Automation stitch를 발생시키는 event 로그 필터링 설정 방법

특정 이벤트 로그가 발생하면 미리 입력한 CLI 명령어를 실행한다거나, 지정된 email address로 mail을 보낸다거나, Slack 이나 FortiExplorer등으로 알림을 보내는등 여러가지 작업을 자동으로 할 수있다.

Security Fabric > Automation 에서 설정가능하다.

위의 예는 이벤트 로그중에 "Virtual WAN Link status (LogID 22923)" 로그가 발생하면 email을 보내는 예이다.

그런데 해당되는 로그가 발생하면 email을 보내기 때문에 원하지 않는 상황에서도 email을 받는등, 너무 많은 email을 수신할 수도 있다.

이런 경우 특정 log field에 대해 필터를 적용시켜서 필터에 매칭되는 로그에 대해서만 Automatoin Stitch를 동작하도록 설정하여 email 발생 횟수를 줄일 수 있다.

위 예는 LogID 22923 로그에 대해 "level" field가 "warning"인 로그만 mail을 보내게 된다.

주의할 점은 위 예의 경우 "warning" 만 보낸다는 것이다. warning보다 낮은 레벨 또는 높은 레벨의 경우 메일을 보내지 않는다. 다른 레벨에 대해서도 메일을 보내려면 Automation Stitch를 따로 설정 해야한다.

다른 field를 추가하여 and 조건으로 필터링 할 수도 있다.

 

Log에 대한 field 정보는 https://docs.fortinet.com에서 각 펌웨어 버전별 "Log Message Reference"확인 가능하다.

https://docs.fortinet.com/document/fortigate/7.0.1/fortios-log-message-reference/770262/event