Email-i i dështimit të VPN në FortiGate: filtro fushat, jo regjistrat

Në «më dërgo email kur një hyrje në VPN dështon» fshihen dy vendime. I pari është si dorëzohet njoftimi: një email për ngjarje, një përmbledhje periodike ose një alarm nga një mbledhës. I dyti është çfarë përmban mesazhi. Gabimi në të parin vërshton një kuti postare, dhe gabimi në të dytin fshin fushat që e bëjnë alarmin të zbatueshëm. Asnjë prej vendimeve nuk kërkon shtypjen e kategorisë së regjistrit të VPN, dhe kjo është shkurtesa që shkatërron në heshtje gjurmën e auditimit.

Tre forma dorëzimi dhe kur përshtatet secila

Zgjidhni sipas kush përgjigjet dhe sa shpejt mund ta bëjë, jo sipas cilit opsion është më i lehtë për t’u konfiguruar. Një FortiGate i vetëm që mbron një zyrë mund të justifikojë email për ngjarje. E njëjta konfigurim në një portë që pranon përpjekje për plotësimin e kredencialeve të vjedhura prodhon mijëra mesazhe në ditë dhe filtrohet në një dosje që askush nuk e lexon.

Filloni nga regjistri i ngjarjes, jo nga rreshti i subjektit

Lexoni një ngjarje të ruajtur përfaqësuese në versionin që ekzekutoni vërtet. Referenca e regjistrave të FortiOS 7.4.8 e identifikon dështimin e hyrjes në SSL VPN si ngjarje 39426, dhe fushat e saj përfshijnë action, user, remip, reason, tunneltype dhe vd. Dizajnimi i një filtri nga një subjekt email i përcjellë në vend të atij regjistri është mënyra se si njerëzit përfundojnë duke përputhur një emër fushe që firmware-i i tyre e shkruan ndryshe. Hapni dy ose tre dështime reale dhe konfirmoni që identifikuesit përputhen përpara se të shkruani një trigger. Pesë minutat që duhen janë më të shkurtra se një javë alarme që ndizen për ngjarjen e gabuar.

Një tegel automatizimi lidh një trigger të regjistrit të ngjarjeve me një veprim, dhe trigger-i është vendi ku duhet të jetë zgjedhja e ngjarjes. Shtoni vetëm kushtet shtesë të fushave që kërkon kërkesa juaj; një trigger që filtron në një grup të vogël fushash jep ende sjellje të patestuar për pjesën tjetër.

Ndërtoni një trup kompakt nga zëvendësimet e mbështetura

Në versionet që dokumentojnë zëvendësimin e fushave të regjistrit për veprimet e emailit, trupi mund të jetë i shkurtër dhe gjithsesi i dobishëm. Forma më poshtë është ilustrative; verifikoni emrat e atributeve dhe sintaksën e zëvendësimit kundrejt versionit tuaj të firmware-it përpara se ta miratoni.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Një shabllon që shfaq një fushë bosh nuk provon që ngjarjes i mungonin ato të dhëna. Kontrolloni fillimisht emrin e fushës dhe sintaksën e zëvendësimit, më pas provoni me një dështim të kontrolluar dhe lexoni mesazhin aktual. Shtoni identitetin e pajisjes dhe kohën e ndodhjes, që përgjigjësi të gjejë regjistrin e plotë pa hamendësuar cila njësi e dërgoi emailin.

Qetësoni volumin pa fshirë regjistrin

Kontrolli i ritmit, grupimi dhe korrelacioni i përkasin shtresës së dorëzimit. Ngritja e ashpërsisë minimale të emailit për gjithçka është një mjet i pagdhendur që fsheh ngjarje të palidhura, dhe çaktivizimi i kategorisë së regjistrit të VPN është më keq: ngjarjet ndalojnë së shkruari fare. Mbani destinacionin e miratuar të regjistrimit dhe politikën e ruajtjes saktësisht si ishin, dhe lëreni në vend të kësaj rrugën e njoftimit të bëhet më e qetë. Dokumentoni çfarë shtypët, sepse personi tjetër do të gjejë një boshllëk në kuti dhe duhet të dijë se ishte i qëllimshëm.

Kur rruga e re të jetë vërtetuar, tërhiqni çdo rregull email të vjetër që mbivendoset përmes një ndryshimi të rishikuar. Të përfundosh me dy rrugë që ndizen të dyja, ose me asnjë sepse e vjetra u çaktivizua e para, është një rezultat i zakonshëm i pastrimit para testit.

Lexoni dështimin si dështim

Një ngjarje dështimi autentikimi nuk është sesion i suksesshëm VPN, dhe një emër përdoruesi në një ngjarje nuk është atribuim i verifikuar ndaj një personi. Lidhni arsyen me hyrjet e suksesshme, aktivitetin e njohur të përdoruesit dhe përpjekjet e përsëritura përpara se të shpallni një llogari të komprometuar, dhe thoni në alarm cilat prej tyre kontrolluat.

Dërgoni njoftimin vetëm te marrës të autorizuar. Emrat e llogarive, identifikuesit e brendshëm të pajisjeve dhe adresat e burimit janë të ndjeshme operacionalisht, dhe një listë shpërndarjeje që rritet për lehtësi bëhet rrugë rrjedhjeje. Një rrugë e zbatueshme plus një gjurmë auditimi e paprekur është i gjithë qëllimi.