E-mel kegagalan VPN FortiGate: tapis medan, bukan log

Dua keputusan tersembunyi dalam «hantar e-mel kepada saya apabila log masuk VPN gagal». Yang pertama ialah cara pemberitahuan dihantar: satu e-mel setiap peristiwa, ringkasan berkala, atau amaran daripada pengumpul. Yang kedua ialah apa yang terkandung dalam mesej. Silap pada yang pertama membanjiri peti mel, dan silap pada yang kedua memadam medan yang menjadikan amaran itu boleh diambil tindakan. Kedua-dua keputusan tidak memerlukan penindasan kategori log VPN, dan itulah jalan pintas yang memusnahkan jejak audit secara senyap.

Tiga bentuk penghantaran dan bila setiap satu sesuai

Pilih berdasarkan siapa yang bertindak balas dan sejauh mana pantas mereka boleh, bukan berdasarkan pilihan mana yang paling mudah dikonfigurasikan. Satu FortiGate yang melindungi satu pejabat boleh mewajarkan e-mel setiap peristiwa. Konfigurasi yang sama pada get laluan yang menerima percubaan pengisian kelayakan yang dicuri menghasilkan ribuan mesej sehari dan ditapis ke folder yang tiada siapa membaca.

Mulakan daripada rekod peristiwa, bukan baris subjek

Baca peristiwa tersimpan yang mewakili pada keluaran yang benar-benar anda jalankan. Rujukan log FortiOS 7.4.8 mengenal pasti kegagalan log masuk ke SSL VPN sebagai peristiwa 39426, dan medannya termasuk action, user, remip, reason, tunneltype dan vd. Mereka bentuk penapis daripada subjek e-mel yang dimajukan dan bukannya daripada rekod itu ialah cara orang akhirnya memadankan nama medan yang ditulis berbeza oleh firmware mereka. Buka dua atau tiga kegagalan sebenar dan sahkan pengecam sepadan sebelum menulis pencetus. Lima minit yang diperlukan lebih singkat daripada seminggu amaran yang tercetus pada peristiwa yang salah.

Jahitan automasi menghubungkan pencetus log peristiwa dengan tindakan, dan pencetus ialah tempat pemilihan peristiwa sepatutnya berada. Tambah hanya syarat medan tambahan yang diperlukan oleh keperluan anda; pencetus yang menapis pada set medan kecil masih memberikan tingkah laku yang belum diuji untuk selebihnya.

Bina badan ringkas daripada penggantian yang disokong

Dalam keluaran yang mendokumenkan penggantian medan log untuk tindakan e-mel, badan boleh menjadi ringkas dan masih berguna. Bentuk di bawah ialah ilustrasi; sahkan nama atribut dan sintaks penggantian terhadap versi firmware anda sebelum menerimanya.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Templat yang memaparkan medan kosong tidak membuktikan bahawa peristiwa itu kekurangan data tersebut. Semak nama medan dan sintaks penggantian dahulu, kemudian uji dengan satu kegagalan terkawal dan baca mesej sebenar. Tambah identiti peranti dan masa kejadian supaya responden dapat menemui rekod penuh tanpa meneka unit mana yang menghantar e-mel.

Tenangkan volum tanpa memadam rekod

Kawalan kadar, pengelompokan dan korelasi tergolong dalam lapisan penghantaran. Menaikkan keterukan minimum e-mel untuk semua perkara ialah alat tumpul yang menyembunyikan peristiwa tidak berkaitan, dan melumpuhkan kategori log VPN lebih teruk: peristiwa berhenti ditulis sama sekali. Kekalkan destinasi pengelogan yang diluluskan dan dasar pengekalan tepat seperti asalnya, dan biarkan laluan pemberitahuan menjadi lebih senyap. Dokumenkan apa yang anda tekan, kerana orang seterusnya akan menemui jurang dalam peti mel dan perlu tahu ia memang disengajakan.

Apabila laluan baharu disahkan, tarik balik mana-mana peraturan e-mel lama yang bertindih melalui perubahan yang disemak. Berakhir dengan dua laluan yang kedua-duanya tercetus, atau tiada yang tercetus kerana yang lama dilumpuhkan dahulu, ialah hasil biasa melakukan pembersihan sebelum ujian.

Baca kegagalan sebagai kegagalan

Peristiwa pengesahan yang gagal bukan sesi VPN yang berjaya, dan nama pengguna dalam peristiwa bukan atribusi yang disahkan kepada seseorang. Korelasikan sebab itu dengan log masuk berjaya, aktiviti pengguna yang diketahui dan percubaan berulang sebelum mengisytiharkan akaun terjejas, dan nyatakan dalam amaran yang mana antaranya anda semak.

Hantar pemberitahuan hanya kepada penerima yang dibenarkan. Nama akaun, pengecam peranti dalaman dan alamat sumber sensitif dari segi operasi, dan senarai pengedaran yang membesar atas keselesaan menjadi laluan kebocoran. Satu laluan yang boleh diambil tindakan serta jejak audit yang utuh ialah keseluruhan matlamat.