FortiGate VPN грешка во е-пошта: филтрирајте полиња, не дневници

Изберете ја формата на известувањето, изградете ја од полињата на настанот 39426, потоа смирете го обемот без да ја исклучите категоријата на VPN дневникот или трагата од ревизија.

Две одлуки се кријат во фразата «прати ми е-пошта кога најавувањето на VPN ќе не успее». Првата е како се доставува известувањето: една порака по настан, периодичен резиме или тревога од собирач. Втората е што содржи пораката. Грешка во првата ја поплавува поштенската сандаче, а грешка во втората ги брише полињата што ја прават тревогата применлива. Ниту една од двете не бара потиснување на категоријата на VPN дневникот, а тоа е кратенката што тивко ја уништува трагата од ревизија.

Три форми на доставување и кога која одговара

ФормаОдговара когаТрошок
Автоматска е-пошта по настанмал обем, реагира еден тимналет на обиди станува поплава во сандачето
Закажан резимерутински преглед, следење на трендовиникој не гледа обид што е во тек
Тревога од собирач со корелацијаголем обем, заеднички SOCуште еден систем што треба да се храни и прилагодува

Изберете според тоа кој реагира и колку брзо може, а не според тоа која опција е најлесна за конфигурирање. Еден FortiGate што штити една канцеларија може да го оправда е-писмото по настан. Истата конфигурација на порта што прима обиди за пополнување со украдени акредитиви произведува илјадници пораки дневно и се филтрира во папка што никој не ја чита.

Започнете од записот на настанот, не од редот за тема

Прочитајте репрезентативен зачуван настан на изданието што навистина го работите. Референцата за дневници на FortiOS 7.4.8 го идентификува неуспешното најавување на SSL VPN како настан 39426, а неговите полиња вклучуваат action, user, remip, reason, tunneltype и vd. Да се дизајнира филтер од препратена тема на е-пошта наместо од тој запис е начинот на кој луѓето завршуваат со совпаѓање на име на поле што нивниот firmware го пишува поинаку. Отворете два или три вистински неуспеси и потврдете дека идентификаторите се совпаѓаат пред да напишете тригер. Петте минути што тоа ги бара се пократки од една недела тревоги што се активираат на погрешен настан.

Автоматскиот шев поврзува тригер на дневник на настани со дејство, а тригерот е местото каде што припаѓа изборот на настан. Додадете ги само дополнителните услови за полиња што ги бара вашето барање; тригер што филтрира по мал сет полиња сѐ уште дава непроверено однесување за остатокот.

Изградете компактно тело од поддржани замени

Во изданијата што документираат замена на полиња од дневникот за дејства на е-пошта, телото може да биде кратко и сепак корисно. Формата подолу е илустративна; проверете ги имињата на атрибутите и синтаксата за замена со вашата верзија на firmware пред да ја прифатите.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Шаблон што прикажува празно поле не докажува дека на настанот му недостигале тие податоци. Прво проверете го името на полето и синтаксата за замена, потоа тестирајте со еден контролиран неуспех и прочитајте ја вистинската порака. Додадете идентитет на уредот и време на појава, за да може одговорното лице да го најде целосниот запис без да погодува која единица ја испратила пораката.

Смирете го обемот без да го избришете записот

Контролата на брзина, групирањето и корелацијата припаѓаат на слојот за доставување. Подигнувањето на минималната тежина на е-поштата за сѐ е груб алат што ги крие неповрзаните настани, а исклучувањето на категоријата на VPN дневникот е полошо: настаните целосно престануваат да се пишуваат. Задржете ја одобрената дестинација за евидентирање и политиката за задржување точно како што беа, и наместо тоа оставете патеката на известување да стане потивка. Документирајте што потиснавте, бидејќи следниот човек ќе најде празнина во сандачето и треба да знае дека било намерно.

Кога новата патека е валидирана, повлечете го секое преклопувачко старо правило за е-пошта преку разгледана промена. Да завршите со две патеки што се активираат и двете, или со ниту една затоа што старата била исклучена прва, е чест резултат од чистењето пред тестот.

Читајте го неуспехот како неуспех

Неуспешен настан за автентикација не е успешна VPN сесија, а корисничкото име во настан не е потврдено припишување на лице. Поврзете ја причината со успешните најавувања, познатата активност на корисникот и повторените обиди пред да прогласите сметка за компромитирана, и кажете во тревогата кои од нив ги проверивте.

Испратете го известувањето само до овластени примачи. Имињата на сметките, внатрешните идентификатори на уредите и изворните адреси се оперативно чувствителни, а списокот за дистрибуција што расте заради удобност станува пат за истекување. Една применлива патека плус недопрена трага од ревизија е целата цел.

Поврзани статии