Email kegagalan VPN FortiGate: saring kolom, bukan log

Ada dua keputusan yang tersembunyi di dalam «kirimi saya email saat login VPN gagal». Yang pertama adalah bagaimana notifikasi dikirim: satu email per peristiwa, ringkasan berkala, atau peringatan dari kolektor. Yang kedua adalah apa isi pesannya. Salah pada yang pertama membanjiri kotak masuk, dan salah pada yang kedua menghapus kolom yang membuat peringatan itu bisa ditindaklanjuti. Tak satu pun keputusan itu menuntut penekanan kategori log VPN, dan itulah jalan pintas yang diam-diam merusak jejak audit.

Tiga bentuk pengiriman dan kapan masing-masing cocok

Pilih berdasarkan siapa yang merespons dan seberapa cepat mereka bisa, bukan berdasarkan opsi mana yang paling mudah dikonfigurasi. Satu FortiGate yang melindungi satu kantor bisa membenarkan email per peristiwa. Konfigurasi yang sama pada gateway yang menerima percobaan credential stuffing menghasilkan ribuan pesan sehari dan tersaring ke folder yang tak dibaca siapa pun.

Mulai dari catatan peristiwa, bukan dari baris subjek

Baca peristiwa tersimpan yang representatif pada rilis yang benar-benar Anda jalankan. Referensi log FortiOS 7.4.8 mengidentifikasi kegagalan login di SSL VPN sebagai peristiwa 39426, dan kolomnya mencakup action, user, remip, reason, tunneltype dan vd. Merancang filter dari subjek email yang diteruskan alih-alih dari catatan itu adalah cara orang akhirnya mencocokkan nama kolom yang ditulis berbeda oleh firmware mereka. Buka dua atau tiga kegagalan nyata dan pastikan pengenalnya cocok sebelum menulis pemicu. Lima menit yang dibutuhkan lebih singkat daripada sepekan peringatan yang menyala pada peristiwa yang salah.

Jahitan otomatisasi menghubungkan pemicu log peristiwa dengan tindakan, dan pemicu adalah tempat pemilihan peristiwa seharusnya berada. Tambahkan hanya kondisi kolom tambahan yang dibutuhkan persyaratan Anda; pemicu yang menyaring pada sekumpulan kecil kolom tetap memberikan perilaku yang belum diuji untuk sisanya.

Bangun isi ringkas dari penggantian yang didukung

Pada rilis yang mendokumentasikan penggantian kolom log untuk tindakan email, isinya bisa singkat dan tetap berguna. Bentuk di bawah ini ilustratif; pastikan nama atribut dan sintaks penggantian terhadap versi firmware Anda sebelum menerapkannya.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Templat yang menampilkan kolom kosong tidak membuktikan bahwa peristiwa itu kekurangan data tersebut. Periksa dulu nama kolom dan sintaks penggantian, lalu uji dengan satu kegagalan terkendali dan baca pesan sebenarnya. Tambahkan identitas perangkat dan waktu kejadian agar responden dapat menemukan catatan lengkap tanpa menebak unit mana yang mengirim email.

Tenangkan volumenya tanpa menghapus catatan

Kendali laju, pengelompokan, dan korelasi termasuk dalam lapisan pengiriman. Menaikkan tingkat keparahan email minimum untuk semuanya adalah alat tumpul yang menyembunyikan peristiwa tak terkait, dan menonaktifkan kategori log VPN lebih buruk: peristiwa berhenti ditulis sama sekali. Pertahankan tujuan pencatatan yang disetujui dan kebijakan penyimpanan persis seperti sebelumnya, dan biarkan jalur notifikasinya menjadi lebih tenang. Dokumentasikan apa yang Anda tekan, karena orang berikutnya akan menemukan celah di kotak masuk dan perlu tahu itu disengaja.

Setelah jalur baru tervalidasi, pensiunkan aturan email lama yang tumpang tindih melalui perubahan yang ditinjau. Berakhir dengan dua jalur yang keduanya menyala, atau tanpa jalur yang menyala karena yang lama dimatikan lebih dulu, adalah hasil umum dari melakukan pembersihan sebelum pengujian.

Baca kegagalan sebagai kegagalan

Peristiwa autentikasi yang gagal bukan sesi VPN yang berhasil, dan nama pengguna dalam peristiwa bukan atribusi terverifikasi kepada seseorang. Korelasikan alasannya dengan login berhasil, aktivitas pengguna yang diketahui, dan percobaan berulang sebelum menyatakan akun diretas, dan sebutkan dalam peringatan mana dari itu yang Anda periksa.

Kirim notifikasi hanya kepada penerima yang berwenang. Nama akun, pengenal perangkat internal, dan alamat sumber sensitif secara operasional, dan daftar distribusi yang tumbuh demi kenyamanan menjadi jalur kebocoran. Satu jalur yang bisa ditindaklanjuti plus jejak audit yang utuh adalah seluruh tujuannya.