Email lỗi VPN trên FortiGate: lọc trường, không phải nhật ký

Có hai quyết định ẩn trong câu «gửi email cho tôi khi đăng nhập VPN thất bại». Thứ nhất là cách gửi thông báo: một email mỗi sự kiện, bản tóm tắt định kỳ, hay cảnh báo từ bộ thu thập. Thứ hai là nội dung của thông điệp. Sai ở điều thứ nhất làm ngập hộp thư, và sai ở điều thứ hai xóa mất những trường khiến cảnh báo có thể hành động. Không quyết định nào đòi hỏi phải chặn hạng mục nhật ký VPN, và đó chính là lối tắt âm thầm phá hủy dấu vết kiểm toán.

Ba hình thức gửi và khi nào mỗi loại phù hợp

Chọn theo ai phản hồi và nhanh đến đâu, không theo tùy chọn nào dễ cấu hình nhất. Một FortiGate bảo vệ một văn phòng có thể biện minh cho email theo từng sự kiện. Cùng cấu hình đó trên một cổng nhận các nỗ lực nhồi thông tin xác thực bị đánh cắp sẽ tạo ra hàng nghìn thông điệp mỗi ngày và bị lọc vào một thư mục không ai đọc.

Bắt đầu từ bản ghi sự kiện, không phải dòng tiêu đề

Đọc một sự kiện đã lưu tiêu biểu trên phiên bản bạn thực sự chạy. Tài liệu tham chiếu nhật ký FortiOS 7.4.8 xác định lần đăng nhập thất bại tới SSL VPN là sự kiện 39426, và các trường của nó bao gồm action, user, remip, reason, tunneltype và vd. Thiết kế bộ lọc từ tiêu đề email được chuyển tiếp thay vì từ bản ghi đó chính là cách người ta cuối cùng khớp vào một tên trường mà firmware của họ viết khác đi. Mở hai hoặc ba lần thất bại thật và xác nhận các định danh khớp nhau trước khi viết trigger. Năm phút bỏ ra ngắn hơn một tuần cảnh báo bắn nhầm sự kiện.

Một mũi khâu tự động hóa nối trigger nhật ký sự kiện với một hành động, và trigger là nơi lựa chọn sự kiện nên nằm. Chỉ thêm những điều kiện trường bổ sung mà yêu cầu của bạn cần; một trigger lọc trên tập trường nhỏ vẫn cung cấp hành vi chưa được kiểm chứng cho phần còn lại.

Dựng một phần thân gọn từ các thay thế được hỗ trợ

Trong các bản phát hành có tài liệu về thay thế trường nhật ký cho hành động email, phần thân có thể ngắn mà vẫn hữu ích. Hình thức dưới đây chỉ là minh họa; hãy đối chiếu tên thuộc tính và cú pháp thay thế với phiên bản firmware trước khi áp dụng.

config system automation-trigger
    edit "ssl-vpn-login-fail"
        set event-type event-log
        set logid 39426
    next
end

config system automation-action
    edit "mail-vpn-fail"
        set action-type email
        set email-to "[email protected]"
        set email-subject "SSL-VPN login failed"
        set message "Account: %%log.user%% | Source: %%log.remip%% | Reason: %%log.reason%%"
    next
end

Một mẫu hiển thị trường trống không chứng minh rằng sự kiện thiếu dữ liệu đó. Trước hết kiểm tra tên trường và cú pháp thay thế, sau đó thử với một lần thất bại có kiểm soát và đọc thông điệp thực tế. Thêm danh tính thiết bị và thời điểm xảy ra để người phản hồi tìm được bản ghi đầy đủ mà không phải đoán đơn vị nào đã gửi email.

Giảm lưu lượng mà không xóa bản ghi

Kiểm soát tốc độ, nhóm và tương quan thuộc về lớp gửi. Nâng mức nghiêm trọng email tối thiểu cho mọi thứ là một công cụ thô bạo che giấu các sự kiện không liên quan, và tắt hạng mục nhật ký VPN còn tệ hơn: các sự kiện ngừng được ghi hoàn toàn. Giữ nguyên đích ghi nhật ký đã được phê duyệt và chính sách lưu trữ đúng như cũ, và thay vào đó hãy để đường thông báo trở nên yên tĩnh hơn. Ghi lại những gì bạn đã chặn, vì người tiếp theo sẽ thấy một khoảng trống trong hộp thư và cần biết đó là chủ ý.

Khi đường mới đã được xác nhận, hãy loại bỏ mọi quy tắc email cũ chồng lấn thông qua một thay đổi đã được rà soát. Kết thúc với hai đường cùng kích hoạt, hoặc không đường nào kích hoạt vì đường cũ bị tắt trước, là kết quả thường gặp của việc dọn dẹp trước khi thử.

Đọc một thất bại như một thất bại

Một sự kiện xác thực thất bại không phải là một phiên VPN thành công, và tên người dùng trong sự kiện không phải là quy kết đã xác minh cho một người. Tương quan lý do với các lần đăng nhập thành công, hoạt động đã biết của người dùng và các nỗ lực lặp lại trước khi tuyên bố tài khoản bị xâm phạm, và nói trong cảnh báo bạn đã kiểm tra những điểm nào.

Chỉ gửi thông báo cho người nhận được ủy quyền. Tên tài khoản, định danh thiết bị nội bộ và địa chỉ nguồn rất nhạy cảm về vận hành, và một danh sách phân phối lớn dần vì tiện lợi sẽ trở thành đường rò rỉ. Một đường có thể hành động cùng một dấu vết kiểm toán nguyên vẹn là toàn bộ mục tiêu.