Email tal-falliment tal-VPN fuq FortiGate: iffiltra l-oqsma, mhux il-logs

F’«ibgħatli email meta jfalli login tal-VPN» jinħbew żewġ deċiżjonijiet. L-ewwel waħda hi kif tinbagħat in-notifika: email wieħed għal kull avveniment, sommarju perjodiku, jew twissija minn ġabbarlu. It-tieni waħda hi x’jinkludi l-messaġġ. Żball fl-ewwel waħda jgħarraq kaxxa tal-posta, u żball fit-tieni waħda iħassar l-oqsma li jagħmlu t-twissija kapaċi għall-azzjoni. L-ebda waħda mid-deċiżjonijiet ma teħtieġ it-twaħħid tal-kategorija tal-log tal-VPN, u dik hija t-triq qasira li bl-addoċċ teqred it-traċċa tal-awditjar.

Tliet forom ta’ kunsinna u meta togħġob kull waħda

Agħżel skont min jirrispondi u kemm jista’ jkun malajr, mhux skont liema għażla hija l-aktar faċli biex tiġi kkonfigurata. FortiGate wieħed li jipproteġi uffiċċju wieħed jista’ jiġġustifika email għal kull avveniment. L-istess konfigurazzjoni fuq gateway li jirċievi tentattivi ta’ mili ta’ kredenzjali misruqa tipproduċi eluf ta’ messaġġi kuljum u tiġi ffiltrata f’folder li ħadd ma jaqra.

Ibda mir-rekord tal-avveniment, mhux mil-linja tas-suġġett

Aqra avveniment maħżun rappreżentattiv fuq il-verżjoni li tassew tmexxi. Ir-referenza tal-logs ta’ FortiOS 7.4.8 tidentifika l-falliment tal-login fuq SSL VPN bħala avveniment 39426, u l-oqsma tiegħu jinkludu action, user, remip, reason, tunneltype u vd. Li tiddisinja filtru mis-suġġett ta’ email mgħoddi ’l quddiem minflok minn dak ir-rekord huwa kif in-nies jiġu biex jaqblu ma’ isem ta’ qasam li l-firmware tagħhom jikteb b’mod differenti. Iftaħ żewġ fallimenti jew tlieta reali u kkonferma li l-identifikaturi jaqblu qabel ma tikteb trigger. Il-ħames minuti li jieħu dan huma iqsar minn ġimgħa ta’ twissijiet li jisparaw fuq l-avveniment żbaljat.

Stitch tal-awtomatizzazzjoni jgħaqqad trigger tal-log tal-avvenimenti ma’ azzjoni, u t-trigger huwa l-post fejn għandha tkun l-għażla tal-avveniment. Żid biss il-kundizzjonijiet tal-qasam addizzjonali li teħtieġ ir-rekwiżit tiegħek; trigger li jiffiltra fuq sett żgħir ta’ oqsma xorta jipprovdi mġiba mhux ittestjata għall-bqija.

Ibni korp kompatt minn sostituzzjonijiet appoġġjati

Fil-verżjonijiet li jiddokumentaw is-sostituzzjoni tal-oqsma tal-log għall-azzjonijiet tal-email, il-korp jista’ jkun qasir u xorta utli. Il-forma hawn taħt hija illustrattiva; ivverifika l-ismijiet tal-attributi u s-sintassi tas-sostituzzjoni mal-verżjoni tal-firmware tiegħek qabel ma tadottaha.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Mudell li juri qasam vojt ma jipprovax li l-avveniment kien nieqes minn dawk id-data. Iċċekkja l-isem tal-qasam u s-sintassi tas-sostituzzjoni l-ewwel, imbagħad ittestja b’falliment ikkontrollat wieħed u aqra l-messaġġ attwali. Żid l-identità tal-apparat u l-ħin tal-okkorrenza sabiex min jirrispondi jsib ir-rekord sħiħ mingħajr ma jaqta’ x’unità bagħtet l-email.

Ikkalma l-volum mingħajr ma tħassar ir-rekord

Il-kontroll tar-rata, l-iggruppjar u l-korrelazzjoni jappartjenu lis-saff tal-kunsinna. Li tgħolli l-gravità minima tal-email għal kollox huwa strument goff li jaħbi avvenimenti mhux relatati, u li tiddiżattiva l-kategorija tal-log tal-VPN huwa agħar: l-avvenimenti jieqfu jinkitbu għal kollox. Żomm id-destinazzjoni tal-log approvata u l-politika ta’ żamma eżatt kif kienu, u minflok ħalli t-triq tan-notifika ssir aktar kwieta. Iddokumenta dak li trażżant, għax il-persuna li jmiss se ssib vojt fil-kaxxa tal-posta u jeħtieġ tkun taf li kien intenzjonat.

Meta t-triq il-ġdida tkun ivvalidata, irtira kwalunkwe regola tal-email antika li tikkoinċidi permezz ta’ bidla riveduta. Li tispiċċa b’żewġ toroq li jisparaw it-tnejn, jew b’ebda waħda tispira għax dik antika ġiet ittfi l-ewwel, hija riżultat komuni li tagħmel it-tindif qabel it-test.

Aqra falliment bħala falliment

Avveniment ta’ awtentikazzjoni fallut mhuwiex sessjoni tal-VPN b’suċċess, u isem tal-utent f’avveniment mhuwiex attribuzzjoni verifikata lil persuna. Ikkorrela r-raġuni ma’ logins b’suċċess, attività magħrufa tal-utent u tentattivi ripetuti qabel ma tiddikjara kont kompromess, u għid fit-twissija liema minn dawn iċċekkjajt.

Ibgħat in-notifika biss lil destinatarji awtorizzati. L-ismijiet tal-kontijiet, l-identifikaturi interni tal-apparat u l-indirizzi tas-sors huma sensittivi operattivament, u lista tad-distribuzzjoni li tikber għall-kumdità ssir triq tal-kxif. Triq waħda kapaċi għall-azzjoni flimkien ma’ traċċa tal-awditjar sħiħa hija l-għan kollu.