FortiGate VPN-hiba e-mail: szűrjük a mezőket, ne a naplókat

Két döntés rejtőzik az «küldj e-mailt, ha egy VPN-bejelentkezés meghiúsul» mondatban. Az első, hogyan jut el az értesítés: eseményenként egy levél, rendszeres összefoglaló vagy egy gyűjtő riasztása. A második, hogy mit tartalmaz az üzenet. Az elsőben tévedve eláraszt egy postafiókot, a másodikban tévedve törli azokat a mezőket, amelyek a riasztást cselekvőképessé teszik. Egyik döntés sem igényli a VPN-naplókategória elnyomását, ez az a rövidítés, amely csendesen tönkreteszi az auditnyomot.

Három kézbesítési forma, és mikor melyik illik

Aszerint válasszon, ki reagál és milyen gyorsan tud, nem aszerint, melyik lehetőséget a legkönnyebb konfigurálni. Egyetlen irodát védő FortiGate igazolhatja az eseményenkénti levelet. Ugyanez a konfiguráció egy olyan átjárón, amely ellopott hitelesítő adatokkal való kitöltési kísérleteket fogad, naponta több ezer üzenetet termel, és egy olyan mappába szűrődik, amelyet senki sem olvas.

Az eseményrekordnál kezdje, ne a tárgysornál

Olvasson el egy reprezentatív tárolt eseményt azon a kiadáson, amelyet ténylegesen futtat. A FortiOS 7.4.8 naplóreferencia a sikertelen bejelentkezést a SSL VPN esetében a 39426 eseményként azonosítja, mezői közé tartozik a action, user, remip, reason, tunneltype és a vd. A szűrőt egy továbbított e-mail tárgyából, nem ebből a rekordból tervezni az az út, amelyen az emberek végül olyan mezőnévre illeszkednek, amelyet a firmware másképp ír. Nyisson meg két vagy három valódi hibát, és erősítse meg, hogy az azonosítók egyeznek, mielőtt triggert ír. Az ehhez szükséges öt perc rövidebb, mint egy hét olyan riasztásból, amelyek a rossz eseményre sülnek el.

Az automatizálási öltés egy eseménynapló-triggert kapcsol össze egy művelettel, és a trigger az a hely, ahová az esemény kiválasztása tartozik. Csak azokat a további mezőfeltételeket adja hozzá, amelyekre követelményének szüksége van; egy kis mezőkészleten szűrő trigger a többi részére továbbra is tesztületlen viselkedést ad.

Építsen kompakt törzset a támogatott helyettesítésekből

Azokban a kiadásokban, amelyek dokumentálják a naplómezők helyettesítését e-mail-műveletekhez, a törzs rövid és mégis hasznos lehet. Az alábbi forma szemléltető; az átvétel előtt ellenőrizze az attribútumneveket és a helyettesítési szintaxist a firmware-verziójával.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Egy üres mezőt megjelenítő sablon nem bizonyítja, hogy az eseményből hiányoztak ezek az adatok. Először a mezőnevet és a helyettesítési szintaxist ellenőrizze, majd teszteljen egy kontrollált hibával, és olvassa el a tényleges üzenetet. Adja hozzá az eszközidentitást és az előfordulás idejét, hogy a reagáló megtalálja a teljes rekordot anélkül, hogy találgatná, melyik egység küldte a levelet.

Halkítsa a mennyiséget a rekord törlése nélkül

A sebességkorlátozás, a csoportosítás és a korreláció a kézbesítési réteghez tartozik. Az e-mail minimális súlyosságának mindenre való emelése egy tompa eszköz, amely elrejti a nem összefüggő eseményeket, és a VPN-naplókategória kikapcsolása még rosszabb: az események egyáltalán nem íródnak tovább. Tartsa meg a jóváhagyott naplócélt és a megőrzési szabályzatot pontosan úgy, ahogy voltak, és hagyja, hogy helyette az értesítési útvonal halkabbá váljon. Dokumentálja, mit nyomott el, mert a következő ember rést talál a postafiókban, és tudnia kell, hogy ez szándékos volt.

Amikor az új útvonal érvényesítve van, vonjon ki minden átfedő régi e-mail-szabályt egy átvizsgált változtatáson keresztül. Két útvonallal végezni, amelyek mindkettő elsül, vagy eggyel sem, mert a régit előbb kapcsolták ki, a teszt előtti takarítás gyakori eredménye.

Olvassa a hibát hibaként

A sikertelen hitelesítési esemény nem sikeres VPN-munkamenet, és az eseményben szereplő felhasználónév nem egy személyhez igazolt hozzárendelés. A fiók kompromittálttá nyilvánítása előtt korrelálja az okot a sikeres bejelentkezésekkel, az ismert felhasználói tevékenységgel és az ismételt kísérletekkel, és mondja meg a riasztásban, melyeket ellenőrizte.

Csak jogosult címzetteknek küldje az értesítést. A fióknevek, a belső eszközazonosítók és a forrás címek üzemeltetésileg érzékenyek, és a kényelem miatt növekvő terjesztési lista szivárgási úttá válik. Egy cselekvőképes útvonal és egy sértetlen auditnyom az egész cél.