VPN pieteikšanās brīdinājumi: kuram notikumam tie īsti jāaktivizē?
Veiksmīga autentifikācija, izveidots tunelis un RADIUS accounting Start ir trīs dažādi apgalvojumi. Izvēlieties to, uz kuru jūsu saņēmējs var reaģēt, un pēc tam tos korelējiet.
Veiksmīga autentifikācija, izveidots tunelis un RADIUS accounting Start ir trīs dažādi apgalvojumi, un pieteikšanās e-pasts kaut ko nozīmē tikai tad, kad izvēlaties vienu no tiem. Lielākā daļa VPN brīdinājumu dizainu sajauc visus trīs un rada pastkasti, kurai neviens neuzticas. Lēmums ir atkarīgs no tā, kas lasa brīdinājumu un ko viņš var izdarīt nākamajās piecās minūtēs. Ja to izdarīsiet nepareizi, brīdinājums kļūst par troksni, kas slēpj vienīgo notikumu, kas jums bija vajadzīgs.
Trīs jautājumi izlemj aktivizētāju
Jautājiet, kas to saņems, ko viņš darīs un cik ātri darbībai jānotiek. Drošības komanda, kas uzrauga akreditācijas datu ļaunprātīgu izmantošanu, vēlas neveiksmes un pēc tam veiksmes modeli no viena konta dažu minūšu laikā. Operāciju komanda, kas uzrauga jaudu, vēlas sesijas ilgumu un atvienošanās iemeslus, nevis pieteikšanās. Palīdzības dienests vēlas sesijas identitāti, lai to varētu sasaistīt ar biļeti.
Šīs atbildes norāda uz dažādiem notikumiem, un neviena atsevišķa kārtula neapmierina visus trīs. Ja saņēmēja darbība ir «zvaniet lietotājam», autentifikācija ir pietiekama. Ja darbība ir «atbrīvojiet licenci» vai «pārbaudiet, vai tunelis pārsūtīja datplūsmu», der tikai izveide vai accounting Start. Ja darbība ir «izrakstiet rēķinu par laiku», jums ir vajadzīgi Stop ieraksti, nevis pieteikšanās.
Pirms kaut ko konfigurējat, uzrakstiet atbildi vienā teikumā. «Šis e-pasts ziņo dežurējošajam inženierim, ka konts X atvēra tuneli no tīkla Y laikā Z, lai viņš varētu pārbaudīt, vai apkopes logs tika izmantots.» Ja nevarat aizpildīt katru lauku, aktivizētājs vēl nav izvēlēts.
Saskaņojiet notikumu ar apgalvojumu, ko sniedzat
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Tabula slēpj atkarību: katra rinda ir uzticama tikai tad, ja vārteja to uzticami izdod un jūsu kolektors saglabā vajadzīgo lauku. Lasiet notikuma definīciju tieši tai versijai, kuru izmantojat, jo nosaukums «sesija izveidota» mainās starp versijām, un nozīme mainās biežāk nekā nosaukums. Ja definīcija ir neskaidra, lūdziet sesijas ierakstu, nevis miniet pēc etiķetes.
Uzskatīt Access-Accept par visa pēc tā pabeigšanu ir visbiežākā kļūda. Tas ir spriedums par akreditācijas datiem, nevis sesija. Spoguļkļūda ir lasīt politikas atbilstību kā autorizācijas pierādījumu, kad kārtula var atbilst un nākamais solis tomēr var neizdoties.
Viena sesija, viens paziņojums
Viens konts, vairākas ierīces, atkārtotas sūtīšanas un atkārtotas savienošanās: viens e-pasts uz notikumu būs nepareizs abos virzienos, dublējot vienu sesiju un sadalot citu. Paziņojuma atslēgu veidojiet no vārtejas un sesijas identifikatora, un konta nosaukumu uzskatiet par atribūtu, nevis atslēgu. Lietotājam ar portatīvo datoru un tālruni var būt divi tuneļi vienlaikus, un abi ir pelnījuši savu rindu.
Atkārtoti sūtīti uzskaites ieraksti ir normāli, tāpēc pirms ziņojuma atveidošanas noņemiet dublikātus pēc sesijas id un laika zīmoga. Viena un tā paša lietotāja secīgas sesijas ir jāatstāj atsevišķas, un atkārtota savienošanās apkopes loga laikā ir jāpaliek redzamai, nevis jāsaplūst ar iepriekšējo. Ja jūsu kolektors uzņemšanas laikā pārraksta laika zīmogus, noņemiet dublikātus pēc sākotnējā ieraksta laukiem, nevis saglabātajiem.
Trūkstošs Stop ieraksts ir nenoteiktība, nevis pastāvīga sesija. Vārtejas pārstartēšana, kolektora kļūmes un UDP zudums atstāj robus, tāpēc brīdinājumam ir vajadzīgs saskaņošanas ceļš, kas pirms kāda secinājuma, ka tunelis vēl darbojas, vaicā aktīvo sesiju tabulu.
Turiet auditu un paziņojumus atsevišķi
Audita plūsmai un brīdinājumu plūsmai ir dažādi uzdevumi. Saglabājiet neapstrādātos ierakstus, tostarp kontu, vārteju, sesijas id, laika zīmogus un izbeigšanas iemeslu, pat ja parastie e-pasti tiek grupēti, nomākti vai nosūtīti nelielam dežūras sarakstam. Smaguma slieksnis ir piegādes filtrs, nevis tā dzīves cikla notikuma izvēle, kuru gribējāt paziņot.
Nosūtiet minimālo kontekstu, kas saņēmējam nepieciešams aizsargātā ieraksta atrašanai. Kontu nosaukumi, iekšējās adreses un sesijas informācija ir jutīga, un e-pasts, ko labi pārsūta, ir e-pasts, kas labi noplūst.
Pēc tam pierādiet to no sākuma līdz beigām. Veiciet parastu pieteikšanos un atteikšanos, atkārtotu savienošanos, divas vienlaicīgas sesijas un piespiedu piegādes kļūmi, un izsekojiet vienu notikumu no vārtejas caur kolektoru līdz piegādātajam ziņojumam. Ja e-pasts pienāk bez sesijas id, līgums ir nepilnīgs. Ja divi e-pasti apraksta vienu sesiju, korelācija ir salauzta. Neviens no šiem diviem jautājumiem neparādās, kad vienīgais, ko pārbaudāt, ir pasta piegādes darbība.