FortiGate VPN ձախողման նամակ՝ զտե՛ք դաշտերը, ոչ թե մատյանները

«Երբ VPN մուտքը ձախողվի, ինձ նամակ ուղարկիր» արտահայտության մեջ երկու որոշում է թաքնված։ Առաջինը՝ ինչպես է ծանուցումը հասնում՝ մեկ նամակ յուրաքանչյուր իրադարձության համար, պարբերական ամփոփում, թե հավաքիչի ազդանշան։ Երկրորդը՝ ինչ է պարունակում հաղորդագրությունը։ Առաջինում սխալվելը ողողում է փոստարկղը, իսկ երկրորդում սխալվելը ջնջում է այն դաշտերը, որոնք ազդանշանը դարձնում են գործողության ենթակա։ Ոչ մի որոշում չի պահանջում ճնշել VPN մատյանի կատեգորիան, և հենց դա է այն կարճ ճանապարհը, որ լուռ ոչնչացնում է աուդիտի հետքը։

Փոխանցման երեք ձև և երբ է յուրաքանչյուրը հարմար

Ընտրեք ըստ այն բանի, թե ով է արձագանքում և որքան արագ կարող է, ոչ թե ըստ այն բանի, թե որ տարբերակն է ամենահեշտ կարգավորելը։ Մեկ գրասենյակ պաշտպանող մեկ FortiGate-ը կարող է արդարացնել յուրաքանչյուր իրադարձության համար նամակը։ Նույն կարգավորումը գողացված հավատարմագրերի լրացման փորձեր ընդունող դարպասի վրա օրական հազարավոր հաղորդագրություններ է արտադրում և զտվում է մի պանակում, որը ոչ ոք չի կարդում։

Սկսեք իրադարձության գրառումից, ոչ թե թեմայի տողից

Կարդացեք ներկայացուցչական պահված իրադարձություն այն թողարկումում, որը դուք իրականում աշխատեցնում եք։ FortiOS 7.4.8 մատյանների տեղեկատուն նույնացնում է մուտքի ձախողումը SSL VPN -ում որպես 39426 իրադարձություն, և դրա դաշտերը ներառում են action, user, remip, reason, tunneltype և vd։ Զտիչ նախագծելը փոխանցված նամակի թեմայից՝ այդ գրառման փոխարեն, հենց այն ուղին է, որով մարդիկ ի վերջո համապատասխանում են մի դաշտի անվան, որը նրանց firmware-ը այլ կերպ է գրում։ Բացեք երկու-երեք իրական ձախողում և հաստատեք, որ նույնացուցիչները համընկնում են, նախքան trigger գրելը։ Դրա համար պահանջվող հինգ րոպեն ավելի կարճ է, քան սխալ իրադարձության վրա բացվող մեկ շաբաթ ազդանշանները։

Ավտոմատացման կարը միացնում է իրադարձությունների մատյանի trigger-ը գործողության, և trigger-ը հենց այն տեղն է, որտեղ պետք է լինի իրադարձության ընտրությունը։ Ավելացրեք միայն այն լրացուցիչ դաշտային պայմանները, որոնք պահանջում է ձեր պահանջը; trigger-ը, որը զտում է դաշտերի փոքր հավաքածուով, մնացածի համար դեռ չստուգված վարք է տալիս։

Կառուցեք կոմպակտ մարմին աջակցվող փոխարինումներից

Այն թողարկումներում, որոնք փաստաթղթավորում են մատյանի դաշտերի փոխարինումը նամակային գործողությունների համար, մարմինը կարող է կարճ լինել և միևնույն ժամանակ օգտակար։ Ստորև ձևը պատկերավոր է. նախքան կիրառելը ստուգեք ատրիբուտների անունները և փոխարինման շարահյուսությունը ձեր firmware տարբերակի հետ։

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Դատարկ դաշտ ցուցադրող ձևանմուշը չի ապացուցում, որ իրադարձությանը բացակայում էին այդ տվյալները։ Նախ ստուգեք դաշտի անունը և փոխարինման շարահյուսությունը, ապա փորձարկեք մեկ վերահսկվող ձախողմամբ և կարդացեք իրական հաղորդագրությունը։ Ավելացրեք սարքի ինքնությունը և դեպքի ժամանակը, որպեսզի արձագանքողը գտնի ամբողջական գրառումը՝ առանց գուշակելու, թե որ միավորն է ուղարկել նամակը։

Լռեցրեք ծավալը՝ չջնջելով գրառումը

Արագության վերահսկումը, խմբավորումը և հարաբերակցությունը պատկանում են փոխանցման շերտին։ Նամակի նվազագույն ծանրությունը բոլորի համար բարձրացնելը բութ գործիք է, որը թաքցնում է անկապ իրադարձությունները, իսկ VPN մատյանի կատեգորիան անջատելը ավելի վատ է. իրադարձությունները ընդհանրապես դադարում են գրվել։ Պահեք հաստատված մատյանների նպատակակետը և պահպանման քաղաքականությունը ճիշտ այնպես, ինչպես եղել են, և փոխարենը թողեք, որ ծանուցման ուղին ավելի լուռ դառնա։ Փաստաթղթավորեք, ինչ եք ճնշել, որովհետև հաջորդ մարդը փոստարկղում բաց կգտնի և պետք է իմանա, որ դա դիտավորյալ էր։

Երբ նոր ուղին վավերացված է, դուրս բերեք ցանկացած համընկնող հին նամակային կանոն վերանայված փոփոխության միջոցով։ Երկու ուղիներով ավարտելը, որոնք երկուսն էլ բացվում են, կամ ոչ մեկով, քանի որ հինն առաջինն անջատվեց, թեստից առաջ մաքրում անելու սովորական արդյունք է։

Կարդացեք ձախողումը որպես ձախողում

Ձախողված նույնականացման իրադարձությունը VPN-ի հաջող նստաշրջան չէ, իսկ իրադարձության մեջ օգտանունը մարդուն վավերացված վերագրում չէ։ Նախքան հաշիվը որպես վտանգված հռչակելը՝ հարաբերակցեք պատճառը հաջող մուտքերի, օգտատիրոջ հայտնի գործունեության և կրկնվող փորձերի հետ, և ազդանշանի մեջ ասեք, թե դրանցից որոնք եք ստուգել։

Ուղարկեք ծանուցումը միայն լիազորված ստացողներին։ Հաշիվների անունները, սարքերի ներքին նույնացուցիչները և աղբյուրի հասցեները գործառնականորեն զգայուն են, և հարմարության համար աճող բաշխման ցանկը դառնում է արտահոսքի ուղի։ Մեկ գործողության ենթակա ուղի և անձեռնմխելի աուդիտի հետք՝ ահա ամբողջ նպատակը։