FortiGate VPN e-pošta o neuspjehu: filtrirajte polja, ne zapise

Dvije odluke kriju se u frazi „pošalji mi e-poštu kad prijava na VPN ne uspije“. Prva je kako se obavještenje dostavlja: jedna poruka po događaju, periodični sažetak ili alarm od kolektora. Druga je šta poruka sadrži. Greška u prvoj preplavi sanduče, a greška u drugoj briše polja koja alarm čine upotrebljivim. Nijedna odluka ne zahtijeva potiskivanje kategorije VPN zapisa — to je prečica koja tiho uništava revizijski trag.

Tri oblika dostave i kada koji odgovara

Birajte po tome ko reaguje i koliko brzo može, a ne po tome koja je opcija najlakša za konfigurisanje. Jedan FortiGate koji štiti jednu kancelariju može opravdati e-poštu po događaju. Ista konfiguracija na pristupniku koji prima pokušaje popunjavanja ukradenih akreditiva proizvodi hiljade poruka dnevno i završava u fascikli koju niko ne čita.

Pođite od zapisa događaja, ne od reda teme

Pročitajte reprezentativan sačuvani događaj u izdanju koje zaista koristite. Referenca zapisa FortiOS 7.4.8 identifikuje neuspjelu prijavu na SSL VPN kao događaj 39426, a njegova polja uključuju action, user, remip, reason, tunneltype i vd. Dizajniranje filtera iz proslijeđene teme e-pošte umjesto iz tog zapisa jeste način na koji ljudi završe tako što poklapaju naziv polja koji njihov firmver piše drugačije. Otvorite dva ili tri stvarna neuspjeha i potvrdite da se identifikatori poklapaju prije nego što napišete okidač. Pet minuta koje to traje kraće je od sedmice alarma koji se pale na pogrešan događaj.

Automatizacijski šav povezuje okidač zapisa događaja s radnjom, a okidač je mjesto kojem pripada odabir događaja. Dodajte samo dodatne uslove polja koje vaš zahtjev traži; okidač koji filtrira po malom skupu polja i dalje daje neprovjereno ponašanje za ostalo.

Izgradite kompaktno tijelo od podržanih zamjena

U izdanjima koja dokumentuju zamjenu polja zapisa za radnje e-pošte, tijelo može biti kratko i korisno. Oblik ispod je ilustrativan; provjerite nazive atributa i sintaksu zamjene prema svojoj verziji firmvera prije primjene.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Šablon koji prikaže prazno polje ne dokazuje da događaju nedostaju ti podaci. Prvo provjerite naziv polja i sintaksu zamjene, zatim testirajte jednim kontrolisanim neuspjehom i pročitajte stvarnu poruku. Dodajte identitet uređaja i vrijeme nastanka da bi onaj ko reaguje mogao naći potpuni zapis bez nagađanja koja je jedinica poslala poštu.

Smanjite obim bez brisanja zapisa

Kontrola brzine, grupisanje i korelacija pripadaju sloju dostave. Podizanje minimalne važnosti e-pošte za sve je grubo sredstvo koje skriva nepovezane događaje, a isključivanje kategorije VPN zapisa je gore: događaji se uopšte prestaju zapisivati. Zadržite odobreno odredište zapisivanja i politiku čuvanja tačno kakvi su bili, a umjesto toga pustite da put obavještenja postane tiši. Dokumentujte šta ste potisnuli, jer će sljedeća osoba naći prazninu u sandučetu i mora znati da je to bilo namjerno.

Kad je novi put potvrđen, povucite svako preklapajuće staro pravilo e-pošte kroz pregledanu promjenu. Završiti s dva puta koji se oba pale, ili ni s jednim jer je stari prvo isključen, čest je ishod čišćenja prije testa.

Čitajte neuspjeh kao neuspjeh

Neuspjeli događaj provjere identiteta nije uspješna VPN sesija, a korisničko ime u događaju nije potvrđeno pripisivanje osobi. Povežite razlog s uspješnim prijavama, poznatom aktivnošću korisnika i ponovljenim pokušajima prije nego proglasite račun kompromitovanim i u alarmu navedite šta ste od toga provjerili.

Šaljite obavještenje samo ovlaštenim primaocima. Nazivi računa, interni identifikatori uređaja i izvorne adrese operativno su osjetljivi, a lista distribucije koja raste zbog udobnosti postaje put za curenje. Jedan upotrebljiv put plus netaknut revizijski trag jest cijeli cilj.