FortiGate VPN gedimo el. laiškas: filtruokite laukus, o ne žurnalus

Du sprendimai slepiasi frazėje „atsiųsk man laišką, kai nepavyksta prisijungti prie VPN“. Pirmasis – kaip pranešimas pristatomas: vienas laiškas įvykiui, periodinė santrauka ar surinkėjo aliarmas. Antrasis – ką pranešimas turi. Suklydus pirmajame, pašto dėžutė užtvindoma, o suklydus antrajame, ištrinami laukai, dėl kurių aliarmas tampa veiksmingas. Nė vienas sprendimas nereikalauja slopinti VPN žurnalo kategorijos, o tai yra trumpiausias kelias, kuris tyliai sunaikina audito pėdsaką.

Trys pristatymo formos ir kada kuri tinka

Rinkitės pagal tai, kas reaguoja ir kaip greitai jis gali, o ne pagal tai, kuri parinktis lengviausia sukonfigūruoti. Vienas FortiGate, saugantis vieną biurą, gali pateisinti laišką kiekvienam įvykiui. Ta pati konfigūracija šliuze, priimančiame bandymus įpildyti pavogtus prisijungimo duomenis, sukuria tūkstančius pranešimų per dieną ir nufiltruojamas į aplanką, kurio niekas neskaito.

Pradėkite nuo įvykio įrašo, o ne nuo temos eilutės

Perskaitykite reprezentatyvų išsaugotą įvykį toje versijoje, kurią iš tikrųjų naudojate. FortiOS 7.4.8 žurnalų žinynas SSL VPN prisijungimo gedimą nurodo kaip įvykį 39426, o jo laukai apima action, user, remip, reason, tunneltype ir vd. Kurti filtrą iš persiųsto laiško temos, o ne iš to įrašo, yra būdas, kuriuo žmonės galiausiai susieja lauko pavadinimą, kurį jų programinė įranga rašo kitaip. Atidarykite du ar tris tikrus gedimus ir prieš rašydami trigerį patvirtinkite, kad identifikatoriai sutampa. Tam skirtos penkios minutės trumpesnės nei savaitė aliarmų, kurie suveikia netinkamam įvykiui.

Automatizavimo dygsnis sujungia įvykių žurnalo trigerį su veiksmu, o trigeris yra vieta, kurioje turi būti įvykio pasirinkimas. Pridėkite tik tuos papildomus lauko sąlygas, kurių reikia jūsų reikalavimui; trigeris, filtruojantis pagal mažą laukų rinkinį, likusiai daliai vis tiek pateikia neišbandytą elgesį.

Sukurkite kompaktišką turinį iš palaikomų pakeitimų

Versijose, kuriose dokumentuojamas žurnalo laukų pakeitimas el. laiško veiksmams, turinys gali būti trumpas ir vis tiek naudingas. Toliau pateikta forma yra iliustracinė; prieš taikydami patikrinkite atributų pavadinimus ir pakeitimo sintaksę pagal savo programinės įrangos versiją.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Šablonas, rodantis tuščią lauką, neįrodo, kad įvykiui trūko tų duomenų. Pirmiausia patikrinkite lauko pavadinimą ir pakeitimo sintaksę, tada išbandykite su vienu kontroliuojamu gedimu ir perskaitykite tikrąjį pranešimą. Pridėkite įrenginio tapatybę ir įvykio laiką, kad reaguojantysis rastų visą įrašą nespėliodamas, kuris įrenginys išsiuntė laišką.

Slopinkite apimtį neištrindami įrašo

Srauto kontrolė, grupavimas ir koreliacija priklauso pristatymo sluoksniui. Minimalaus el. laiško svarbumo didinimas viskam yra grubus įrankis, slepiantis nesusijusius įvykius, o VPN žurnalo kategorijos išjungimas yra blogiau: įvykiai apskritai nustoja būti rašomi. Išlaikykite patvirtintą žurnalų paskirties vietą ir saugojimo politiką tiksliai tokias, kokios buvo, ir leiskite pranešimų keliui tapti tylesniam. Dokumentuokite, ką nuslopinote, nes kitas žmogus ras spragą pašto dėžutėje ir turi žinoti, kad tai buvo tyčia.

Kai naujasis kelias patvirtintas, peržiūrėtu pakeitimu panaikinkite bet kurią persidengiančią seną el. laiško taisyklę. Baigti su dviem keliais, kurie abu suveikia, arba nė vienu, nes senasis buvo išjungtas pirmas, yra įprastas valymo prieš testą rezultatas.

Skaitykite gedimą kaip gedimą

Nepavykęs autentifikavimo įvykis nėra sėkminga VPN sesija, o vartotojo vardas įvykyje nėra patvirtintas priskyrimas asmeniui. Prieš paskelbdami paskyrą pažeista, susiekite priežastį su sėkmingais prisijungimais, žinoma vartotojo veikla ir pakartotiniais bandymais, ir aliarme nurodykite, kuriuos iš jų patikrinote.

Siųskite pranešimą tik įgaliotiems gavėjams. Paskyrų pavadinimai, vidiniai įrenginių identifikatoriai ir šaltinio adresai yra operaciškai jautrūs, o patogumui augantis platinimo sąrašas tampa nuotėkio keliu. Vienas veiksmingas kelias ir nepažeistas audito pėdsakas yra visas tikslas.