FortiGate VPN ақауы туралы хат: журналдарды емес, өрістерді сүзіңіз

Хабарлама нысанын таңдаңыз, оны 39426 оқиғасының өрістерінен құрыңыз, содан кейін VPN журнал санатын немесе аудит ізін өшірмей-ақ көлемді тыныштандырыңыз.

«VPN кіруі сәтсіз болса, маған хат жібер» деген сөйлемнің ішінде екі шешім жасырын. Біріншісі — хабарлама қалай жеткізіледі: әр оқиғаға бір хат, мерзімді қорытынды немесе жинақтаушыдан келген дабыл. Екіншісі — хабарламада не бар. Біріншісінде қателессеңіз, пошта жәшігі толады, екіншісінде қателессеңіз, дабылды әрекетке жарамды ететін өрістер жойылады. Екі шешімнің ешқайсысы VPN журнал санатын басуға міндеттемейді, ал дәл сол аудит ізін тыныш жоятын қысқа жол.

Жеткізудің үш нысаны және қайсысы қашан сәйкес келеді

НысанСәйкес келеді, егерҚұны
Әр оқиғаға автоматтандыру хатыаз көлем, бір топ жауап бередіәрекеттер легі пошта жәшігінің тасқынына айналады
Жоспарланған қорытындыкүнделікті шолу, үрдістерді бақылауешкім жүріп жатқан әрекетті көрмейді
Корреляциясы бар жинақтаушы дабылыжоғары көлем, ортақ SOCқоректендіріп, реттеу керек тағы бір жүйе

Кім жауап беретініне және қаншалықты жылдам жауап бере алатынына қарап таңдаңыз, қай параметрді конфигурациялау оңайырақ екеніне қарап емес. Бір кеңсені қорғайтын жалғыз FortiGate әр оқиғаға хатты ақтай алады. Ұрланған тіркелгі деректерін толтыру әрекеттерін қабылдайтын шлюздегі дәл сол конфигурация күніне мыңдаған хабарлама шығарады және ешкім оқымайтын қалтаға сүзіледі.

Оқиға жазбасынан бастаңыз, тақырып жолынан емес

Іс жүзінде іске қосып отырған шығарылымдағы өкілдік сақталған оқиғаны оқыңыз. FortiOS 7.4.8 журнал анықтамалығы кірудің сәтсіздігін SSL VPN бойынша 39426 оқиғасы ретінде анықтайды және оның өрістеріне мыналар кіреді: action, user, remip, reason, tunneltype және vd. Сүзгіні сол жазбаның орнына қайта жіберілген хат тақырыбынан құрастыру — адамдардың firmware басқаша жазатын өріс атауына сәйкестенуінің жолы. Екі-үш нақты сәтсіздікті ашып, триггер жазбас бұрын идентификаторлардың сәйкес келетінін растаңыз. Бұған кететін бес минут қате оқиғаға іске қосылатын бір апталық дабылдардан қысқа.

Автоматтандыру тігісі оқиғалар журналының триггерін әрекетке қосады, ал триггер — оқиға таңдауы тиесілі орын. Тек өз талабыңызға қажет қосымша өріс шарттарын қосыңыз; өрістердің шағын жиыны бойынша сүзетін триггер қалғаны үшін бәрібір тексерілмеген мінез-құлық береді.

Қолдау көрсетілетін алмастырулардан ықшам дене құрыңыз

Хат әрекеттері үшін журнал өрістерін алмастыруды құжаттайтын шығарылымдарда дене қысқа әрі пайдалы бола алады. Төмендегі нысан иллюстративті; қолданбас бұрын атрибут атаулары мен алмастыру синтаксисін firmware нұсқаңызбен тексеріңіз.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Бос өрісті көрсететін үлгі оқиғада бұл деректер болмағанын дәлелдемейді. Алдымен өріс атауы мен алмастыру синтаксисін тексеріңіз, содан кейін бір бақыланатын сәтсіздікпен сынап, нақты хабарламаны оқыңыз. Қай құрылғы хат жібергенін болжамай-ақ жауап беруші толық жазбаны таба алатындай етіп құрылғы сәйкестігі мен оқиға уақытын қосыңыз.

Жазбаны жоймай-ақ көлемді тыныштандырыңыз

Жылдамдықты бақылау, топтастыру және корреляция жеткізу қабатына жатады. Барлығы үшін хаттың ең төменгі маңыздылығын көтеру — байланыссыз оқиғаларды жасыратын дөрекі құрал, ал VPN журнал санатын өшіру одан да нашар: оқиғалар мүлде жазылмайды. Бекітілген журналдау орнын және сақтау саясатын дәл бұрынғыдай ұстаңыз, ал оның орнына хабарлама жолы тыныш болсын. Нені басқаныңызды құжаттаңыз, өйткені келесі адам пошта жәшігінен олқылық тауып, оның әдейі екенін білуі керек.

Жаңа жол расталғаннан кейін, қабысатын кез келген ескі хат ережесін қаралған өзгеріс арқылы жойыңыз. Екі жолдың да іске қосылуымен аяқтау немесе ескісі бірінші өшірілгендіктен ешқайсысының іске қосылмауы — тесттен бұрын тазалау жасаудың жиі нәтижесі.

Сәтсіздікті сәтсіздік ретінде оқыңыз

Сәтсіз аутентификация оқиғасы сәтті VPN сессиясы емес, ал оқиғадағы пайдаланушы аты адамға расталған телім емес. Тіркелгіні бұзылды деп жарияламас бұрын себепті сәтті кірулермен, пайдаланушының белгілі белсенділігімен және қайталанған әрекеттермен байланыстырыңыз және дабылда олардың қайсысын тексергеніңізді айтыңыз.

Хабарламаны тек уәкілетті алушыларға жіберіңіз. Тіркелгі атаулары, құрылғының ішкі идентификаторлары және бастапқы мекенжайлар операциялық тұрғыдан сезімтал, ал ыңғайлылық үшін өсетін тарату тізімі ағып кету жолына айналады. Бір әрекетке жарамды жол және бүлінбеген аудит ізі — бұл бүкіл мақсат.

Қатысты мақалалар