by de leveringslaach. De minimale e-mail-swierens foar alles ferheegje is in grof ynstrumint dat net-relatearre barrens ferberget, en de VPN-lochkategory útskeakelje is slimmer: de barrens wurde hielendal net mear skreaun. Hâld de goedkarde lochbestimming en it bewarbelied krekt sa’t se wiene, en lit it meldingspaad ynstee stiller wurde. Dokumintearje wat jo ûnderdrukt hawwe, want de folgjende persoan fynt in gat yn ’e postbus en moat witte dat it mei opsetsin wie.

As it nije paad falidearre is, nim dan elke oerlaapjende âlde e-mailregel werom fia in beoardiele wiziging. Einigje mei twa paden dy’t beide ôfgeane, of mei gjinien omdat de âlde earst útskeakele waard, is in gewoan gefolch fan it skjinmeitsjen foar de test.

Lês in flater as in flater

In mislearre autentikaasjebarren is gjin suksesfolle VPN-sesje, en in brûkersnamme yn in barren is gjin ferifiearre taskriuwing oan in persoan. Korrelearje de reden mei suksesfolle oanmeldingen, bekende brûkersaktiviteit en werhelle besykjen foardat jo in akkount as kompromittearre ferklearje, en sis yn it alaarm hokker fan dy jo kontrolearre hawwe.

Stjoer de melding allinnich nei autorisearre ûntfangers. Akkountnammen, ynterne apparaatidentifiers en boarneadressen binne operasjoneel gefoelich, en in distribúsjelist dy’t út gemak groeit wirdt in lekrûte. Ien brûkber paad plus in yntakt auditpaad is it hiele doel.