Лист про збій VPN на FortiGate: фільтруйте поля, а не журнали

Виберіть форму повідомлення, зберіть його з полів події 39426, а потім знизьте обсяг, не вимикаючи категорію журналу VPN чи слід аудиту.

У фразі «надішли мені листа, коли вхід у VPN не вдасться» сховано два рішення. Перше — як доставляється повідомлення: один лист на подію, періодичний підсумок або оповіщення від збирача. Друге — що містить повідомлення. Помилка в першому заливає поштову скриньку, а помилка в другому видаляє поля, які роблять оповіщення дієвим. Жодне з рішень не потребує придушення категорії журналу VPN, і це той короткий шлях, який тихо знищує слід аудиту.

Три форми доставки і коли кожна підходить

ФормаПідходить, колиВартість
Лист автоматизації на кожну подіюмалий обсяг, реагує одна командасплеск спроб перетворюється на поток листів
Плановий підсумокрутинний огляд, спостереження за трендаминіхто не бачить спроби в процесі
Оповіщення збирача з кореляцієювеликий обсяг, спільний SOCще одна система, яку треба годувати й налаштовувати

Вибирайте за тим, хто реагує і наскільки швидко він це може, а не за тим, який варіант простіше налаштувати. Один FortiGate, що захищає один офіс, може виправдати лист на кожну подію. Та сама конфігурація на шлюзі, що приймає спроби підстановки викрадених облікових даних, породжує тисячі повідомлень на день і потрапляє у фільтр теки, яку ніхто не читає.

Почніть із запису події, а не з рядка теми

Прочитайте репрезентативну збережену подію у версії, яку ви справді експлуатуєте. Довідник журналів FortiOS 7.4.8 визначає невдалий вхід у SSL VPN як подію 39426, а його поля включають action, user, remip, reason, tunneltype і vd. Проєктувати фільтр із пересланої теми листа замість цього запису — це шлях, яким люди зрештою зіставляють ім’я поля, яке їхня прошивка пише інакше. Відкрийте два або три реальні збої та підтвердьте збіг ідентифікаторів, перш ніж писати тригер. П’ять хвилин на це коротші за тиждень оповіщень, що спрацьовують на неправильну подію.

Стежок автоматизації з’єднує тригер журналу подій із дією, і тригер — це місце, де має бути вибір події. Додавайте лише ті додаткові умови полів, яких потребує ваша вимога; тригер, що фільтрує за невеликим набором полів, для решти все одно дає неперевірену поведінку.

Зберіть компактне тіло з підтримуваних підстановок

У версіях, де задокументовано підстановку полів журналу для дій з поштою, тіло може бути коротким і водночас корисним. Форма нижче — ілюстративна; звірте назви атрибутів і синтаксис підстановки з версією прошивки, перш ніж застосовувати її.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Шаблон, що показує порожнє поле, не доводить, що в події цих даних не було. Спершу перевірте ім’я поля та синтаксис підстановки, потім випробуйте на одному контрольованому збої й прочитайте фактичне повідомлення. Додайте ідентичність пристрою та час події, щоб той, хто реагує, знайшов повний запис, не вгадуючи, який пристрій надіслав лист.

Знизьте обсяг, не видаляючи запис

Обмеження частоти, групування та кореляція належать до рівня доставки. Підвищення мінімальної важливості листів для всього — грубий інструмент, що приховує непов’язані події, а вимкнення категорії журналу VPN гірше: події взагалі перестають записуватися. Збережіть затверджене місце призначення журналів і політику зберігання точно такими, якими вони були, і натомість дайте шляху оповіщень стати тихішим. Задокументуйте, що ви придушили, бо наступна людина знайде прогалину в скриньці й має знати, що це було навмисно.

Коли новий шлях перевірено, виведіть будь-яке перекривне старе правило пошти через розглянуту зміну. Закінчити двома шляхами, які обидва спрацьовують, або жодним, бо старий вимкнули першим, — звичайний результат прибирання до тесту.

Читайте збій як збій

Невдала подія автентифікації — не успішний сеанс VPN, а ім’я користувача в події — не підтверджена належність людині. Зіставте причину з успішними входами, відомою активністю користувача й повторними спробами, перш ніж оголосити обліковий запис скомпрометованим, і скажіть в оповіщенні, що з цього ви перевірили.

Надсилайте оповіщення лише уповноваженим отримувачам. Імена облікових записів, внутрішні ідентифікатори пристроїв і адреси джерела оперативно чутливі, а список розсилки, що зростає заради зручності, стає шляхом витоку. Один дієвий шлях плюс цілий слід аудиту — ось уся мета.

Схожі статті