Wechseln zu:Navigation, Suche
Wiki


































{{var | 1=Status--desc

       | 2=Grüne Kontroll-Lampe bei einwandfreier Funktion. Zusätzliche Hinweise beim hovern: Die Anwendung 'Alerting Center' ist aktiviert.
Die Anwendung 'Mailrelay' ist aktiviert.
Weitere Informationen können im Anwendungsstatus-Dialog gefunden werden.

Siehe auch das Wiki für das Mailrelay. | 3=Green control lamp when functioning properly. Additional notes when hovering: The 'Alerting Centre' application is activated.
The 'Mailrelay' application is activated.
Further information can be found in the application status dialogue.





















































































De.png
En.png
Fr.png








Funktion, Einrichtung und Konfiguration des Alerting Centers
Letzte Anpassung zur Version: 12.5.0
Neu:
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

12.4 12.2 11.8.8

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115
→ Alerting Center 


Einleitung

Das Alerting Center versendet Automatisch E-Mails mit Log-Ereignissen. Damit wird eine Überwachung der Log-Ereignisse eingerichtet und so das Monitoring vereinfacht. Fehlermeldungen können an den Admin weitergeleitet werden, bevor es zu einer Fehlfunktion kommt bzw. eine Fehlfunktion kann schneller bemerkt werden.

Das Alerting Center ist als Standard immer aktiv, sobald eine gültige E-Mail-Adresse hinterlegt und das Mailrelay korrekt konfiguriert wurde.
Das Alerting Center schickt Benachrichtigungen per Mail an die globale E-Mailadresse.
Es gibt

  • umgehende Berichte, die sofort bei Eintreten eines Ereignisses versendet werden und
  • regelmäßige Berichte, die in einem festen Zeitraum versendet werden.
Verschiedenen Ereignissen können Priority-Gruppen zugeordnet werden



Voraussetzungen

Damit das Alerting-Center Nachrichten versenden kann, muss das Mailrelay konfiguriert sein.
Wenn kein eigener Mail-Server oder keine feste öffentliche IP-Adresse zur Verfügung steht kann im Menü → Anwendungen →Mailrelay ein Smarthost konfiguriert werden.


Konfiguration

Menüpunkt → Alerting Center 

Allgemein

Beschriftung Default: Beschreibung UTM v12.4 Alertingcenter Allgemein.png
Alerting Center - Allgemein
Status:
Empfänger: admin@ttt-point.de Hier muss eine gültige Mail-Adresse stehen.
Diese wird im Menü → Netzwerk →ServereinstellungenReiter ServereinstellungenGlobale E-Mail Adresse eingestellt.
Absender: spalertd@firewall.ttt-point.local Die Absenderadresse lässt sich frei konfigurieren.
Vorgabe ist spalertd@firewallname

Umgehender E-Mail Bericht

Aktiviert: Ja Per Default werden Umgehende E-Mail Berichte versendet UTM v12.4 Alerting Center Umgehender E-Mail Bericht.png
UTM v12.4 Alerting Center Umgehender E-Mail Bericht.png
Alternativer Empfänger:     Hier kann ein alternativer Empfänger hinterlegt werden
Benachrichtigungstypen: Level 5 - Dringende Warnung
Level 6 - Fehler
Level 7 - Kritisch
Level 8 - Alarm
Level 9 - Notfall
In der Klick-Box können weitere Priority-Gruppen ausgewählt werden.

Bei Eintritt eines Ereignisses oder Überschreitung eines Schwellenwertes, das bzw. der der mit dieser Gruppe verknüpft wurde wird umgehend eine E-Mail versendet.

1. Level 1 - Debug 6. Level 6 - Fehler
2. Level 2 - Info 7. Level 7 - Kritisch
3. Level 3 - Notiz 8. Level 8 - Alarm
4. Level 4 - Warnung 9. Level 9 - Notfall
5. Level 5 - Dringende Warnung
  1. Level 1 - Debug
  2. Level 2 - Info
  3. Level 3 - Notiz
  4. Level 4 - Warnung
  5. Level 5 - Dringende Warnung
  6. Level 6 - Fehler
  7. Level 7 - Kritisch
  8. Level 8 - Alarm
  9. Level 9 - Notfall
Maximale Anzahl: 10Link= Berichte Umgehende Berichte für die gleiche Fehlermeldung innerhalb eines Zeitfensters
Zeitfenster: 60Link= Minuten Zeitraum, nachdem erneut Berichte gesendet werden, bis die maximale Anzahl erreicht ist.

