Upozornenia na prihlásenie VPN: ktorá udalosť ich má vlastne spúšťať?
Úspešná autentifikácia, vytvorený tunel a RADIUS accounting Start sú tri rôzne tvrdenia. Vyberte to, na ktoré váš príjemca môže reagovať, a potom ich prepojte.
Úspešná autentifikácia, vytvorený tunel a RADIUS accounting Start sú tri rôzne tvrdenia a e-mail o prihlásení niečo znamená až vtedy, keď si jedno z nich vyberiete. Väčšina návrhov VPN upozornení mieša všetky tri a vytvára schránku, ktorej nikto neverí. Rozhodnutie závisí od toho, kto upozornenie číta a čo môže urobiť v nasledujúcich piatich minútach. Ak to pokazíte, upozornenie sa stane šumom, ktorý skrýva jedinú udalosť, ktorú ste potrebovali.
O spúšťači rozhodujú tri otázky
Opýtajte sa, kto ho dostane, čo urobí a ako rýchlo musí akcia nastať. Bezpečnostný tím sledujúci zneužitie prihlasovacích údajov chce vzor zlyhania a potom úspechu z jedného účtu v priebehu minút. Prevádzkový tím sledujúci kapacitu chce trvanie relácie a dôvody odpojenia, nie prihlásenia. Helpdesk chce identitu relácie, aby ju mohol spárovať s tiketom.
Tieto odpovede ukazujú na rôzne udalosti a žiadne jediné pravidlo neuspokojí všetky tri. Ak je akciou príjemcu „zavolaj používateľovi“, autentifikácia stačí. Ak je akciou „uvoľni licenciu“ alebo „over, či tunel prenášal prevádzku“, poslúži len vytvorenie alebo accounting Start. Ak je akciou „vyfakturuj čas“, potrebujete záznamy Stop, nie prihlásenie.
Napíšte odpoveď ako jednu vetu, skôr než čokoľvek nakonfigurujete. „Tento e-mail hovorí pohotovostnému inžinierovi, že účet X otvoril tunel zo siete Y v čase Z, aby mohol skontrolovať, či sa využilo okno údržby.“ Ak nedokážete vyplniť každé pole, spúšťač ešte nie je zvolený.
Zlaďte udalosť s tvrdením, ktoré uvádzate
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Tabuľka skrýva závislosť: každý riadok je dôveryhodný len vtedy, keď ho brána spoľahlivo vydáva a váš kolektor uchováva pole, ktoré potrebujete. Čítajte definíciu udalosti pre presnú verziu, ktorú prevádzkujete, pretože názov „relácia vytvorená“ sa medzi verziami mení a význam sa mení častejšie ako názov. Keď je definícia nejasná, požiadajte o zachytenie relácie namiesto hádania podľa štítku.
Považovať Access-Accept za dokončenie všetkého, čo po ňom nasleduje, je najčastejšia chyba. Je to verdikt o prihlasovacích údajoch, nie relácia. Zrkadlovou chybou je čítať zhodu s politikou ako dôkaz autorizácie, keď pravidlo môže zodpovedať a nasledujúci krok napriek tomu môže zlyhať.
Jedna relácia, jedno oznámenie
Jeden účet, viac zariadení, opakované odoslania a opätovné pripojenia: e-mail na každú udalosť bude nesprávny v oboch smeroch, jednu reláciu duplikuje a inú rozdelí. Kľúčujte oznámenie na bránu plus identifikátor relácie a s názvom účtu zaobchádzajte ako s atribútom, nie ako s kľúčom. Používateľ s notebookom a telefónom môže mať dva tunely súčasne a obidva si zaslúžia vlastný riadok.
Opakovane odosielané účtovné záznamy sú normálne, preto pred vykreslením správy odstráňte duplikáty podľa id relácie a časovej pečiatky. Následné relácie z toho istého zariadenia by mali zostať oddelené a opätovné pripojenie počas okna údržby by malo zostať viditeľné namiesto zlúčenia s predchádzajúcou. Ak váš kolektor pri príjme prepisuje časové pečiatky, odstraňujte duplikáty podľa polí pôvodného záznamu, nie podľa uložených.
Chýbajúci záznam Stop je neistota, nie trvalá relácia. Reštarty brány, výpadky kolektora a strata UDP zanechávajú medzery, takže upozornenie potrebuje cestu na zosúladenie, ktorá sa pred akýmkoľvek záverom, že tunel stále beží, opýta tabuľky živých relácií.
Držte audit a oznámenia oddelene
Tok auditu a tok upozornení majú rôzne úlohy. Uchovávajte surové záznamy vrátane účtu, brány, id relácie, časových pečiatok a dôvodu ukončenia, aj keď sa rutinné e-maily zoskupujú, potláčajú alebo posielajú na malý pohotovostný zoznam. Prah závažnosti je filter doručenia, nie výber udalosti životného cyklu, ktorú ste chceli oznámiť.
Pošlite minimálny kontext, ktorý príjemca potrebuje na nájdenie chráneného záznamu. Názvy účtov, interné adresy a podrobnosti relácie sú citlivé a e-mail, ktorý sa dobre preposiela, je e-mail, ktorý dobre uniká.
Potom to dokážte od začiatku do konca. Prejdite bežné prihlásenie a odhlásenie, opätovné pripojenie, dve súbežné relácie a vynútené zlyhanie doručenia a vystopujte jednu udalosť od brány cez kolektor až po doručenú správu. Ak e-mail dorazí bez id relácie, zmluva je neúplná. Ak dva e-maily opisujú jednu reláciu, korelácia je pokazená. Ani jeden z týchto problémov sa neprejaví, keď jediné, čo testujete, je to, že doručovanie pošty funguje.