Email di errore VPN su FortiGate: filtra i campi, non i log

Scegli la forma della notifica, costruiscila dai campi dell’evento 39426, poi riduci il volume senza disattivare la categoria di log VPN né la traccia di controllo.

Due decisioni si nascondono in «mandami un’e-mail quando un accesso VPN fallisce». La prima è come viene consegnata la notifica: un’e-mail per evento, un riepilogo periodico o un avviso da un raccoglitore. La seconda è cosa contiene il messaggio. Sbagliare la prima inonda una casella di posta, e sbagliare la seconda cancella i campi che rendono l’avviso utilizzabile. Nessuna delle due richiede di sopprimere la categoria di log VPN, che è la scorciatoia che distrugge silenziosamente la traccia di controllo.

Tre forme di consegna e quando ciascuna è adatta

FormaAdatta quandoCosto
E-mail di automazione per eventovolume basso, risponde un solo teamun picco di tentativi diventa un’alluvione di casella
Riepilogo pianificatorevisione di routine, monitoraggio delle tendenzenessuno vede un tentativo in corso
Avviso del raccoglitore con correlazionevolume alto, SOC condivisoun altro sistema da alimentare e tarare

Scegli in base a chi risponde e a quanto in fretta può farlo, non in base a quale opzione è più facile da configurare. Un singolo FortiGate che protegge un ufficio può giustificare l’e-mail per evento. La stessa configurazione su un gateway che riceve tentativi di riempimento delle credenziali produce migliaia di messaggi al giorno e finisce filtrata in una cartella che nessuno legge.

Parti dal record dell’evento, non dalla riga dell’oggetto

Leggi un evento memorizzato rappresentativo sulla versione che esegui davvero. Il riferimento dei log di FortiOS 7.4.8 identifica l’accesso non riuscito a SSL VPN come evento 39426, e i suoi campi includono action, user, remip, reason, tunneltype e vd. Progettare un filtro da un oggetto di e-mail inoltrata invece che da quel record è il modo in cui le persone finiscono per far corrispondere un nome di campo che il loro firmware scrive diversamente. Apri due o tre errori reali e conferma che gli identificatori corrispondono prima di scrivere un trigger. I cinque minuti che servono sono più brevi di una settimana di avvisi che scattano sull’evento sbagliato.

Una cucitura di automazione collega un trigger del log eventi a un’azione, e il trigger è il punto in cui deve stare la selezione dell’evento. Aggiungi solo le condizioni di campo extra che il tuo requisito richiede; un trigger che filtra su un piccolo insieme di campi fornisce comunque un comportamento non testato per il resto.

Costruisci un corpo compatto da sostituzioni supportate

Nelle versioni che documentano la sostituzione dei campi di log per le azioni e-mail, il corpo può essere breve e comunque utile. La forma qui sotto è illustrativa; verifica i nomi degli attributi e la sintassi di sostituzione rispetto alla tua versione di firmware prima di adottarla.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Un modello che mostra un campo vuoto non dimostra che all’evento mancassero quei dati. Controlla prima il nome del campo e la sintassi di sostituzione, poi prova con un errore controllato e leggi il messaggio reale. Aggiungi l’identità del dispositivo e l’ora di occorrenza così chi risponde può trovare il record completo senza indovinare quale unità ha inviato il messaggio.

Riduci il volume senza cancellare il record

Il controllo della velocità, il raggruppamento e la correlazione appartengono al livello di consegna. Alzare la gravità minima delle e-mail per tutto è uno strumento grossolano che nasconde eventi non correlati, e disattivare la categoria di log VPN è peggio: gli eventi smettono del tutto di essere scritti. Mantieni la destinazione di registrazione approvata e la politica di conservazione esattamente come erano, e lascia invece che il percorso di notifica diventi più silenzioso. Documenta ciò che hai soppresso, perché la persona successiva troverà un vuoto nella casella e deve sapere che era deliberato.

Una volta convalidato il nuovo percorso, ritira qualsiasi regola e-mail legacy sovrapposta tramite una modifica revisionata. Finire con due percorsi che scattano entrambi, o con nessuno perché quello vecchio è stato disattivato per primo, è un esito comune del fare la pulizia prima del test.

Leggi un errore come un errore

Un evento di autenticazione fallito non è una sessione VPN riuscita, e un nome utente in un evento non è un’attribuzione verificata a una persona. Correla il motivo con accessi riusciti, attività note dell’utente e tentativi ripetuti prima di dichiarare un account compromesso, e dì nell’avviso quali di questi hai controllato.

Invia la notifica solo a destinatari autorizzati. I nomi degli account, gli identificatori interni dei dispositivi e gli indirizzi di origine sono sensibili sul piano operativo, e una lista di distribuzione che cresce per comodità diventa una via di fuga. Un percorso utilizzabile più una traccia di controllo intatta è l’intero obiettivo.

Articoli correlati