FortiGate VPN-ის წარუმატებლობის წერილი: გაფილტრეთ ველები, არა ჟურნალები

ორი გადაწყვეტილება იმალება ფრაზაში «მომწერე, როცა VPN-ში შესვლა ვერ მოხერხდება». პირველია, როგორ მიეწოდება შეტყობინება: ერთი წერილი თითო მოვლენაზე, პერიოდული შეჯამება ან შემგროვებლის გაფრთხილება. მეორეა, რას შეიცავს შეტყობინება. პირველში შეცდომა ავსებს საფოსტო ყუთს, ხოლო მეორეში შეცდომა შლის იმ ველებს, რომლებიც გაფრთხილებას მოქმედებადს ხდის. არც ერთი გადაწყვეტილება არ მოითხოვს VPN ჟურნალის კატეგორიის ჩახშობას, და სწორედ ესაა ის მოკლე გზა, რომელიც ჩუმად ანადგურებს აუდიტის კვალს.

მიწოდების სამი ფორმა და როდის რომელია შესაფერისი

აირჩიეთ იმის მიხედვით, ვინ პასუხობს და რამდენად სწრაფად შეუძლია, და არა იმის მიხედვით, რომელი ვარიანტია ყველაზე ადვილი კონფიგურირებადი. ერთი ოფისის დამცავი ერთი FortiGate შეიძლება იყოს თითო მოვლენაზე წერილის გამართლება. იგივე კონფიგურაცია მოპარული მონაცემებით შევსების მცდელობების მიმღებ კარიბჭეზე დღეში ათასობით შეტყობინებას ქმნის და ისეთ საქაღალდეში იფილტრება, რომელსაც არავინ კითხულობს.

დაიწყეთ მოვლენის ჩანაწერიდან, არა თემის სტრიქონიდან

წაიკითხეთ წარმომადგენლობითი შენახული მოვლენა იმ გამოშვებაზე, რომელსაც რეალურად ამუშავებთ. FortiOS 7.4.8-ის ჟურნალების ცნობარი შესვლის წარუმატებლობას SSL VPN-ზე განსაზღვრავს როგორც მოვლენა 39426, და მისი ველები მოიცავს action, user, remip, reason, tunneltype და vd. ფილტრის შექმნა გადაგზავნილი წერილის თემიდან და არა ამ ჩანაწერიდან — სწორედ ასე იწყებენ ადამიანები იმ ველის სახელზე დამთხვევას, რომელსაც მათი firmware სხვანაირად წერს. გახსენით ორი ან სამი რეალური წარუმატებლობა და დაადასტურეთ, რომ იდენტიფიკატორები ემთხვევა, სანამ ტრიგერს დაწერთ. ამაზე დახარჯული ხუთი წუთი უფრო მოკლეა, ვიდრე არასწორ მოვლენაზე გასროლილი ერთი კვირის გაფრთხილებები.

ავტომატიზაციის ნაკერი აკავშირებს მოვლენათა ჟურნალის ტრიგერს მოქმედებასთან, და ტრიგერი სწორედ ის ადგილია, სადაც მოვლენის არჩევანი უნდა იყოს. დაამატეთ მხოლოდ ის დამატებითი ველის პირობები, რომლებიც თქვენს მოთხოვნას სჭირდება; ტრიგერი, რომელიც ველების მცირე ნაკრებზე ფილტრავს, დანარჩენისთვის მაინც გამოუცდელ ქცევას იძლევა.

ააგეთ კომპაქტური სხეული მხარდაჭერილი ჩანაცვლებებიდან

იმ გამოშვებებში, სადაც დოკუმენტირებულია ჟურნალის ველების ჩანაცვლება წერილის მოქმედებებისთვის, სხეული შეიძლება იყოს მოკლე და მაინც სასარგებლო. ქვემოთ მოცემული ფორმა საილუსტრაციოა; სანამ მიიღებთ, შეამოწმეთ ატრიბუტების სახელები და ჩანაცვლების სინტაქსი თქვენი firmware-ის ვერსიასთან.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

ცარიელ ველს რომ აჩვენებს შაბლონი, ეს არ ამტკიცებს, რომ მოვლენას ეს მონაცემები აკლდა. ჯერ შეამოწმეთ ველის სახელი და ჩანაცვლების სინტაქსი, შემდეგ გამოსცადეთ ერთი კონტროლირებული წარუმატებლობით და წაიკითხეთ ფაქტობრივი შეტყობინება. დაამატეთ მოწყობილობის იდენტობა და მოვლენის დრო, რათა მოპასუხემ იპოვოს სრული ჩანაწერი იმის გამოცნობის გარეშე, თუ რომელმა ერთეულმა გამოგზავნა წერილი.

ჩააწყნარეთ მოცულობა ჩანაწერის წაშლის გარეშე

სიჩქარის კონტროლი, დაჯგუფება და კორელაცია მიწოდების ფენას ეკუთვნის. ყველაფრისთვის წერილის მინიმალური სიმძიმის აწევა ბლაგვი იარაღია, რომელიც უკავშირო მოვლენებს მალავს, ხოლო VPN ჟურნალის კატეგორიის გამორთვა უარესია: მოვლენები საერთოდ წყვეტენ ჩაწერას. შეინარჩუნეთ დამტკიცებული ჟურნალირების დანიშნულება და შენახვის პოლიტიკა ზუსტად ისე, როგორც იყო, და სამაგიეროდ გაუშვით შეტყობინების გზა უფრო მშვიდი გახდეს. დაადოკუმენტეთ, რა ჩახშოთ, რადგან შემდეგი ადამიანი საფოსტო ყუთში ხარვეზს იპოვის და უნდა იცოდეს, რომ ეს განზრახ იყო.

როცა ახალი გზა დადასტურდება, გააუქმეთ ნებისმიერი გადამფარავი ძველი წერილის წესი განხილული ცვლილების გზით. ორი გზით დასრულება, რომლებიც ორივე ირთვება, ან არც ერთით, რადგან ძველი პირველად გამოირთო, ტესტამდე დალაგების ჩვეულებრივი შედეგია.

წაიკითხეთ წარუმატებლობა როგორც წარუმატებლობა

წარუმატებელი ავთენტიფიკაციის მოვლენა არ არის წარმატებული VPN სესია, და მოვლენაში მოცემული მომხმარებლის სახელი არ არის პიროვნებისადმი დადასტურებული მიკუთვნება. სანამ ანგარიშს კომპრომეტირებულად გამოაცხადებთ, დააკავშირეთ მიზეზი წარმატებულ შესვლებთან, მომხმარებლის ცნობილ აქტივობასთან და განმეორებით მცდელობებთან, და გაფრთხილებაში თქვით, რომელი მათგანი შეამოწმეთ.

გაგზავნეთ შეტყობინება მხოლოდ უფლებამოსილ მიმღებებთან. ანგარიშების სახელები, მოწყობილობების შიდა იდენტიფიკატორები და წყაროს მისამართები ოპერაციულად მგრძნობიარეა, და მოხერხებულობით მზარდი გავრცელების სია გაჟონვის გზად იქცევა. ერთი მოქმედებადი გზა და ხელუხლებელი აუდიტის კვალი — ესაა მთელი მიზანი.