Действия

Действия, созданные в разделе "Действия", будут выполняться при выполнении определенных условий правил (описанных в разделе "Правила").

Этот раздел представляет таблицу действий с возможностью фильтрации действий по необходимым параметрам:

В правом верхнем углу экрана находится кнопка для создания нового действия "Создать новое действие".

Список доступных действий:

1. Добавить в карантин Fortigate:

   • Содержит следующие поля:
     • Название действия
     • URL Fortigate
     • Токен API Fortigate
     • Отключение IP-адреса на определенный период
     • Список флагов (проверка соединения, включение ограничения скорости и т. д.)

2. Добавить в поток угроз Fortigate:

   • Содержит следующие поля:
     • Название действия
     • URL Fortigate
     • Токен API Fortigate
     • Название потока
     • Отключение IP-адреса на определенный период
     • Список флагов (проверка соединения, включение ограничения скорости и т. д.)

3. Выдать штраф:

   • Содержит следующие поля:
     • Название действия
     • Число для увеличения уровня штрафа
     • Время истечения штрафа
     • Список флагов (включить ограничение скорости; игнорировать список разрешенных (действие будет выполнено, даже если IP находится в списке разрешенных); включить режим отладки (в режиме отладки действие не будет выполнено); не показывать на панели управления)

4. Отправить уведомление по email:

   • Содержит следующие поля:
     • Название действия
     • Email-адрес для отправки уведомления
     • Список флагов (включить ограничение скорости; игнорировать список разрешенных (действие будет выполнено, даже если IP находится в списке разрешенных); включить режим отладки (в режиме отладки действие не будет выполнено); не показывать на панели управления)

5. Добавить в выбранный список:

   • Содержит следующие поля:
     • Название действия
     • Выбор списка
     • Список флагов (включить ограничение скорости; игнорировать список разрешенных (действие будет выполнено, даже если IP находится в списке разрешенных); включить режим отладки (в режиме отладки действие не будет выполнено); не показывать на панели управления)

В правом углу каждой строки созданного действия доступна функциональность:

1. Редактировать действие
2. Удалить действие
3. Принудительное выполнение действия для указанного IP-адреса
   Для этого:
   • Укажите IP-адрес, к которому должно быть применено выбранное действие.
   • Нажмите кнопку "Выполнить принудительно"

Инструкции по использованию

1. Составьте список предлагаемых действий для отслеживаемых событий.
2. Нажмите кнопку "Создать новое действие".
3. Определите необходимый тип действия:
   1. Список карантина Fortigate (fortigate_ban)
   2. Увеличение штрафа (increase_penalty)
   3. Уведомление по email (email_notification)
   4. Добавить в список (add_to_list)
   5. Поток угроз Fortigate (fortigate_threat_feed)
4. Выберите тип действия и заполните поля.
5. Нажмите кнопку "Сохранить", чтобы сохранить.
6. Чтобы отредактировать действие, нажмите кнопку
7. Чтобы удалить действие, нажмите кнопку

Создание действия для добавления IP-адреса в карантин на Fortigate

Настройки Fortigate

Для создания Действия по добавлению IP-адреса в карантин на Fortigate требуется предварительная подготовка:

На Fortigate перейдите к

System-Admin profiles

1. Создайте профиль System-admin со следующими настройками:

2. Перейдите к System-Administrators и создайте REST API Admin со следующими параметрами:

3. Сохраните новый API-ключ в безопасное место.

4. Проверьте подключение к Fortigate:

   • На Fortigate перейдите к System-Settings и проверьте значение порта в

Administrative settings -- HTTPS port. 

Указанный порт будет использоваться далее.

5. Если вы используете TiSoarNG вне периметра вашей сети, настройте доступ к Fortigate извне.

   • На Fortigate перейдите к

   Network-Interfaces-WAN
   

   и включите

   HTTPS в настройках Administrative access settings.

   Убедитесь, что удаленный Firewall позволяет трафик к административному порту вашего Fortigate от удаленного TiSoarNG.

Настройки Fortigate завершены. Перейдите к TiSoarNG.

Настройки на TiSoarNG

Для создания Действия откройте TiSoarNG и перейдите к Действиям.

В правом верхнем углу нажмите "Создать новое действие" -- Fortigate: Добавить в карантин

Заполните необходимые поля:

Рекомендуется оставить включенным параметр "Проверка соединения перед сохранением". В этом случае перед сохранением TiSoarNG попытается заблокировать и разблокировать адрес. Если проверка успешна, действие будет сохранено; в противном случае появится сообщение об ошибке. Рекомендуется включить "Ограничение скорости" и установить его на 1 выполнение каждые 300 секунд. Эта настройка поможет ограничить нагрузку на TiSoarNG и Fortigate во время активной атаки, предотвращая выполнение этого действия более одного раза за 300 секунд для одного IP-адреса.

После успешного сохранения Действия назначьте его соответствующему Правилу для выполнения.

Экспорт CSV файла с деталями действий

При нажатии на следующую кнопку:

Вы можете экспортировать действия, отображённые после применения нужных фильтров, в формате CSV.

Каждое действие будет отображаться в отдельной строке, а все значения, относящиеся к этому действию, будут размещены в одной ячейке в виде непрерывной строки, где каждая деталь отделена двоеточием (:).

Значения, которые будут отображаться для каждого действия в CSV файле:

• ID
• Name
• Type
• Key
• Rate Limit Enabled
• Rate Limit Tries
• Rate Limit Window
• Debug Mode
• Ignore Allowlist (true или false)
• Hide From Dashboard (true или false)
• Add To List TTL
• Add To List Name
• Add To List ID
• Policy Names
• Policy Filters
• Inserted At (дата и время добавления действия в систему)
• Updated At (дата последнего изменения действия)