Regelmäßiger E-Mail Bericht

Aktiviert: Ja Per Default werden regelmäßige E-Mail Berichte versendet.
Dies geschieht nur, wenn irgendein Ereignis mit einem Log-Level eingetreten ist. Andernfalls wird kein Bericht versendet. Wird trotzdem ein Bericht gewünscht, kann dies über den Unified Security Report dargestellt werden.
UTM v12.4 Alerting Center Regelmässiger E-Mail Bericht.png
Alerting Center - Regelmässiger E-Mail Bericht
Alternativer Empfänger:     Hier kann ein alternativer Empfänger hinterlegt werden
Benachrichtigungstypen: Level 2 - Info
Level 3 - Notiz
Level 4 - Warnung
Level 5 - Dringende Warnung
Level 6 - Fehler
Level 7 - Kritisch
Level 8 - Alarm
Level 9 - Notfall
In der Klick-Box können weitere Priority-Gruppen aus- oder abgewählt werden.
Ereignisse, die mit diesen Syslog-Gruppen konfiguriert wurden, werden in einer regelmäßig versendeten Mail aufgeführt.
Datum: Mo Di Mi Do Fr Sa So
08 : 30
Mit Klick auf die Wochentage können diese an- oder abgewählt werden.

HTTP Request

HTTP Request
Aktiviert: Nein Per default deaktiviert.
Wenn aktiviert können HTTP-Requests versendet werden. Dabei übermittelt das Alertingcenter einen HTTP-Request an eine festgelegte Adresse mit definiertem Inhalt.
UTM v12.4 Alertingcenter HTTP Request.png
Alerting Center - HTTP Request
Benachrichtigungstypen:     In der Klickbox können die Benachrichtigungstypen ausgewählt werden.
Inhalt:     Hier wird der Inhalt festgelegt, wobei der Aufbau folgendermaßen aussehen soll:

<init> URL=xxx METHOD=xxx CONTENT_TYPE=xxx <body> My message. </body> </init>

Definition Platzhalter
Allgemein
Status/Severity @@SEVERITY@@
Datum mit Uhrzeit @@DATE@@
Quelle @@SOURCE@@
generelle Nachricht @@MESSAGE@@
collectd spezifisch
aktueller Wert @@CURRENT_VALUE@@
Instanz/Plugin @@INSTANCE@@
gesetzter Grenzwert @@LIMIT@@
Dauer der Grenzüberschreitung @@OVER_LIMIT@@
syslog spezifisch
Programm der Lognachricht @@PROGRAMM@@
Gruppe der gefundenen Pattern @@GROUP@@
Nachricht der Gruppe @@GROUP_MSG@@
Pattern-Name @@PATTERN@@
Nachricht der Pattern @@PATTERN_MSG@@
Log-ID der Lognachricht @@LOG_ID@@

Musterbeispiel mit einem kostenpflichtigen Dienst (hier: Pushover), der seinerseits die Nachrichten an eine Handy-App weiterleiten kann:
<init> URL=https://api.pushover.net/1/messages.json METHOD=POST CONTENT_TYPE=application/x-www-form-urlencoded <body> token=xxx&user=xxx&message=Created with Template Datum: @@DATE@@ Quelle: @@SOURCE@@ Schwere: @@SEVERITY@@ Nachricht: @@MESSAGE@@ Weitere Informationen: (Collectd) Aktueller Wert: @@CURRENT_VALUE@@ Instance: @@INSTANCE@@ Grenzwert: @@LIMIT@@ Überschritten seit: @@OVER_LIMIT@@ (Syslog) Programm: @@PROGRAM@@ Gruppe: @@GROUP@@ Gruppen-Nachricht: @@GROUP_MSG@@ Pattern-Name: @@PATTERN@@ Pattern-Nachricht: @@PATTERN_MSG@@ Log-ID: @@LOG_ID@@ </body> </init>

  • Eine Test-Benachrichtigung kann man am einfachsten absetzen, indem man den Schwellenwert 1 für Speicherplatz (DF) auf 99% setzt und "Level 4 - Warnung" und/oder "Level 6 - Fehler" über den HTTP-Request anzeigen lässt.

