FortiGate VPN-feil-e-post: filtrer felt, ikkje loggar

To avgjerder ligg i «send meg ein e-post når ei VPN-innlogging feilar». Den fyrste er korleis varselet vert levert: ein e-post per hending, eit periodisk samandrag eller eit varsel frå ein innsamlar. Den andre er kva meldinga inneheld. Tek du feil i den fyrste, vert ei postkasse overfløymd, og tek du feil i den andre, slettar du felta som gjer varselet handlingsretta. Ingen av avgjerdene krev at VPN-loggkategorien vert undertrykt, og det er snarvegen som stille øydelegg revisjonssporet.

Tre leveringsformer og når kvar passar

Vel etter kven som svarar og kor raskt dei kan, ikkje etter kva alternativ som er enklast å konfigurere. Éin einaste FortiGate som vernar eitt kontor kan rettferdiggjere e-post per hending. Same konfigurasjonen på ein gateway som tek imot forsøk på å fylle inn stolne påloggingsdata produserer tusenvis av meldingar om dagen og endar i ei mappe ingen les.

Start ved hendingsoppføringa, ikkje ved emnelinja

Les ei representativ lagra hending på versjonen du faktisk køyrer. FortiOS 7.4.8-loggreferansen identifiserer mislukka innlogging på SSL VPN som hending 39426, og felta omfattar action, user, remip, reason, tunneltype og vd. Å designe eit filter frå eit vidaresendt e-postemne i staden for frå den oppføringa er korleis folk endar med å matche eit feltnamn som fastvaren deira stavar annleis. Opne to eller tre reelle feil og stadfest at identifikatorane stemmer før du skriv ein trigger. Dei fem minutta det tek er kortare enn ei veke med varsel som fyrer på feil hending.

Ein automatiseringssting koplar ein hendingslogg-trigger til ei handling, og triggeren er staden der hendingsvalet høyrer heime. Legg berre til dei ekstra feltvilkåra som kravet ditt treng; ein trigger som filtrerer på eit lite sett felt leverer framleis uutprøvd åtferd for resten.

Bygg ein kompakt kropp av støtta erstatningar

I versjonar som dokumenterer loggfelterstatning for e-posthandlingar, kan kroppen vere kort og likevel nyttig. Forma nedanfor er illustrativ; stadfest attributtnamna og erstatningssyntaksen mot fastvareversjonen din før du tek ho i bruk.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Ein mal som viser eit tomt felt beviser ikkje at hendinga mangla desse dataa. Sjekk feltnamnet og erstatningssyntaksen fyrst, test deretter med éin kontrollert feil og les den faktiske meldinga. Legg til eininga si identitet og tidspunkt, slik at ein responsansvarleg finn heile oppføringa utan å gjette kva eining som sende e-posten.

Demp volumet utan å slette oppføringa

Fartskontroll, gruppering og korrelasjon høyrer til leveringslaget. Å heve den minste e-postalvoret for alt er eit grovt verktøy som løyner urelaterte hendingar, og å slå av VPN-loggkategorien er verre: hendingane sluttar heilt å verte skrivne. Hald det godkjende loggmålet og oppbevaringspolicyen nøyaktig som dei var, og lat i staden varslingsvegen verte stillare. Dokumenter kva du undertrykte, for den neste personen finn eit hol i postkassa og må vite at det var med vilje.

Når den nye vegen er validert, avvikle kvar overlappande gammal e-postregel gjennom ei gjennomgått endring. Å ende med to vegar som båe fyrer, eller med ingen fordi den gamle vart slått av fyrst, er eit vanleg resultat av å gjere oppryddinga før testen.

Les ein feil som ein feil

Ei mislukka autentiseringshending er ikkje ei vellukka VPN-økt, og eit brukarnamn i ei hending er ikkje stadfesta tilskriving til ein person. Korreler årsaka med vellukka innloggingar, kjend brukaraktivitet og gjentekne forsøk før du erklærer ein konto kompromittert, og sei i varselet kva av desse du sjekka.

Send varselet berre til autoriserte mottakarar. Kontonamn, interne einingidentifikatorar og kjeldeadresser er operativt sensitive, og ei distribusjonsliste som veks av bekvemmelegheit vert ein lekkasjeveg. Éin handlingsretta veg pluss eit intakt revisjonsspor er heile målet.