דואר כשל VPN ב-FortiGate: סננו שדות, לא יומנים

שתי החלטות מסתתרות בתוך «שלח לי דואר כשכניסת VPN נכשלת». הראשונה היא איך ההתראה נמסרת: דואר אחד לכל אירוע, תקציר תקופתי, או התראה מאספן. השנייה היא מה ההודעה מכילה. טעות בראשונה מציפה תיבת דואר, וטעות בשנייה מוחקת את השדות שהופכים את ההתראה לבת-פעולה. אף אחת מההחלטות לא דורשת דיכוי של קטגוריית יומן ה-VPN, וזהו הקיצור שהורס בשקט את נתיב הביקורת.

שלוש צורות מסירה ומתי כל אחת מתאימה

בחרו לפי מי שמגיב וכמה מהר הוא יכול, לא לפי איזו אפשרות היא הקלה ביותר להגדרה. FortiGate בודד שמגן על משרד אחד יכול להצדיק דואר לכל אירוע. אותה תצורה על שער שמקבל ניסיונות מילוי אישורים גנובים מייצרת אלפי הודעות ביום ומסוננת לתיקייה שאיש אינו קורא.

התחילו מרשומת האירוע, לא משורת הנושא

קראו אירוע שמור מייצג בגרסה שאתם מפעילים בפועל. מראה היומנים של FortiOS 7.4.8 מזהה את כשל הכניסה אל SSL VPN כאירוע 39426, ושדותיו כוללים action, user, remip, reason, tunneltype ו-vd. תכנון מסנן מתוך נושא דואר שהועבר במקום מאותה רשומה הוא הדרך שבה אנשים מגיעים להתאמה על שם שדה שהקושחה שלהם כותבת אחרת. פתחו שניים או שלושה כשלים אמיתיים ואמתו שהמזהים תואמים לפני שכותבים טריגר. חמש הדקות שזה לוקח קצרות יותר משבוע של התראות שנורות על האירוע הלא נכון.

תפר אוטומציה מחבר טריגר של יומן אירועים לפעולה, והטריגר הוא המקום שבו בחירת האירוע צריכה לשבת. הוסיפו רק את תנאי השדה הנוספים שהדרישה שלכם צריכה; טריגר שמסנן לפי קבוצה קטנה של שדות עדיין מספק התנהגות שלא נבדקה לשאר.

בנו גוף קומפקטי מהחלפות נתמכות

בגרסאות שמתעדות החלפת שדות יומן עבור פעולות דואר, הגוף יכול להיות קצר ועדיין שימושי. הצורה שלמטה להמחשה; אמתו את שמות התכונות ואת תחביר ההחלפה מול גרסת הקושחה לפני שאתם מאמצים אותה.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

תבנית שמציגה שדה ריק אינה מוכיחה שלאירוע היו חסרים הנתונים האלה. בדקו קודם את שם השדה ואת תחביר ההחלפה, ואז בדקו בכשל מבוקר אחד וקראו את ההודעה בפועל. הוסיפו זהות התקן וזמן התרחשות כדי שמגיב ימצא את הרשומה המלאה בלי לנחש איזו יחידה שלחה את הדואר.

השתיקו את הנפח בלי למחוק את הרשומה

בקרת קצב, קיבוץ וקורלציה שייכים לשכבת המסירה. העלאת חומרת הדואר המינימלית לכל דבר היא כלי קהה שמסתיר אירועים לא קשורים, והשבתת קטגוריית יומן ה-VPN גרועה יותר: האירועים מפסיקים להיכתב לגמרי. השאירו את יעד הרישום המאושר ואת מדיניות השמירה בדיוק כפי שהיו, ותנו במקום זאת לנתיב ההתראה להיות שקט יותר. תעדו מה דיכתם, כי האדם הבא ימצא חור בתיבת הדואר וצריך לדעת שזה היה מכוון.

כשהנתיב החדש מאומת, הוציאו משימוש כל כלל דואר ישן חופף באמצעות שינוי שנבדק. לסיים עם שני נתיבים ששניהם נורים, או עם אף אחד כי הישן הושבת ראשון, היא תוצאה נפוצה של עשיית הניקוי לפני הבדיקה.

קראו כשל ככשל

אירוע אימות שנכשל אינו הפעלת VPN מוצלחת, ושם משתמש באירוע אינו שיוך מאומת לאדם. קשרו את הסיבה לכניסות מוצלחות, לפעילות משתמש ידועה ולניסיונות חוזרים לפני שאתם מכריזים על חשבון כנפרץ, ואמרו בהתראה אילו מאלה בדקתם.

שלחו את ההתראה רק לנמענים מורשים. שמות חשבונות, מזהי התקן פנימיים וכתובות מקור רגישים תפעולית, ורשימת תפוצה שגדלה מטעמי נוחות הופכת לנתיב דליפה. נתיב אחד בר-פעולה בתוספת נתיב ביקורת שלם הוא כל המטרה.