FortiGate VPN-foutmail: filter velden, niet logs

In «mail me als een VPN-login mislukt» schuilen twee beslissingen. De eerste is hoe de melding wordt afgeleverd: één mail per gebeurtenis, een periodieke samenvatting of een alert van een collector. De tweede is wat het bericht bevat. Een fout in de eerste overspoelt een mailbox, en een fout in de tweede verwijdert de velden die de alert bruikbaar maken. Geen van beide beslissingen vereist het onderdrukken van de VPN-logcategorie, en dat is de sluiproute die het auditspoor stilzwijgend vernietigt.

Drie leveringsvormen en wanneer elk past

Kies op basis van wie reageert en hoe snel dat kan, niet op basis van welke optie het makkelijkst te configureren is. Een enkele FortiGate die één kantoor beschermt, kan mail per gebeurtenis rechtvaardigen. Dezelfde configuratie op een gateway die pogingen tot het vullen van gestolen inloggegevens ontvangt, levert duizenden berichten per dag op en wordt weggefilterd naar een map die niemand leest.

Begin bij het gebeurtenisrecord, niet bij de onderwerpregel

Lees een representatieve opgeslagen gebeurtenis op de versie die u daadwerkelijk draait. De FortiOS 7.4.8-logreferentie identificeert de mislukte login bij SSL VPN als gebeurtenis 39426, en de velden omvatten action, user, remip, reason, tunneltype en vd. Een filter ontwerpen op basis van een doorgestuurd e-mailonderwerp in plaats van dat record is hoe mensen uiteindelijk matchen op een veldnaam die hun firmware anders spelt. Open twee of drie echte fouten en bevestig dat de identificatoren overeenkomen voordat u een trigger schrijft. De vijf minuten die dat kost zijn korter dan een week alerts die op de verkeerde gebeurtenis afgaan.

Een automatiseringsstitch verbindt een gebeurtenislogtrigger met een actie, en de trigger is de plek waar de gebeurtenisselectie hoort. Voeg alleen de extra veldvoorwaarden toe die uw vereiste nodig heeft; een trigger die op een kleine set velden filtert, levert voor de rest nog steeds ongetest gedrag.

Bouw een compacte body uit ondersteunde vervangingen

In releases die de vervanging van logvelden voor e-mailacties documenteren, kan de body kort en toch nuttig zijn. De vorm hieronder is illustratief; controleer de attribuutnamen en de vervangingssyntaxis tegen uw firmwareversie voordat u hem overneemt.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Een sjabloon dat een leeg veld toont, bewijst niet dat de gebeurtenis die gegevens miste. Controleer eerst de veldnaam en de vervangingssyntaxis, test dan met één gecontroleerde fout en lees het werkelijke bericht. Voeg apparaatidentiteit en tijdstip toe zodat een responder het volledige record vindt zonder te raden welke eenheid de mail heeft gestuurd.

Demp het volume zonder het record te verwijderen

Snelheidsbeperking, groepering en correlatie horen bij de leveringslaag. De minimale e-mailernst voor alles verhogen is een bot instrument dat niet-verwante gebeurtenissen verbergt, en de VPN-logcategorie uitschakelen is erger: de gebeurtenissen worden helemaal niet meer geschreven. Houd de goedgekeurde logbestemming en het bewaarbeleid precies zoals ze waren, en laat in plaats daarvan het meldingspad stiller worden. Documenteer wat u hebt onderdrukt, want de volgende persoon vindt een gat in de mailbox en moet weten dat het bewust was.

Als het nieuwe pad is gevalideerd, trek dan elke overlappende oude e-mailregel in via een beoordeelde wijziging. Eindigen met twee paden die beide afgaan, of met geen omdat de oude eerst is uitgeschakeld, is een veelvoorkomend resultaat van het opruimen vóór de test.

Lees een fout als een fout

Een mislukte authenticatiegebeurtenis is geen succesvolle VPN-sessie, en een gebruikersnaam in een gebeurtenis is geen geverifieerde toeschrijving aan een persoon. Correleer de reden met geslaagde logins, bekende gebruikersactiviteit en herhaalde pogingen voordat u een account als gecompromitteerd verklaart, en zeg in de alert welke daarvan u hebt gecontroleerd.

Stuur de melding alleen naar bevoegde ontvangers. Accountnamen, interne apparaatidentificatoren en bronadressen zijn operationeel gevoelig, en een distributielijst die uit gemak groeit, wordt een lekpad. Eén bruikbaar pad plus een intact auditspoor is het hele doel.