FortiGate VPN грешка имејл: филтрирајте поља, не дневнике

Изаберите облик обавештења, саставите га од поља догађаја 39426, затим стишајте обим без искључивања категорије VPN дневника или трага ревизије.

Две одлуке крију се у фрази «пошаљи ми имејл када пријава на VPN не успе». Прва је како се обавештење доставља: једна порука по догађају, периодични резиме или узбуна од сакупљача. Друга је шта порука садржи. Грешка у првој поплави сандуче, а грешка у другој брише поља која узбуну чине употребљивом. Ниједна одлука не захтева потискивање категорије VPN дневника, а то је пречица која тихо уништава траг ревизије.

Три облика достављања и када који одговара

ОбликОдговара кадаТрошак
Аутоматски имејл по догађајумали обим, реагује један тимналет покушаја постаје поплава сандучета
Заказани резимерутински преглед, праћење трендованико не види покушај у току
Узбуна сакупљача са корелацијомвелики обим, заједнички SOCјош један систем који треба хранити и подешавати

Изаберите по томе ко реагује и колико брзо може, а не по томе која је опција најлакша за конфигурисање. Један FortiGate који штити једну канцеларију може да оправда имејл по догађају. Иста конфигурација на пролазу који прима покушаје попуњавања украдених акредитива производи хиљаде порука дневно и завршава у фасцикли коју нико не чита.

Почните од записа догађаја, не од реда теме

Прочитајте репрезентативан сачуван догађај у издању које заиста покрећете. Референца дневника FortiOS 7.4.8 препознаје неуспелу пријаву на SSL VPN као догађај 39426, а његова поља укључују action, user, remip, reason, tunneltype и vd. Пројектовање филтера из прослеђене теме имејла уместо из тог записа је начин на који људи заврше тако што се поклапају са именом поља које њихов firmware пише другачије. Отворите два или три стварна неуспеха и потврдите да се идентификатори поклапају пре него што напишете тригер. Пет минута колико то траје краће је од недеље узбуна које се пале на погрешан догађај.

Аутоматизациони шав повезује тригер дневника догађаја са радњом, а тригер је место коме припада избор догађаја. Додајте само додатне услове поља који су потребни вашем захтеву; тригер који филтрира по малом скупу поља и даље даје непроверено понашање за остатак.

Саставите компактно тело од подржаних замена

У издањима која документују замену поља дневника за имејл радње, тело може бити кратко и ипак корисно. Облик испод је илустративан; пре примене проверите називе атрибута и синтаксу замене са својом верзијом firmware-а.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Шаблон који прикаже празно поље не доказује да су догађају недостајали ти подаци. Прво проверите име поља и синтаксу замене, затим тестирајте са једним контролисаним неуспехом и прочитајте стварну поруку. Додајте идентитет уређаја и време настанка, да би онај ко реагује нашао потпун запис без нагађања која је јединица послала имејл.

Стишајте обим без брисања записа

Контрола брзине, груписање и корелација припадају слоју достављања. Подизање минималне важности имејла за све је грубо средство које скрива неповезане догађаје, а искључивање категорије VPN дневника је горе: догађаји престају да се пишу уопште. Задржите одобрено одредиште евидентирања и политику чувања тачно онаквима какве су биле, и уместо тога пустите да пут обавештења постане тиши. Документујте шта сте потиснули, јер ће следећа особа наћи празнину у сандучету и мора знати да је то било намерно.

Када нови пут буде потврђен, повуците свако преклапајуће старо правило имејла кроз прегледану измену. Завршити са два пута која се оба пале, или ни са једним јер је стари прво искључен, чест је резултат чишћења пре теста.

Читајте неуспех као неуспех

Неуспели догађај аутентикације није успешна VPN сесија, а корисничко име у догађају није потврђено приписивање особи. Повежите разлог са успешним пријавама, познатом активношћу корисника и поновљеним покушајима пре него што прогласите налог компромитованим, и у узбуни наведите шта сте од тога проверили.

Шаљите обавештење само овлашћеним примаоцима. Имена налога, интерни идентификатори уређаја и изворне адресе су оперативно осетљиви, а листа дистрибуције која расте због удобности постаје пут цурења. Један употребљив пут плус нетакнут траг ревизије је цео циљ.

Повезани чланци