Exemples

Cette page présente quelques scénarios réels et vous guide sur la manière de configurer l’exportateur de journaux pour votre cas d’usage.

Exemple 1 : informations générales d’authentification

Portée et hypothèses

La portée de la requête fournie ci-dessous est la suivante :

• l’administrateur souhaite comprendre quels utilisateurs/appareils s’authentifient (acceptés ou rejetés) et établir des statistiques de fréquence à partir de cela
• aucun marquage VLAN n’est utilisé
• seule l’authentification basée sur certificat est utilisée (pas d’authentification basée sur nom d’utilisateur et mot de passe)

Cible

Log Analytics ou General Webhook

Configuration du filtre des messages

Moteur de règles

Niveau de journalisation	Activé
Succès	Faux
Échec	Faux
Erreur	Faux

Système d’autorisation

Niveau de journalisation	Activé
Requêtes	Faux
Succès	Vrai
Échec	Vrai
Erreur	Faux

Authentification par proxy

Niveau de journalisation	Activé
Connexions	Faux
Succès	Faux
Échec	Faux
Erreur	Faux

Configuration des données

{
    "Decision": {{ data.get("Packet-Type") }},
    "Level": {{ data.level }},
    "IP": {{ data.get("Packet-Dst-Address") }},
    "Username": {{ data.get("User-Name") }},
    {% if data.get("TLS-OCSP-Cert-Valid") != None %}
        "OCSPStatus": {{ data.get("TLS-OCSP-Cert-Valid") }},
    {% endif %}
    {% if data.level == "warning" %}
      "FailReason": {{ data.get("Module-Failure-Message") }},
    {% endif %}
    "Datetime" : {{ data.Datetime }}
}

Exemple 2 : informations détaillées d’authentification

Portée et hypothèses

La portée de la requête fournie ci-dessous est la suivante :

• l’administrateur souhaite comprendre quels utilisateurs/appareils s’authentifient via certificat ou nom d’utilisateur et mot de passe (acceptés ou rejetés)
• détails du nom d’utilisateur et du certificat avec réponse OCSP
• SSID et point d’accès utilisé (adresse MAC)
• RADIUSaaS Règle qui a été déclenchée, le cas échéant : VLAN attribué
• ID de corrélation pour une enquête plus approfondie

Cible

Log Analytics ou General Webhook

Configuration du filtre des messages

Moteur de règles

Niveau de journalisation	Activé
Succès	Vrai
Échec	Vrai
Erreur	Faux

Système d’autorisation

Niveau de journalisation	Activé
Requêtes	Faux
Succès	Faux
Échec	Faux
Erreur	Faux

Authentification par proxy

Niveau de journalisation	Activé
Connexions	Faux
Succès	Faux
Échec	Faux
Erreur	Faux

Configuration des données

{
    "Decision": {{ data.get("Engine-Decision") }},
    "Datetime" : {{ data.Datetime }},
    "Level": {{ data.level }},
    "Authtype": {{ data.get("Authtype") }},
    "Client-MAC": {{ data.get("Client-MAC") }},
    "Username": {{ data.get("User-Name") }},
    "Applied-Rule": {{ data.get("Applied-Rule") }},
    "VLAN": {{ data.get("Assigned-VLAN", "Aucun VLAN attribué") }},
    "Auth-Source-Type": {{ data.get("Auth-Source-Type") }},
    {% if data.get("Auth-Source-Type") == "WiFi" %}
        "SSID": {{ data.get("SSID") }},
        "AP-MAC": {{ data.get("AP-MAC") }},
    {% endif %}
    {% if data.get("Authtype") == "Certificate" %}
        "Certificate-CommonName": {{ data.get("Certificate-Details", {}).get("TLS-Cert-Common-Name") }},
        "Certificate-Serial": {{ data.get("Certificate-Details", {}).get("TLS-Client-Cert-Serial") }},
    {% endif %}
    {% if data.get("Verify-Result") != None %}
        "Verify-Result": {{ data.get("Verify-Result") }},
        "Verify-Status": {{ data.get("Verify-Status") }},
        "Verify-Type": {{ data.get("Verify-Type") }},
        "Verify-Description": {{ data.get("Verify-Description") }},
    {% endif %}
    {% if data.get("Reject-Description") != None %}
        "Reject-Description": {{ data.get("Reject-Description") }},
    {% endif %}
    "GKG-Correlation-Id": {{ data.get("GKG-Correlation-Id") }}
}

Exemple 3 : notifications générales d’erreur

Portée et hypothèses

La portée de la requête fournie ci-dessous est la suivante :

• l’administrateur souhaite recevoir des notifications proactives concernant les erreurs sur la plateforme RADIUSaaS pour l’équipe des opérations.

Cible

Teams ou Log Analytics ou General Webhook

Configuration du filtre des messages

Moteur de règles

Niveau de journalisation	Activé
Succès	Faux
Échec	Faux
Erreur	Faux

Système d’autorisation

Niveau de journalisation	Activé
Requêtes	Faux
Succès	Faux
Échec	Faux
Erreur	Vrai

Authentification par proxy

Niveau de journalisation	Activé
Connexions	Faux
Succès	Faux
Échec	Faux
Erreur	Vrai

Configuration des données

Teams

Le système RADIUS rencontre des problèmes !
Message : {{ data.get('message') }}

Données brutes :
{{ data }}

Log Analytics ou General Webhook

{
    "Message": {{ data.get("message") }},
    "Datetime" : {{ data.get("Datetime") }},
    "Level": {{ data.get("level") }},
    "Type": {{ data.get("type", "non applicable") }}
}