Email ng pagkabigo ng VPN sa FortiGate: i-filter ang mga field, hindi ang mga log

May dalawang desisyon na nakatago sa «padalhan mo ako ng email kapag nabigo ang pag-login sa VPN». Ang una ay kung paano inihahatid ang abiso: isang email kada event, pana-panahong buod, o alerto mula sa isang collector. Ang pangalawa ay kung ano ang nilalaman ng mensahe. Ang mali sa una ay nagpapaapaw sa isang mailbox, at ang mali sa pangalawa ay nagbubura ng mga field na nagpapaging magagamit ang alerto. Wala sa dalawang desisyon ang nangangailangan ng pagsugpo sa kategorya ng log ng VPN, at iyon ang shortcut na tahimik na sumisira sa trail ng audit.

Tatlong hugis ng paghahatid at kung kailan bagay ang bawat isa

Pumili batay sa sino ang tumutugon at gaano kabilis niya itong magagawa, hindi batay sa kung aling opsyon ang pinakamadaling i-configure. Maaaring bigyang-katwiran ng isang FortiGate na nagpoprotekta sa isang opisina ang email kada event. Ang parehong configuration sa isang gateway na tumatanggap ng mga pagtatangkang magpuno ng ninakaw na kredensyal ay gumagawa ng libu-libong mensahe kada araw at na-filter sa isang folder na walang nagbabasa.

Magsimula sa record ng event, hindi sa linya ng paksa

Basahin ang isang kinatawang naka-store na event sa release na talagang pinapatakbo mo. Tinutukoy ng FortiOS 7.4.8 log reference ang nabigong pag-login sa SSL VPN bilang event 39426, at kasama sa mga field nito ang action, user, remip, reason, tunneltype at vd. Ang pagdidisenyo ng filter mula sa isang forwarded na paksa ng email sa halip na mula sa record na iyon ay ang paraan kung paano nauuwi ang mga tao sa pagtutugma sa isang pangalan ng field na iba ang ispeling ng kanilang firmware. Magbukas ng dalawa o tatlong tunay na kabiguan at kumpirmahin na tumutugma ang mga identifier bago magsulat ng trigger. Ang limang minutong kailangan nito ay mas maikli kaysa sa isang linggong alerto na pumapaputok sa maling event.

Ang tahi ng automation ay nag-uugnay ng trigger ng event log sa isang aksyon, at ang trigger ang lugar kung saan dapat naroon ang pagpili ng event. Magdagdag lamang ng mga karagdagang kondisyon ng field na kailangan ng iyong pangangailangan; ang trigger na nag-filter sa maliit na hanay ng mga field ay naghahatid pa rin ng hindi pa nasubukang pag-uugali para sa iba.

Bumuo ng compact na katawan mula sa mga sinusuportahang kapalit

Sa mga release na nagdodokumento ng pagpapalit ng field ng log para sa mga aksyon ng email, maaaring maging maikli ang katawan at kapaki-pakinabang pa rin. Ang hugis sa ibaba ay ilustratibo; kumpirmahin ang mga pangalan ng attribute at ang syntax ng pagpapalit laban sa iyong bersyon ng firmware bago ito gamitin.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Ang template na nagpapakita ng walang laman na field ay hindi nagpapatunay na kulang ang event sa datos na iyon. Suriin muna ang pangalan ng field at ang syntax ng pagpapalit, pagkatapos subukan gamit ang isang kontroladong kabiguan at basahin ang tunay na mensahe. Magdagdag ng pagkakakilanlan ng device at oras ng pangyayari upang mahanap ng tumutugon ang buong record nang hindi hinuhulaan kung aling unit ang nagpadala ng email.

Patahimikin ang dami nang hindi binubura ang record

Ang pagkontrol ng rate, pag-grupo at correlation ay kabilang sa layer ng paghahatid. Ang pagtaas ng minimum na bigat ng email para sa lahat ay isang blunt na kasangkapan na nagtatago ng mga walang kaugnayang event, at ang pagpatay sa kategorya ng log ng VPN ay mas malala: tuluyang humihinto ang pag-record ng mga event. Panatilihin ang aprubadong destinasyon ng pag-log at ang patakaran sa pagpapanatili nang eksakto tulad ng dati, at hayaan ang landas ng abiso na maging mas tahimik sa halip. I-dokumento ang iyong pinigil, dahil makakahanap ang susunod na tao ng butas sa mailbox at kailangang malaman na ito ay sinadya.

Kapag napatunayan na ang bagong landas, alisin ang anumang lumang patakaran ng email na nagsasapawan sa pamamagitan ng isang sinuri na pagbabago. Ang magtapos na may dalawang landas na parehong pumapaputok, o wala kahit isa dahil nauna itong pinatay, ay karaniwang resulta ng paglilinis bago ang pagsubok.

Basahin ang kabiguan bilang kabiguan

Ang nabigong event ng authentication ay hindi isang matagumpay na sesyon ng VPN, at ang username sa isang event ay hindi beripikadong pag-atribusyon sa isang tao. I-correlate ang dahilan sa mga matagumpay na pag-login, kilalang aktibidad ng gumagamit at paulit-ulit na pagtatangka bago ideklarang kompromiso ang isang account, at sabihin sa alerto kung alin sa mga iyon ang sinuri mo.

Ipadala ang abiso lamang sa mga awtorisadong tatanggap. Ang mga pangalan ng account, panloob na identifier ng device at source address ay sensitibo sa operasyon, at ang listahan ng distribusyon na lumalaki dahil sa kaginhawahan ay nagiging landas ng pagtagas. Isang magagamit na landas kasama ang isang buo pang trail ng audit ang buong layunin.