อีเมลแจ้ง VPN ล้มเหลวบน FortiGate: กรองฟิลด์ ไม่ใช่ล็อก

มีสองการตัดสินใจซ่อนอยู่ในประโยค «ส่งอีเมลถึงฉันเมื่อการเข้าสู่ระบบ VPN ล้มเหลว» อย่างแรกคือจะส่งการแจ้งเตือนอย่างไร: อีเมลฉบับเดียวต่อเหตุการณ์ สรุปรวมเป็นระยะ หรือการแจ้งเตือนจากตัวรวบรวม อย่างที่สองคือข้อความมีอะไรบ้าง หากผิดอย่างแรกกล่องจดหมายจะท่วม และหากผิดอย่างที่สองฟิลด์ที่ทำให้การแจ้งเตือนใช้งานได้จริงจะหายไป ไม่มีการตัดสินใจใดต้องปิดหมวดล็อก VPN ซึ่งเป็นทางลัดที่ทำลายเส้นทางการตรวจสอบอย่างเงียบ ๆ

สามรูปแบบการส่งและเมื่อใดจึงเหมาะ

เลือกจากว่าใครตอบสนองและเร็วแค่ไหน ไม่ใช่ว่าตัวเลือกใดตั้งค่าง่ายที่สุด FortiGate เครื่องเดียวที่ปกป้องสำนักงานหนึ่งแห่งอาจสมเหตุสมผลกับการส่งอีเมลต่อเหตุการณ์ การตั้งค่าเดียวกันบนเกตเวย์ที่รับการพยายามเติมข้อมูลรับรองที่ถูกขโมยจะสร้างข้อความหลายพันฉบับต่อวันและถูกกรองไปยังโฟลเดอร์ที่ไม่มีใครอ่าน

เริ่มจากบันทึกเหตุการณ์ ไม่ใช่บรรทัดหัวเรื่อง

อ่านเหตุการณ์ที่เก็บไว้ซึ่งเป็นตัวแทนบนรีลีสที่คุณใช้งานจริง เอกสารอ้างอิงล็อกของ FortiOS 7.4.8 ระบุการเข้าสู่ระบบที่ล้มเหลวไปยัง SSL VPN เป็นเหตุการณ์ 39426 และฟิลด์ต่าง ๆ ได้แก่ action, user, remip, reason, tunneltype และ vd. การออกแบบตัวกรองจากหัวเรื่องอีเมลที่ส่งต่อมาแทนที่จะมาจากบันทึกนั้นคือวิธีที่ผู้คนลงเอยด้วยการจับคู่ชื่อฟิลด์ที่เฟิร์มแวร์ของพวกเขาสะกดต่างออกไป เปิดความล้มเหลวจริงสองหรือสามรายการและยืนยันว่าตัวระบุตรงกันก่อนเขียนทริกเกอร์ ห้านาทีที่ใช้ไปนั้นสั้นกว่าหนึ่งสัปดาห์ของการแจ้งเตือนที่ยิงกับเหตุการณ์ผิด

การเย็บระบบอัตโนมัติเชื่อมทริกเกอร์ล็อกเหตุการณ์เข้ากับการกระทำ และทริกเกอร์คือที่ที่การเลือกเหตุการณ์ควรอยู่ เพิ่มเฉพาะเงื่อนไขฟิลด์เพิ่มเติมที่ข้อกำหนดของคุณต้องการ ทริกเกอร์ที่กรองบนฟิลด์ชุดเล็กยังคงให้พฤติกรรมที่ยังไม่ถูกทดสอบกับส่วนที่เหลือ

สร้างเนื้อหากระชับจากการแทนที่ที่รองรับ

ในรีลีสที่จัดทำเอกสารการแทนที่ฟิลด์ล็อกสำหรับการกระทำอีเมล เนื้อหาสามารถสั้นและยังมีประโยชน์ รูปแบบด้านล่างเป็นเพียงตัวอย่าง ตรวจสอบชื่อแอตทริบิวต์และไวยากรณ์การแทนที่กับเวอร์ชันเฟิร์มแวร์ของคุณก่อนนำไปใช้

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

เทมเพลตที่แสดงฟิลด์ว่างไม่ได้พิสูจน์ว่าเหตุการณ์ขาดข้อมูลนั้น ตรวจสอบชื่อฟิลด์และไวยากรณ์การแทนที่ก่อน จากนั้นทดสอบกับความล้มเหลวที่ควบคุมได้หนึ่งครั้งและอ่านข้อความจริง เพิ่มข้อมูลระบุตัวอุปกรณ์และเวลาที่เกิด เพื่อให้ผู้ตอบสนองค้นหาบันทึกทั้งหมดได้โดยไม่ต้องเดาว่าหน่วยใดส่งอีเมล

ลดปริมาณโดยไม่ลบบันทึก

การควบคุมอัตรา การจัดกลุ่ม และความสัมพันธ์เป็นของชั้นการส่ง การเพิ่มระดับความรุนแรงอีเมลขั้นต่ำสำหรับทุกอย่างเป็นเครื่องมือทื่อที่ซ่อนเหตุการณ์ที่ไม่เกี่ยวข้อง และการปิดหมวดล็อก VPN นั้นแย่กว่า: เหตุการณ์หยุดถูกบันทึกเลย รักษาปลายทางการบันทึกที่ได้รับอนุมัติและนโยบายการเก็บรักษาไว้ให้เหมือนเดิมทุกประการ และปล่อยให้เส้นทางการแจ้งเตือนเงียบลงแทน บันทึกสิ่งที่คุณระงับไว้ เพราะคนถัดไปจะพบช่องว่างในกล่องจดหมายและต้องรู้ว่ามันเป็นความตั้งใจ

เมื่อเส้นทางใหม่ผ่านการตรวจสอบแล้ว ให้ปลดระวางกฎอีเมลเก่าที่ทับซ้อนผ่านการเปลี่ยนแปลงที่ผ่านการทบทวน การจบลงด้วยสองเส้นทางที่ทั้งคู่ยิง หรือไม่มีเลยเพราะปิดอันเก่าก่อน เป็นผลลัพธ์ปกติของการทำความสะอาดก่อนการทดสอบ

อ่านความล้มเหลวให้เป็นความล้มเหลว

เหตุการณ์ยืนยันตัวตนที่ล้มเหลวไม่ใช่เซสชัน VPN ที่สำเร็จ และชื่อผู้ใช้ในเหตุการณ์ไม่ใช่การระบุตัวบุคคลที่ยืนยันแล้ว เชื่อมโยงสาเหตุกับการเข้าสู่ระบบที่สำเร็จ กิจกรรมผู้ใช้ที่รู้จัก และการพยายามซ้ำก่อนประกาศว่าบัญชีถูกบุกรุก และบอกในการแจ้งเตือนว่าคุณตรวจสอบสิ่งใดในนั้น

ส่งการแจ้งเตือนถึงผู้รับที่ได้รับอนุญาตเท่านั้น ชื่อบัญชี ตัวระบุอุปกรณ์ภายใน และที่อยู่ต้นทางมีความอ่อนไหวเชิงปฏิบัติการ และรายชื่อผู้รับที่โตขึ้นตามความสะดวกจะกลายเป็นเส้นทางรั่วไหล เส้นทางที่ใช้งานได้หนึ่งเส้นทางบวกเส้นทางการตรวจสอบที่สมบูรณ์คือเป้าหมายทั้งหมด