FortiGate VPN алдааны и-мэйл: лог биш, талбарыг шүү

«VPN нэвтрэлт амжилтгүй болвол надад и-мэйл илгээ» гэсэн өгүүлбэрт хоёр шийдвэр нуугдаж байна. Эхнийх нь мэдэгдлийг хэрхэн хүргэх вэ: үйл явдал бүрт нэг захиа, үечилсэн хураангуй эсвэл цуглуулагчийн сэрэмжлүүлэг. Хоёрдах нь захианд юу байх вэ. Эхнийхэд алдвал шуудангийн хайрцаг дүүрч, хоёрдахьд алдвал сэрэмжлүүлгийг үйлдэл хийх боломжтой болгодог талбарууд устана. Аль ч шийдвэр VPN лог ангиллыг дарахыг шаарддаггүй бөгөөд энэ нь аудитын мөрийг чимээгүй устгадаг богино зам юм.

Хүргэх гурван хэлбэр ба аль нь хэзээ тохирох

Хэн хариуцаж, хэр хурдан хариуцаж чадахаар нь сонго, аль сонголтыг тохируулахад хамгийн хялбар вэ гэдгээр биш. Нэг офисыг хамгаалж буй ганц FortiGate үйл явдал бүрийн захиаг зөвтгөж чадна. Хулгайлагдсан нэвтрэх мэдээллийг дүүргэх оролдлогыг хүлээн авдаг гарц дээр ижил тохиргоо өдөрт хэдэн мянган мессеж үүсгэж, хэн ч уншдаггүй хавтас руу шүүгддэг.

Үйл явдлын бичлэгээс эхэл, гарчгийн мөрөөс биш

Өөрийн бодитоор ажиллуулж буй хувилбар дээрх төлөөлөх хадгалагдсан үйл явдлыг унш. FortiOS 7.4.8 лог лавлагаа SSL VPN руу нэвтрэх алдааг 39426 үйл явдал гэж тодорхойлдог бөгөөд түүний талбаруудад багтана action, user, remip, reason, tunneltype ба vd. Шүүлтийг тэр бичлэгээс биш дамжуулсан и-мэйлийн гарчгаас зохиох нь хүмүүс өөрсдийн firmware өөрөөр бичдэг талбарын нэрэнд таарч эхлэх зам юм. Хоёр эсвэл гурван бодит алдааг нээж, триггер бичихээс өмнө танигчид таарч байгааг батал. Үүнд шаардагдах таван минут буруу үйл явдал дээр асах долоо хоногийн сэрэмжлүүлгээс богино.

Автоматжуулалтын оёдол үйл явдлын логоны триггерийг үйлдэлтэй холбодог бөгөөд триггер нь үйл явдлын сонголт байх ёстой газар юм. Зөвхөн шаардлагад хэрэгтэй нэмэлт талбарын нөхцөлийг нэм; цөөн талбар дээр шүүдэг триггер бусад хэсэгт туршигдаагүй зан төлөвийг өгсөн хэвээр.

Дэмжигдсэн орлуулалтаас авсаархан бие бүрдүүл

И-мэйл үйлдэлд зориулсан лог талбарын орлуулалтыг баримтжуулсан хувилбаруудад бие богино боловч ашигтай байж болно. Доорх хэлбэр нь жишээ; хэрэглэхээс өмнө шинж чанарын нэрс болон орлуулалтын синтаксийг өөрийн firmware хувилбартай тулгаж шалга.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Хоосон талбарыг харуулсан загвар нь үйл явдалд тэр өгөгдөл байгаагүй гэдгийг нотлохгүй. Эхлээд талбарын нэр, орлуулалтын синтаксийг шалга, дараа нь нэг хяналттай алдаагаар туршиж, бодит мессежийг унш. Аль нэгж и-мэйл илгээснийг таамаглахгүйгээр хариуцагч бүрэн бичлэгийг олохын тулд төхөөрөмжийн таних мэдээлэл болон үүссэн цагийг нэм.

Бичлэгийг устгахгүйгээр эзлэхүүнийг намжаа

Хурдны хяналт, бүлэглэл, корреляц нь хүргэх давхаргад хамаарна. Бүх зүйлд и-мэйлийн доод чухал байдлыг өсгөх нь холбоогүй үйл явдлыг нуудаг мохоо хэрэгсэл бөгөөд VPN лог ангиллыг унтраах нь бүр дор: үйл явдлууд огт бичигдэхээ болино. Зөвшөөрөгдсөн лог хүрэх газрыг болон хадгалалтын бодлогыг яг урьдын адил байлга, харин оронд нь мэдэгдлийн зам нам гүм болог. Юу дарав гэдгээ баримтжуул, учир нь дараагийн хүн шуудангийн хайрцгаас цоорхой олж, энэ нь санаатай байсныг мэдэх хэрэгтэй.

Шинэ зам баталгаажсаны дараа давхцаж буй хуучин и-мэйл дүрмийг хянасан өөрчлөлтөөр буулга. Хоёр зам зэрэг асах, эсвэл хуучныг эхэлж унтраасан тул нэг ч асахгүй байх нь туршилтын өмнө цэвэрлэгээ хийсний нийтлэг үр дүн.

Алдааг алдаа гэж унш

Амжилтгүй баталгаажуулалтын үйл явдал амжилттай VPN сесс биш, үйл явдал дахь хэрэглэгчийн нэр хүнд баталгаажсан хамаатан биш. Бүртгэлийг эвдэрсэн гэж зарлахаас өмнө шалтгааныг амжилттай нэвтрэлт, хэрэглэгчийн мэдэгдэж буй үйл ажиллагаа, давтан оролдлоготой харьцуулж, сэрэмжлүүлэгт эдгээрийн алийг нь шалгаснаа хэл.

Мэдэгдлийг зөвхөн эрх бүхий хүлээн авагчдад илгээ. Бүртгэлийн нэрс, төхөөрөмжийн дотоод танигч, эх хаягууд нь үйл ажиллагааны хувьд эмзэг бөгөөд тав тухын үүднээс өсдөг тараах жагсаалт алдагдлын зам болдог. Нэг үйлдэл хийх боломжтой зам ба бүрэн бүтэн аудитын мөр — энэ бол бүх зорилго.