VPN-Anmeldungsalarm: Wéi en Evenement soll se eigentlech ausléisen?
Erfollegräich Authentifikatioun, en opgebauten Tunnel an eng RADIUS accounting Start sinn dräi verschidde Behauptungen. Wielt déi, op déi Ären Empfänger reagéiere kann, a korreléiert se duerno.
Erfollegräich Authentifikatioun, en opgebauten Tunnel an eng RADIUS accounting Start sinn dräi verschidde Behauptungen, an eng Anmeldungs-E-Mail bedeit eréischt eppes, wann Dir eng dovun auswielt. Déi meescht VPN-Alarmkonzepter mëschen all dräi an erzéien eng Mailbox, där keen traut. D'Entscheedung hänkt dovu of, wien den Alarm liest a wat en an de follgend fënnef Minutte maache kann. Maacht Dir dat falsch, gëtt den Alarm Kaméidi, deen dat eenzegt Evenement verstoppt, dat Dir gebraucht hutt.
Dräi Froen entscheeden den Ausléiser
Frot wien en kritt, wat en wäert maachen a wéi séier d'Aktioun misst geschéien. En Sécherheetsteam, deen de Mëssbrauch vu Umeldungsdaten iwwerwaacht, wëll bannent Minutten e Muster vu Feelschlag an duerno Erfolleg vun engem Kont. En Operatiounsteam, deen d'Kapazitéit iwwerwaacht, wëll d'Sessiounsdauer an d'Grënn fir d'Ofbrieche, net d'Anmeldungen. En Helpdesk wëll d'Identitéit vun der Sessioun, fir se mat engem Ticket ze vergläichen.
Déi Äntwerten weisen op verschidden Evenementer, an et gëtt keng eenzeg Regel, déi all dräi erfëllt. Wann d'Aktioun vum Empfänger „ruff de Benotzer un“ ass, duet d'Authentifikatioun. Wann d'Aktioun „gib eng Lizenz fräi“ oder „iwwerpréif, ob den Tunnel Verkéier gedroen huet“ ass, da geet just den Opbau oder d'accounting Start. Wann d'Aktioun „facturéier d'Zäit“ ass, brauchs Du Stop-Datensätz amplaz vun enger Anmeldung.
Schreif d'Äntwert als een Saz, ier s Du eppes konfiguréiers. „Dës E-Mail seet dem Bereetschaftsingenieur, datt de Kont X um Zäitpunkt Z en Tunnel aus dem Netz Y opgemaach huet, fir datt en iwwerpréiwe kann, ob d'Wartungsfënster benotzt gouf.“ Wann s Du net all Feld ka fëllen, ass den Ausléiser nach net gewielt.
Passt d'Evenement un d'Behauptung un, déi s Du maachs
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Den Table verstoppt eng Ofhängegkeet: all Zeil ass just zouverlässeg, wann de Gateway se zouverlässeg ausgëtt an däi Sammler d'Feld behält, dat s Du brauchs. Liest d'Evenementsdefinitioun fir déi genee Versioun, déi s Du bedreifs, well den Numm „Sessioun opgebaut“ tëschend Versiounen ännert an d'Bedeitung méi dacks ännert wéi den Numm. Wann eng Definitioun vag ass, frot eng Sessiounsopnam amplaz aus dem Label ze roden.
En Access-Accept als Ofschloss vun allem duerno ze gesinn ass dee meeschte Feeler. Et ass en Urteil iwwer Umeldungsdaten, net eng Sessioun. De Spigelbildfeeler ass, eng Richtlinnentspriechung als Beweis fir Autorisatioun ze liesen, woubäi eng Regel entsprieche kann an den nächste Schrëtt nach ëmmer feelen.
Eng Sessioun, een Hiwäis
Ee Kont, méi Geräter, Neesverschécken an Neesverbindungen: eng E-Mail pro Evenement wäert a béid Richtungen falsch sinn, se duplizéiert eng Sessioun a spléckt eng aner. Maach den Hiwäis als Schlëssel op de Gateway plus en Sessiounsidentifikator, an behandelt den Numm vum Kont als Attribut an net als Schlëssel. E Benotzer mat Laptop an Telefon kann zwee Tunnelen zur selwechter Zäit halen, an allebéid verdéngen hir eege Linn.
Neesverschéckte Buchhaltungsdatensätz sinn normal, dofir entfernt Duplikater iwwer d'Sessiouns-ID an den Zäitstempel, ier s Du d'Noriicht renderers. Ugeschloss Sessiounen vum selwechte Gerät solle getrennt bleiwen, an eng Neesverbindung wärend enger Wartungsfënster soll sichtbar bleiwen amplaz an déi virdrun ze falen. Wann däi Sammler d'Zäitstempelen beim Empfank iwwerschreift, entfernt Duplikater iwwer d'Felder vum Originaldatensaz, net iwwer déi gespäicherten.
En fehlenden Stop-Datensaz ass Onsécherheet, net eng permanent Sessioun. Gateway-Neistarts, Sammler-Ausfäll an UDP-Verlust loossen all Lücken, dofir brauch den Alarm en Ofgläichungswee, deen d'Tabell vun de live Sessiounen ufro, ier iergendeen zum Schluss kënnt, datt en Tunnel nach steet.
Hal d'Audit an den Hiwäis getrennt
Den Audit-Floss an den Alarm-Floss hunn ënnerschiddlech Aufgaben. Behal d'Rohdatensätz, dorënner Kont, Gateway, Sessiouns-ID, Zäitstempelen an de Grond fir d'Beendigung, och wann routine E-Maile gruppéiert, ënnerdréckt oder op eng kleng Bereetschaftslëscht geschéckt ginn. E Schwieregkeetsgrenz ass e Liwwerfilter, net eng Auswiel vum Liewenszyklus-Evenement, dat s Du wëlls annoncéieren.
Schéck de Mindestkontext, deen den Empfänger brauch, fir den geschützten Datensaz ze fannen. Kontnimm, intern Adressen a Sessiounsdetailer si sensibel, an eng E-Mail, déi sech gutt weiderschéckt, ass eng E-Mail, déi gutt leckt.
Da beweis et vum Ufank bis zum Enn. Laf en normale Login an Logout, eng Neesverbindung, zwee gläichzäiteg Sessiounen an en erzwongene Liwwerfeeler, a verfolleg een Evenement vum Gateway iwwer de Sammler bis zu der geliwwerter Noriicht. Wann d'E-Mail ouni Sessiouns-ID ukommt, ass de Kontrakt onkomplett. Wann zwou E-Mailen eng Sessioun beschreiwen, ass d'Korrelatioun futti. Keent vun deenen zwee Problemer weist sech, wann dat eenzegt, wat s Du testest, ass datt d'Mail-Liwwerung funktionéiert.