FortiGate VPN-Feeler-E-Mail: filtert Felder, net Logs

Zwou Entscheidunge verstoppe sech an «schéck mir eng E-Mail, wann eng VPN-Anmeldung feelgeschloen ass». Déi éischt ass, wéi d’Notifikatioun geliwwert gëtt: eng Mail pro Evenement, eng periodesch Zesummefaassung oder en Alarm vun engem Collector. Déi zweet ass, wat d’Message enthält. E Feeler an der éischter iwwerschwemmt eng Mailbox, an e Feeler an der zweeter läscht d’Felder, déi den Alarm handlungsfäeg maachen. Keng vun den zwou Entscheidungen erfuerdert d’VPN-Logkategorie ze ënnerdrécken, an dat ass de Kuerzwee, deen d’Prüfspuer roueg zerstéiert.

Dräi Liwwerformen a wéini jiddwerengem passt

Wielt nodeem wien reagéiert a wéi séier hien dat kann, net nodeem wéi eng Optioun am einfachsten ze konfiguréieren ass. En eenzege FortiGate, deen een Büro schützt, kann eng Mail pro Evenement rechtfertegen. Déi selwecht Konfiguratioun op engem Gateway, dee Versich fir d’Fëllen vu geklauten Authentifikatiounen unhëlt, produzéiert Dausende vu Messagen den Dag a gëtt an en Dossier gefiltert, deen keen liest.

Fänkt beim Evenement-Record un, net bei der Sujetzeil

Liest en representativen gespäicherten Evenement op der Versioun, déi Dir tatsächlech bedreift. D’FortiOS-7.4.8-Logreferenz identifizéiert de feelgeschloenen Login op SSL VPN als Evenement 39426, an hir Felder enthalen action, user, remip, reason, tunneltype an vd. E Filter aus engem weidergeleetem E-Mail-Sujet ze designen amplaz aus deem Record ass de Wee, op deem d’Leit schlussendlech op e Feldnumm passen, deen hir Firmware anescht schreift. Maacht zwee oder dräi richteg Feeler op a bestätegt, datt d’Identifikatoren iwwerenee stëmmen, ier Dir en Trigger schreift. Déi fënnef Minutten, déi dat brauch, si méi kuerz wéi eng Woch Alarmer, déi op de falschen Evenement schéissen.

En Automatiséierungs-Stitch verbënnt en Evenement-Log-Trigger mat enger Aktioun, an den Trigger ass dee Plaz, wou d’Evenement-Auswiel gehéiert. Füügt just déi zousätzlech Feldsbedingungen dobäi, déi Är Ufuerderung brauch; en Trigger, deen op eng kleng Feldsgrupp filtert, liwwert fir de Rescht nach ëmmer ongetesteten Verhalen.

Baut e kompakte Body aus ënnerstëtzten Ersetzungen

An de Versiounen, déi d’Logfeld-Ersetzung fir E-Mail-Aktiounen dokumentéieren, kann de Body kuerz a awer nëtzlech sinn. D’Form hei drënner ass illustrativ; iwwerpréift d’Attributnimm an d’Ersetzungssyntax géint Är Firmware-Versioun, ier Dir se iwwerhëlt.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Eng Schabloun, déi e lëchtt Feld weist, beweise net, datt dem Evenement déi Donnéeën gefeelt hunn. Kontrolléiert als éischt den Feldnumm an d’Ersetzungssyntax, test dann mat engem kontrolléierte Feeler a liest d’tatsächlech Message. Füügt d’Geräteidentitéit an den Zäitpunkt dobäi, sou datt e Responder de vollstännege Record fënnt, ouni ze roden, wéi eng Eenheet d’Mail geschéckt huet.

Berouegt de Volume, ouni de Record ze läschen

Tauxkontroll, Gruppéierung a Korrelatioun gehéieren an d’Liwwerschicht. D’Mindest-E-Mail-Schwéier fir alles ze hiewen ass e stompe Instrument, dat onzusammenhängend Evenementer verstoppt, an d’VPN-Logkategorie auszeschalten ass méi schlëmm: d’Evenementer ginn iwwerhaapt net méi geschriwwen. Hält d’geneemegt Logdestinatioun an d’Retentiounspolitik genee sou, wéi se waren, a loosst amplaz de Notifikatiounswee méi roueg ginn. Dokumentéiert, wat Dir ënnerdréckt hutt, well déi nächst Persoun fënnt eng Lach an der Mailbox a muss wëssen, datt se bewosst war.

Wann den neie Wee validéiert ass, zéiht all iwwerlappend al E-Mail-Reeg iwwer eng iwwerpréifte Ännerung zréck. Mat zwee Weeër ze enden, déi allebéid schéissen, oder mat keenem, well dee ale fir d’éischt ausgeschalt gouf, ass e gemeinsamt Resultat vum Botzen virum Test.

Liest e Feeler als Feeler

En feelgeschloenen Authentifikatiouns-Evenement ass keng erfollegräich VPN-Sessioun, an e Benotzernumm an engem Evenement ass keng verifizéiert Zouuerdnung zu enger Persoun. Korreléiert de Grond mat erfollegräichen Loginen, bekannter Benotzeraktivitéit an neien Versich, ier Dir e Kont als kompromittéiert deklaréiert, a sot am Alarm, wéi eng dovun Dir gepréift hutt.

Schéckt d’Notifikatioun nëmmen un autoriséiert Empfänger. Kontnimm, intern Geräteidentifikatoren an Quelladressen si betribslecht sensibel, an eng Verdeelungslescht, déi aus Bequemlechkeet wiisst, gëtt e Leckwee. Een handlungsfäege Wee plus eng intakt Prüfspuer ass dat ganzt Zil.