E-mail de eșec VPN pe FortiGate: filtrează câmpurile, nu logurile

În «trimite-mi un e-mail când o autentificare VPN eșuează» se ascund două decizii. Prima este cum este livrată notificarea: un e-mail pe eveniment, un rezumat periodic sau o alertă de la un colector. A doua este ce conține mesajul. O greșeală la prima inundă o căsuță poștală, iar o greșeală la a doua șterge câmpurile care fac alerta utilizabilă. Niciuna dintre decizii nu necesită suprimarea categoriei de log VPN, iar aceasta este scurtătura care distruge în liniște urma de audit.

Trei forme de livrare și când se potrivește fiecare

Alege după cine răspunde și cât de repede poate, nu după care opțiune este mai ușor de configurat. Un singur FortiGate care protejează un birou poate justifica e-mailul pe eveniment. Aceeași configurație pe un gateway care primește încercări de completare a unor credențiale furate produce mii de mesaje pe zi și ajunge filtrată într-un folder pe care nimeni nu îl citește.

Pornește de la înregistrarea evenimentului, nu de la linia subiectului

Citește un eveniment stocat reprezentativ pe versiunea pe care o rulezi efectiv. Referința jurnalelor FortiOS 7.4.8 identifică eșecul de autentificare la SSL VPN drept eveniment 39426, iar câmpurile sale includ action, user, remip, reason, tunneltype și vd. Proiectarea unui filtru dintr-un subiect de e-mail redirecționat în locul acelei înregistrări este felul în care oamenii ajung să potrivească un nume de câmp pe care firmware-ul lor îl scrie altfel. Deschide două sau trei eșecuri reale și confirmă că identificatorii se potrivesc înainte de a scrie un trigger. Cele cinci minute necesare sunt mai scurte decât o săptămână de alerte care se declanșează pe evenimentul greșit.

O cusătură de automatizare leagă un trigger de jurnal de evenimente de o acțiune, iar triggerul este locul unde trebuie să stea selecția evenimentului. Adaugă doar condițiile suplimentare de câmp de care are nevoie cerința ta; un trigger care filtrează pe un set mic de câmpuri livrează în continuare comportament netestat pentru restul.

Construiește un corp compact din substituții acceptate

În versiunile care documentează substituirea câmpurilor de jurnal pentru acțiuni de e-mail, corpul poate fi scurt și totuși util. Forma de mai jos este ilustrativă; verifică numele atributelor și sintaxa substituirii față de versiunea de firmware înainte de a o adopta.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Un șablon care afișează un câmp gol nu dovedește că evenimentului îi lipseau acele date. Verifică mai întâi numele câmpului și sintaxa substituirii, apoi testează cu un eșec controlat și citește mesajul real. Adaugă identitatea dispozitivului și momentul producerii, ca cel care răspunde să găsească înregistrarea completă fără să ghicească ce unitate a trimis e-mailul.

Domolește volumul fără a șterge înregistrarea

Controlul ratei, gruparea și corelarea aparțin stratului de livrare. Ridicarea severității minime a e-mailurilor pentru tot este un instrument grosier care ascunde evenimente nelegate, iar dezactivarea categoriei de log VPN este mai rău: evenimentele nu mai sunt scrise deloc. Păstrează destinația de jurnalizare aprobată și politica de retenție exact așa cum erau, și lasă în schimb calea de notificare să devină mai silențioasă. Documentează ce ai suprimat, pentru că următoarea persoană va găsi o lacună în căsuță și trebuie să știe că a fost deliberată.

După ce noua cale este validată, retrage orice regulă de e-mail veche care se suprapune printr-o modificare revizuită. A termina cu două căi care se declanșează amândouă, sau cu niciuna pentru că cea veche a fost dezactivată prima, este un rezultat obișnuit al curățării înainte de test.

Citește un eșec ca pe un eșec

Un eveniment de autentificare eșuat nu este o sesiune VPN reușită, iar un nume de utilizator dintr-un eveniment nu este o atribuire verificată unei persoane. Corelează motivul cu autentificări reușite, activitate cunoscută a utilizatorului și încercări repetate înainte de a declara un cont compromis, și spune în alertă pe care dintre ele le-ai verificat.

Trimite notificarea doar destinatarilor autorizați. Numele conturilor, identificatorii interni ai dispozitivelor și adresele sursă sunt sensibile operațional, iar o listă de distribuție care crește din comoditate devine o cale de scurgere. O cale utilizabilă plus o urmă de audit intactă este întregul scop.