FortiGate VPN xatosi haqida xat: jurnallarni emas, maydonlarni filtrlang

«VPN kirishi muvaffaqiyatsiz bo‘lsa, menga xat yubor» jumlasida ikkita qaror yashiringan. Birinchisi — bildirishnoma qanday yetkaziladi: har bir hodisa uchun bitta xat, davriy xulosa yoki yig‘uvchidan kelgan ogohlantirish. Ikkinchisi — xabar nima saqlaydi. Birinchisida xato qilsangiz, pochta qutisi to‘lib ketadi, ikkinchisida xato qilsangiz, ogohlantirishni amalga oshirish mumkin qiladigan maydonlar o‘chib ketadi. Ikkala qaror ham VPN jurnal toifasini bostirishni talab qilmaydi, va aynan shu audit izini jimgina yo‘q qiladigan qisqa yo‘ldir.

Yetkazishning uch shakli va qaysi biri qachon mos keladi

Kim javob berishiga va qanchalik tez javob bera olishiga qarab tanlang, qaysi variantni sozlash osonroq ekaniga qarab emas. Bitta ofisni himoya qiladigan bitta FortiGate har bir hodisa uchun xatni oqlashi mumkin. O‘g‘irlangan hisob ma’lumotlarini to‘ldirish urinishlarini qabul qiladigan shlyuzda xuddi shu konfiguratsiya kuniga minglab xabar ishlab chiqaradi va hech kim o‘qimaydigan jildga filtrlanadi.

Hodisa yozuvidan boshlang, mavzu satridan emas

Haqiqatan ishlatayotgan versiyangizdagi vakillik saqlangan hodisani o‘qing. FortiOS 7.4.8 jurnal ma’lumotnomasi SSL VPN ga kirishning muvaffaqiyatsizligini 39426 hodisasi deb belgilaydi va uning maydonlariga quyidagilar kiradi: action, user, remip, reason, tunneltype va vd. Filtrni o‘sha yozuv o‘rniga yo‘naltirilgan xat mavzusidan loyihalash — odamlarning firmware boshqacha yozadigan maydon nomiga moslashib qolishining yo‘li. Ikki-uch haqiqiy muvaffaqiyatsizlikni ochib, trigger yozishdan oldin identifikatorlar mos kelishini tasdiqlang. Bunga ketadigan besh daqiqa noto‘g‘ri hodisaga otiladigan bir haftalik ogohlantirishlardan qisqaroq.

Avtomatlashtirish choki hodisalar jurnali triggerini amal bilan bog‘laydi va trigger — hodisa tanlovi bo‘lishi kerak bo‘lgan joy. Faqat talabingizga kerak bo‘lgan qo‘shimcha maydon shartlarini qo‘shing; kichik maydonlar to‘plami bo‘yicha filtrlaydigan trigger qolganlar uchun baribir sinalmagan xatti-harakat beradi.

Qo‘llab-quvvatlanadigan almashtirishlardan ixcham tana quring

Xat amallari uchun jurnal maydonlarini almashtirish hujjatlashtirilgan versiyalarda tana qisqa bo‘lishi va baribir foydali bo‘lishi mumkin. Quyidagi shakl illyustrativ; qo‘llashdan oldin atribut nomlari va almashtirish sintaksisini firmware versiyangiz bilan solishtiring.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Bo‘sh maydonni ko‘rsatadigan shablon hodisada bu ma’lumotlar yo‘qligini isbotlamaydi. Avval maydon nomi va almashtirish sintaksisini tekshiring, so‘ngra bitta nazorat qilinadigan muvaffaqiyatsizlik bilan sinab ko‘ring va haqiqiy xabarni o‘qing. Qaysi qurilma xat yuborganini taxmin qilmasdan javob beruvchi to‘liq yozuvni topishi uchun qurilma identifikatori va hodisa vaqtini qo‘shing.

Yozuvni o‘chirmasdan hajmni tinchlantiring

Tezlikni nazorat qilish, guruhlash va korrelyatsiya yetkazish qatlamiga tegishli. Hamma narsa uchun minimal xat jiddiyligini oshirish — bog‘liq bo‘lmagan hodisalarni yashiradigan qo‘pol vosita, VPN jurnal toifasini o‘chirish esa undan yomonroq: hodisalar umuman yozilmay qo‘yadi. Tasdiqlangan jurnal manzilini va saqlash siyosatini avvalgidek aniq saqlang, va buning o‘rniga bildirishnoma yo‘li tinchroq bo‘lsin. Nimani bostirganingizni hujjatlashtiring, chunki keyingi odam pochta qutisida bo‘shliq topadi va bu ataylab qilinganini bilishi kerak.

Yangi yo‘l tasdiqlangach, bir-biriga ustma-ust tushadigan har qanday eski xat qoidasini ko‘rib chiqilgan o‘zgartirish orqali bekor qiling. Ikkala yo‘lning ham ishga tushishi yoki eskisi birinchi o‘chirilgani uchun hech birining ishga tushmasligi — sinovdan oldin tozalash qilishning odatiy natijasi.

Muvaffaqiyatsizlikni muvaffaqiyatsizlik deb o‘qing

Muvaffaqiyatsiz autentifikatsiya hodisasi muvaffaqiyatli VPN seansi emas, hodisadagi foydalanuvchi nomi esa shaxsga tasdiqlangan nisbat emas. Hisob buzilgan deb e’lon qilishdan oldin sababni muvaffaqiyatli kirishlar, ma’lum foydalanuvchi faoliyati va takroriy urinishlar bilan bog‘lang va ogohlantirishda ulardan qaysilarini tekshirganingizni ayting.

Bildirishnomani faqat vakolatli qabul qiluvchilarga yuboring. Hisob nomlari, qurilmalarning ichki identifikatorlari va manba manzillari operatsion jihatdan nozik, qulaylik uchun o‘sadigan tarqatish ro‘yxati esa oqib ketish yo‘liga aylanadi. Bitta amalga oshirish mumkin bo‘lgan yo‘l va butun audit izi — bu butun maqsad.