E-pošta o napaki VPN na FortiGate: filtrirajte polja, ne dnevnike

V stavku »pošlji mi e-pošto, ko prijava v VPN ne uspe« se skrivata dve odločitvi. Prva je, kako se obvestilo dostavi: ena e-pošta na dogodek, periodični povzetek ali opozorilo iz zbiralnika. Druga je, kaj sporočilo vsebuje. Napaka pri prvi preplavi nabiralnik, napaka pri drugi pa izbriše polja, zaradi katerih je opozorilo uporabno. Nobena odločitev ne zahteva zatiranja kategorije dnevnika VPN, in to je bližnjica, ki tiho uniči revizijsko sled.

Tri oblike dostave in kdaj katera ustreza

Izberite glede na to, kdo se odziva in kako hitro lahko, ne glede na to, katera možnost se najlažje konfigurira. En sam FortiGate, ki ščiti eno pisarno, lahko upraviči e-pošto na dogodek. Ista konfiguracija na prehodu, ki sprejema poskuse polnjenja ukradenih poverilnic, ustvari tisoče sporočil na dan in konča v mapi, ki je nihče ne bere.

Začnite pri zapisu dogodka, ne pri vrstici zadeve

Preberite reprezentativen shranjen dogodek v različici, ki jo dejansko poganjate. Referenca dnevnikov FortiOS 7.4.8 označi neuspešno prijavo v SSL VPN kot dogodek 39426, njegova polja pa vključujejo action, user, remip, reason, tunneltype in vd. Oblikovanje filtra iz poslane zadeve e-pošte namesto iz tega zapisa je način, kako ljudje na koncu ujemajo ime polja, ki ga njihova strojna programska oprema piše drugače. Odprite dva ali tri resnične neuspehe in pred pisanjem sprožilca potrdite, da se identifikatorji ujemajo. Pet minut, ki jih to vzame, je krajših od tedna opozoril, ki se sprožijo ob napačnem dogodku.

Avtomatizacijski šiv poveže sprožilec dnevnika dogodkov z dejanjem, sprožilec pa je mesto, kamor sodi izbira dogodka. Dodajte samo dodatne pogoje polj, ki jih potrebuje vaša zahteva; sprožilec, ki filtrira po majhnem naboru polj, za ostalo še vedno zagotavlja nepreizkušeno vedenje.

Zgradite kompaktno telo iz podprtih zamenjav

V različicah, ki dokumentirajo zamenjavo polj dnevnika za e-poštna dejanja, je telo lahko kratko in vseeno uporabno. Spodnja oblika je ponazoritvena; pred uporabo preverite imena atributov in sintakso zamenjave glede na svojo različico strojne programske opreme.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Predloga, ki prikaže prazno polje, ne dokazuje, da dogodku ti podatki niso bili na voljo. Najprej preverite ime polja in sintakso zamenjave, nato preizkusite z enim nadzorovanim neuspehom in preberite dejansko sporočilo. Dodajte identiteto naprave in čas pojava, da bo odzivnik našel celoten zapis, ne da bi ugibal, katera enota je poslala e-pošto.

Utišajte obseg, ne da bi izbrisali zapis

Nadzor hitrosti, združevanje in korelacija spadajo v plast dostave. Dvig najnižje resnosti e-pošte za vse je topo orodje, ki skrije nepovezane dogodke, izklop kategorije dnevnika VPN pa je slabši: dogodki se sploh prenehajo pisati. Ohranite odobreni cilj beleženja in politiko hrambe natanko takšne, kot so bili, in namesto tega pustite, da pot obveščanja postane tišja. Dokumentirajte, kaj ste zatrli, ker bo naslednja oseba v nabiralniku našla vrzel in mora vedeti, da je bila namerna.

Ko je nova pot potrjena, umaknite vsako prekrivajoče se staro e-poštno pravilo s pregledano spremembo. Končati z dvema potema, ki se obe sprožita, ali z nobeno, ker je bila stara izklopljena prva, je pogost rezultat pospravljanja pred testom.

Beri neuspeh kot neuspeh

Neuspešen dogodek preverjanja pristnosti ni uspešna seja VPN, uporabniško ime v dogodku pa ni potrjeno pripisovanje osebi. Preden razglasite račun za ogroženega, povežite razlog z uspešnimi prijavami, znano uporabnikovo dejavnostjo in ponovljenimi poskusi, v opozorilu pa navedite, kaj od tega ste preverili.

Pošljite obvestilo samo pooblaščenim prejemnikom. Imena računov, notranji identifikatorji naprav in izvorni naslovi so operativno občutljivi, distribucijski seznam, ki raste zaradi udobja, pa postane pot uhajanja. Ena uporabna pot in nepoškodovana revizijska sled je celoten cilj.