E-mail o zlyhaní VPN na FortiGate: filtrujte polia, nie záznamy

Vyberte podobu oznámenia, zostavte ju z polí udalosti 39426 a potom stíšte objem bez vypnutia kategórie protokolu VPN alebo stopy auditu.

Vo vete „pošli mi e-mail, keď sa prihlásenie do VPN nepodarí“ sa skrývajú dve rozhodnutia. Prvé je, ako sa oznámenie doručuje: jeden e-mail na udalosť, pravidelné zhrnutie alebo upozornenie zo zberača. Druhé je, čo správa obsahuje. Chyba v prvom zaplaví schránku a chyba v druhom vymaže polia, vďaka ktorým je upozornenie použiteľné. Žiadne z rozhodnutí nevyžaduje potlačenie kategórie protokolu VPN — to je skratka, ktorá potichu ničí stopu auditu.

Tri podoby doručenia a kedy sa ktorá hodí

PodobaHodí sa, keďCena
Automatizačný e-mail na každú udalosťnízky objem, reaguje jeden tímnápor pokusov sa zmení na záplavu schránky
Plánované zhrnutierutinná kontrola, sledovanie trendovnikto nevidí prebiehajúci pokus
Upozornenie zberača s koreláciouvysoký objem, zdieľané SOCďalší systém, ktorý treba kŕmiť a ladiť

Vyberte podľa toho, kto reaguje a ako rýchlo to zvládne, nie podľa toho, ktorá možnosť sa najľahšie konfiguruje. Jeden FortiGate chrániace jednu kanceláriu môže e-mail na udalosť ospravedlniť. Rovnaká konfigurácia na bráne, ktorá prijíma pokusy o doplnenie ukradnutých prihlasovacích údajov, produkuje tisíce správ denne a končí v priečinku, ktorý nikto nečíta.

Začnite pri zázname udalosti, nie pri riadku predmetu

Prečítajte si reprezentatívnu uloženú udalosť vo verzii, ktorú skutočne prevádzkujete. Referenčná príručka protokolov FortiOS 7.4.8 označuje zlyhanie prihlásenia do SSL VPN ako udalosť 39426 a jej polia zahŕňajú action, user, remip, reason, tunneltype a vd. Navrhovať filter z preposlaného predmetu e-mailu namiesto z tohto záznamu je spôsob, akým ľudia skončia pri porovnávaní názvu poľa, ktorý ich firmvér píše inak. Otvorte dve alebo tri skutočné zlyhania a pred napísaním triggera potvrďte, že sa identifikátory zhodujú. Päť minút, ktoré to zaberie, je kratších než týždeň upozornení spúšťaných na nesprávnu udalosť.

Automatizačný steh spája trigger protokolu udalostí s akciou a trigger je miesto, kam voľba udalosti patrí. Pridajte len dodatočné podmienky polí, ktoré váš základ vyžaduje; trigger, ktorý filtruje podľa malej sady polí, pre zvyšok stále dodáva netestované správanie.

Zostavte kompaktné telo z podporovaných náhrad

Vo verziách, ktoré dokumentujú nahradenie polí protokolu pre e-mailové akcie, môže byť telo krátke a pritom užitočné. Podoba nižšie je ilustratívna; pred prevzatím overte názvy atribútov a syntax nahradenia voči svojej verzii firmvéru.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Šablóna, ktorá zobrazí prázdne pole, nedokazuje, že udalosti tieto údaje chýbali. Najprv skontrolujte názov poľa a syntax nahradenia, potom otestujte jedným riadeným zlyhaním a prečítajte si skutočnú správu. Pridajte identitu zariadenia a čas výskytu, aby respondent našiel úplný záznam bez hádania, ktorá jednotka e-mail odoslala.

Stíšte objem bez vymazania záznamu

Riadenie rýchlosti, zoskupovanie a korelácia patria do vrstvy doručovania. Zvyšovanie minimálnej závažnosti e-mailov pre všetko je tupý nástroj, ktorý skrýva nesúvisiace udalosti, a vypnutie kategórie protokolu VPN je horšie: udalosti sa prestanú vôbec zapisovať. Zachovajte schválené cieľové umiestnenie protokolov a politiku uchovávania presne také, aké boli, a miesto toho nechajte cestu oznámení ztíšiť. Zdokumentujte, čo ste potlačili, pretože ďalší človek nájde v schránke medzeru a musí vedieť, že bola zámerná.

Keď je nová cesta overená, vyraďte každé prekrývajúce sa staré e-mailové pravidlo cez recenzovanú zmenu. Skončiť s dvoma cestami, ktoré obe spustia, alebo so žiadnou, pretože stará bola vypnutá prvá, je častý výsledok upratovania pred testom.

Čítajte zlyhanie ako zlyhanie

Neúspešná udalosť overenia nie je úspešná relácia VPN a používateľské meno v udalosti nie je overené pripísanie osobe. Pred vyhlásením účtu za kompromitovaný skorelujte dôvod s úspešnými prihláseniami, známou aktivitou používateľa a opakovanými pokusmi a v upozornení uveďte, ktoré z toho ste skontrolovali.

Posielajte oznámenie len oprávneným príjemcom. Názvy účtov, interné identifikátory zariadení a zdrojové adresy sú prevádzkovo citlivé a distribučný zoznam, ktorý rastie pre pohodlie, sa stáva cestou úniku. Jedna použiteľná cesta plus neporušená stopa auditu je celý cieľ.

Súvisiace články