FortiGate VPN kļūdas e-pasts: filtrējiet laukus, ne žurnālus

Frazē «atsūti man e-pastu, kad VPN pieteikšanās neizdodas» slēpjas divi lēmumi. Pirmais ir, kā paziņojums tiek piegādāts: viens e-pasts uz notikumu, periodisks kopsavilkums vai kolektora trauksme. Otrais ir, ko satur ziņa. Kļūda pirmajā pārpludina pastkasti, un kļūda otrajā izdzēš laukus, kas padara trauksmi izmantojamu. Neviens no lēmumiem neprasa nomākt VPN žurnāla kategoriju, un tas ir īsceļš, kas klusi iznīcina audita pēdas.

Trīs piegādes formas un kad kura der

Izvēlieties pēc tā, kas reaģē un cik ātri tas spēj, nevis pēc tā, kura opcija ir visvieglāk konfigurējama. Viens FortiGate, kas aizsargā vienu biroju, var attaisnot e-pastu uz notikumu. Tā pati konfigurācija uz vārtejas, kas saņem nozagtas akreditācijas datu aizpildīšanas mēģinājumus, rada tūkstošiem ziņu dienā un tiek filtrēta mapē, kuru neviens nelasa.

Sāciet ar notikuma ierakstu, nevis ar temata rindu

Izlasiet reprezentatīvu saglabātu notikumu tajā versijā, kuru jūs faktiski darbināt. FortiOS 7.4.8 žurnālu uzziņa SSL VPN pieteikšanās kļūdu identificē kā notikumu 39426, un tā lauki ietver action, user, remip, reason, tunneltype un vd. Veidot filtru no pārsūtīta e-pasta temata, nevis no šī ieraksta, ir ceļš, kā cilvēki beigās saskaņo lauka nosaukumu, ko viņu programmaparatūra raksta citādi. Atveriet divas vai trīs reālas kļūdas un pirms trigera rakstīšanas apstipriniet, ka identifikatori sakrīt. Piecas minūtes, kas tam nepieciešamas, ir īsākas par nedēļu trauksmju, kas nostrādā uz nepareizo notikumu.

Automatizācijas dūriens savieno notikumu žurnāla trigeri ar darbību, un trigeris ir vieta, kur pieder notikuma izvēle. Pievienojiet tikai tos papildu lauka nosacījumus, kas nepieciešami jūsu prasībai; trigeris, kas filtrē pēc nelielas lauku kopas, pārējam joprojām sniedz nepārbaudītu uzvedību.

Izveidojiet kompaktu saturu no atbalstītiem aizvietojumiem

Versijās, kas dokumentē žurnāla lauku aizvietošanu e-pasta darbībām, saturs var būt īss un tomēr noderīgs. Tālāk dotā forma ir ilustratīva; pirms tās ieviešanas pārbaudiet atribūtu nosaukumus un aizvietošanas sintaksi pret savu programmaparatūras versiju.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Veidne, kas parāda tukšu lauku, nepierāda, ka notikumam trūka šo datu. Vispirms pārbaudiet lauka nosaukumu un aizvietošanas sintaksi, pēc tam pārbaudiet ar vienu kontrolētu kļūdu un izlasiet faktisko ziņu. Pievienojiet ierīces identitāti un notikuma laiku, lai reaģētājs atrastu pilnu ierakstu, nenojaušot, kura vienība nosūtīja e-pastu.

Nomieriniet apjomu, neizdzēšot ierakstu

Ātruma kontrole, grupēšana un korelācija pieder piegādes slānim. Minimālās e-pasta nozīmības paaugstināšana visam ir neass instruments, kas slēpj nesaistītus notikumus, un VPN žurnāla kategorijas izslēgšana ir sliktāka: notikumi vispār pārstāj tikt rakstīti. Saglabājiet apstiprināto žurnalēšanas galamērķi un uzglabāšanas politiku tieši tādas, kādas tās bija, un tā vietā ļaujiet paziņojumu ceļam kļūt klusākam. Dokumentējiet, ko jūs nomācāt, jo nākamais cilvēks atradīs robu pastkastē un viņam jāzina, ka tas bija tīši.

Kad jaunais ceļš ir validēts, izņemiet jebkuru pārklājošos veco e-pasta noteikumu ar pārskatītu izmaiņu. Beigt ar diviem ceļiem, kas abi nostrādā, vai ar nevienu, jo vecais tika izslēgts pirmais, ir izplatīts tīrīšanas pirms testa rezultāts.

Lasiet kļūdu kā kļūdu

Neizdevies autentifikācijas notikums nav veiksmīga VPN sesija, un lietotājvārds notikumā nav apstiprināta attiecināšana uz personu. Pirms paziņot, ka konts ir kompromitēts, korelējiet iemeslu ar veiksmīgām pieteikumiem, zināmu lietotāja aktivitāti un atkārtotiem mēģinājumiem, un trauksmē norādiet, kurus no tiem pārbaudījāt.

Sūtiet paziņojumu tikai pilnvarotiem saņēmējiem. Kontu nosaukumi, iekšējie ierīču identifikatori un avota adreses ir operatīvi jutīgas, un ērtības dēļ augošs izplatīšanas saraksts kļūst par noplūdes ceļu. Viens izmantojams ceļš un neskarts audita pēdas ir viss mērķis.