FortiGate VPN катасы тууралуу кат: журналдарды эмес, талааларды чыпкалаңыз

Билдирүүнүн формасын тандаңыз, аны 39426 окуясынын талааларынан куруңуз, анан VPN журнал категориясын же аудит изин өчүрбөстөн көлөмдү тынчтандырыңыз.

«VPN кирүү ийгиликсиз болсо, мага кат жөнөт» деген сүйлөмдүн ичинде эки чечим жашыруун. Биринчиси — билдирүү кантип жеткирилет: ар бир окуяга бир кат, мезгилдик корутунду же жыйноочудон келген эскертүү. Экинчиси — билдирүүдө эмне бар. Биринчисинде жаңылышсаңыз, почта кутусу толуп кетет, экинчисинде жаңылышсаңыз, эскертүүнү аракетке жарактуу кылган талаалар жок болот. Эки чечимдин бири да VPN журнал категориясын басууну талап кылбайт, ал эми аудит изин тынч жок кылган кыска жол ушул.

Жеткирүүнүн үч формасы жана кайсынысы качан ылайыктуу

ФормаЫлайыктуу, эгерБаасы
Ар бир окуяга автоматташтыруу катыаз көлөм, бир команда жооп беретаракеттердин дүркүрөшү почта кутусунун ташкынына айланат
Пландалган корутундукүндөлүк кароо, тенденцияларды байкооэч ким жүрүп жаткан аракетти көрбөйт
Корреляция менен жыйноочу эскертүүсүжогорку көлөм, жалпы SOCтойгузуп, жөндөө керек болгон дагы бир система

Ким жооп берерине жана канчалык тез жооп бере аларына карап тандаңыз, кайсы параметрди конфигурациялоо оңой экенине карап эмес. Бир кеңсени коргогон жалгыз FortiGate ар бир окуяга катты актай алат. Уурдалган эсептик маалыматтарды толтуруу аракеттерин кабыл алган шлюздеги ушундай эле конфигурация күнүнө миңдеген билдирүү чыгарат жана эч ким окубаган папкага чыпкаланат.

Окуя жазуусунан баштаңыз, тема сабынан эмес

Иш жүзүндө иштетип жаткан чыгарылыштагы өкүлдүк сакталган окуяны окуңуз. FortiOS 7.4.8 журнал шилтемеси кирүүнүн ийгиликсиздигин SSL VPN боюнча 39426 окуясы катары аныктайт жана анын талааларына төмөнкүлөр кирет: action, user, remip, reason, tunneltype жана vd. Чыпканы ошол жазуунун ордуна кайра жөнөтүлгөн кат темасынан куруу — адамдардын firmware башкача жазган талаа атына дал келишинин жолу. Эки-үч чыныгы ийгиликсиздикти ачып, триггер жазганга чейин идентификаторлор дал келерин ырастаңыз. Буга кеткен беш мүнөт туура эмес окуяга күйгөн бир жумалык эскертүүлөрдөн кыска.

Автоматташтыруу тигиши окуялар журналынын триггерин аракет менен байланыштырат, ал эми триггер — окуя тандоосу тийиштүү орун. Тек өз талабыңызга керектүү кошумча талаа шарттарын кошуңуз; талаалардын кичинекей жыйындысы боюнча чыпкалаган триггер калгандары үчүн дагы эле текшерилбеген жүрүм-турум берет.

Колдоого алынган алмаштыруулардан компакттуу дене куруңуз

Кат аракеттери үчүн журнал талааларын алмаштыруу документтелген чыгарылыштарда дене кыска жана пайдалуу боло алат. Төмөнкү форма иллюстративдик; колдонуудан мурун атрибут аттарын жана алмаштыруу синтаксисин firmware версияңыз менен салыштырыңыз.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Бош талааны көрсөткөн шаблон окуяда бул маалыматтар жок болгонун далилдебейт. Адегенде талаанын атын жана алмаштыруу синтаксисин текшериңиз, анан бир контролдонгон ийгиликсиздик менен сынап, чыныгы билдирүүнү окуңуз. Кайсы түзмөк кат жөнөткөнүн болжолдобостон эле жооп берүүчү толук жазууну таба алышы үчүн түзмөктүн идентификациясын жана окуянын убактысын кошуңуз.

Жазууну өчүрбөстөн көлөмдү тынчтандырыңыз

Ылдамдыкты көзөмөлдөө, топтоштуруу жана корреляция жеткирүү катмарына таандык. Баары үчүн каттын минималдуу олуттуулугун көтөрүү — байланышсыз окуяларды жашырган одоно курал, ал эми VPN журнал категориясын өчүрүү андан жаман: окуялар такыр жазылбай калат. Бекитилген журналдоо дарегин жана сактоо саясатын мурункудай так кармаңыз, ал эми анын ордуна билдирүү жолу тынчыраак болсун. Эмнени басканыңызды документтештириңиз, анткени кийинки адам почта кутусунан боштук таап, анын атайын экенин билиши керек.

Жаңы жол ырасталгандан кийин, кайчылашкан ар кандай эски кат эрежесин каралган өзгөртүү аркылуу жоюңуз. Эки жол тең күйүп бүтүү, же эскиси биринчи өчүрүлгөндүктөн эч кимиси күйбөй бүтүү — сыноодон мурун тазалоо жасоонун кеңири тараган натыйжасы.

Ийгиликсиздикти ийгиликсиздик катары окуңуз

Ийгиликсиз аутентификация окуясы ийгиликтүү VPN сессиясы эмес, ал эми окуядагы колдонуучу аты адамга ырасталган таандык эмес. Эсепти бузулган деп жарыялоодон мурун себепти ийгиликтүү кирүүлөр, колдонуучунун белгилүү аракети жана кайталанган аракеттер менен байланыштырыңыз жана эскертүүдө алардын кайсынысын текшергениңизди айтыңыз.

Билдирүүнү тек ыйгарым укуктуу алуучуларга жөнөтүңүз. Эсеп аттары, түзмөктүн ички идентификаторлору жана булак даректери операциялык жактан сезимтал, ал эми ыңгайлуулук үчүн өскөн таратуу тизмеси агымдын жолуна айланат. Бир аракетке жарактуу жол жана бузулбаган аудит изи — бул бүт максат.

Тектеш макалалар