FortiGate VPN hata e-postası: günlükleri değil alanları filtreleyin

«VPN oturum açma başarısız olduğunda bana e-posta gönder» cümlesinin içinde iki karar saklıdır. Birincisi bildirimin nasıl iletileceğidir: olay başına bir e-posta, düzenli bir özet veya bir toplayıcıdan gelen uyarı. İkincisi mesajın ne içerdiğidir. Birincisinde hata yapmak bir posta kutusunu doldurur, ikincisinde hata yapmak uyarıyı eyleme dönüştürülebilir kılan alanları siler. Kararların hiçbiri VPN günlük kategorisini bastırmayı gerektirmez ve tam da bu, denetim izini sessizce yok eden kısa yoldur.

Üç teslimat biçimi ve hangisi ne zaman uygun

Kimin yanıt verdiğine ve ne kadar hızlı yanıt verebildiğine göre seçin, hangi seçeneğin yapılandırılmasının en kolay olduğuna göre değil. Tek bir ofisi koruyan tek bir FortiGate, olay başına e-postayı haklı çıkarabilir. Aynı yapılandırma, çalıntı kimlik bilgilerini doldurma denemeleri alan bir ağ geçidinde günde binlerce mesaj üretir ve kimsenin okumadığı bir klasöre filtrelenir.

Konu satırından değil olay kaydından başlayın

Gerçekten çalıştırdığınız sürümdeki temsili bir saklanmış olayı okuyun. FortiOS 7.4.8 günlük referansı SSL VPN oturum açma başarısızlığını 39426 olayı olarak tanımlar ve alanları şunları içerir: action, user, remip, reason, tunneltype ve vd. Filtreyi o kayıt yerine iletilmiş bir e-posta konusundan tasarlamak, insanların ürün yazılımlarının farklı yazdığı bir alan adıyla eşleşmesine yol açan yoldur. İki veya üç gerçek başarısızlık açın ve tetikleyici yazmadan önce tanımlayıcıların eşleştiğini doğrulayın. Bunun için harcanan beş dakika, yanlış olayda tetiklenen bir haftalık uyarılardan daha kısadır.

Bir otomasyon dikişi, olay günlüğü tetikleyicisini bir eyleme bağlar ve tetikleyici, olay seçiminin ait olduğu yerdir. Yalnızca gereksiniminizin ihtiyaç duyduğu ek alan koşullarını ekleyin; küçük bir alan kümesinde filtreleyen bir tetikleyici, geri kalanı için yine de test edilmemiş davranış sunar.

Desteklenen değiştirmelerden kompakt bir gövde oluşturun

E-posta eylemleri için günlük alanı değiştirmeyi belgeleyen sürümlerde gövde kısa olabilir ve yine de yararlıdır. Aşağıdaki biçim örnektir; uygulamadan önce öznitelik adlarını ve değiştirme sözdizimini ürün yazılımı sürümünüzle doğrulayın.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Boş bir alan gösteren şablon, olayda o verinin eksik olduğunu kanıtlamaz. Önce alan adını ve değiştirme sözdizimini denetleyin, sonra tek bir kontrollü başarısızlıkla test edin ve gerçek mesajı okuyun. Hangi birimin e-postayı gönderdiğini tahmin etmeden yanıtlayan kişinin tam kaydı bulabilmesi için cihaz kimliğini ve olay zamanını ekleyin.

Kaydı silmeden hacmi sakinleştirin

Hız denetimi, gruplama ve korelasyon teslimat katmanına aittir. Her şey için minimum e-posta önem derecesini yükseltmek, ilgisiz olayları gizleyen künt bir araçtır ve VPN günlük kategorisini kapatmak daha kötüdür: olaylar artık hiç yazılmaz. Onaylanmış günlük hedefini ve saklama ilkesini tam olarak olduğu gibi koruyun, ve bunun yerine bildirim yolunun daha sessiz olmasına izin verin. Neyi bastırdığınızı belgeleyin, çünkü bir sonraki kişi posta kutusunda bir boşluk bulacak ve bunun kasıtlı olduğunu bilmesi gerekecek.

Yeni yol doğrulandığında, örtüşen her eski e-posta kuralını gözden geçirilmiş bir değişiklikle kaldırın. İkisinin de tetiklendiği iki yolla ya da eskisi önce kapatıldığı için hiçbirinin tetiklenmediği bir durumla bitirmek, temizliği testten önce yapmanın yaygın bir sonucudur.

Başarısızlığı başarısızlık olarak okuyun

Başarısız bir kimlik doğrulama olayı başarılı bir VPN oturumu değildir ve bir olaydaki kullanıcı adı bir kişiye doğrulanmış atıf değildir. Bir hesabı ele geçirilmiş ilan etmeden önce nedeni başarılı oturum açmalarla, bilinen kullanıcı etkinliğiyle ve yinelenen denemelerle ilişkilendirin ve uyarıda bunlardan hangilerini denetlediğinizi söyleyin.

Bildirimi yalnızca yetkili alıcılara gönderin. Hesap adları, dahili cihaz tanımlayıcıları ve kaynak adresler operasyonel olarak hassastır ve kolaylık nedeniyle büyüyen bir dağıtım listesi sızıntı yoluna dönüşür. Eyleme dönüştürülebilir tek bir yol artı sağlam bir denetim izi, hedefin tamamıdır.