  • Nach dem Test muss der Wert für Speicherplatz (DF) wieder auf den ursprünglichen Wert zurückgesetzt werden.
  • Benachrichtigungen

     Benachrichtigungen 
    Es gibt zwei verschiedene Gruppen von Benachrichtigungen:

    Über Schwellenwert gesteuerte Benachrichtigungen

    Bei diesen Werten können angegeben werden:
    Name: CPU 0 Auslastung Benutzer (CPU_0_User) Name der jeweiligen Benachrichtigungsart UTM v12.2.3 AlertingCenter CPU.png
    Beispiel für Schwellenwert-gesteuerte Benachrichtigung
    Tolerierte Überschreitung der Schwellenwerte: 60 Minuten Akzeptierte Dauer der Überschreitung
    Erste Benachrichtigungsstufe
    Benachrichtigungstyp: Level 3 - Notiz (Regelmäßig) Gewünschten Benachrichtigungstypen auswählen
    Schwellenwert: 70 %CPU
    Auslastung oder höher
    Wert, ab dem diese Stufe erreicht wird
    Zweite Benachrichtigungsstufe
    Benachrichtigungstyp: Level 4 - Warnung (Regelmäßig) Gewünschten Benachrichtigungstypen auswählen
    Schwellenwert: 90 %CPU
    Auslastung oder höher
    Wert, ab dem diese Stufe erreicht wird


    Name: Tolerierte Überschreitung der Schwellenwerte:
    Standardwert
    Schwellenwert: 1
    Standardwert
    Benachrichtigungstyp: Severity-Level
    Schwellenwert: 2
    Standardwert
    Benachrichtigungstyp: Severity-Level
    • CPU 0 Auslastung Benutzer
      (CPU_0_USER)
    60 Minuten 70 % CPU Auslastung oder höher
    Level 3 - Notiz
    90%
    Level 4 - Warnung
    • CPU 0 Auslastung System
      (CPU_0_USER)
    60 Minuten 70 % CPU Auslastung oder höher
    Level 3 - Notiz
    90%
    Level 4 - Warnung
    • ggf. weitere CPUs
    ... ... ...
    • HDDTEMP
    240 Minuten Festplattentemperatur steigt auf 60°C oder höher
    Level 4 - Warnung
    70°C
    Level 6 - Fehler
    • LOAD
      Anzahl der Prozesse, die gleichzeitig verarbeitet werden sollen
    60 Minuten 1.5 Systemauslastung (5 Min.) oder höher.

    Durchschnittswert der letzten 5 Minuten.
    Der Load sollte idealer Weise je Prozessor nicht mehr als 1 betragen.

    Level 4 - Warnung

    4
    Level 5 - Dringende Warnung
    • Mailrelay (MAILQUEUE)
    240 Minuten 100 E-Mails oder mehr konnten noch nicht abgearbeitet werden und befinden sich in der Mailqueue
    Level 4 - Warnung
    1000 E-Mails
    Level 6 - Fehler
    • Schnittstelle eth0 (INTERFACE_eth0)
    0 Minuten 20000 Bytes / Sekunde oder mehr
    Level 0 - Keine Nachricht
    200000 Bytes
    Level 0 - Keine Nachricht
    • Alle weiteren vorhanden Schnittstellen und Tunnel
    ... ... ...
    • Speicherplatz (DF)
    0 Minuten 20 % freier Speicherplatz oder weniger
    Level 4 - Warnung
    10%
    Level 5 - Dringende Warnung



    Über Ereignisse gesteuerte Benachrichtigungen

    Bei Ereignisgesteuerten Benachrichtigungen wird dem Benachrichtigungstyp direkt eine Syslog-Priority-Gruppe zugeordnet. UTM v12.2.3 AlertingCenter DSL.png
    Beispiel für Ereignisgesteuerte Benachrichtigung


    Name: Nachricht: Default Syslog-Gruppe:
    ACME Errors Fehlermeldungen für ACME-Zertifikate Level 6 - Fehler
    ACME Information Meldungen über ACME-Zertifikate Level 3 - Notiz
    AD/LDAP Verbindungsprobleme zum Active Directory oder LDAP Server. Level 4 - Warnung
    Cloud-Backup Regelmäßige Cloud-Backup Sicherung ist fehlgeschlagen. Level 6 - Fehler
    Cluster Switch Cluster: Wechsel zwischen MASTER und BACKUP. Level 8 - Alarm
    Connection Tracking Die maximale Anzahl der Conntrack-Einträge wurde erreicht Level 7 - Kritisch
    DBUS Rule Policy Verletzung der DBUS Richtlinien festgestellt. Level 7 - Kritisch
    DSL_VDSL Einwahlproblem über DSL oder VDSL Level 4 - Warnung
    DynDNS-Client Account Account Fehlermeldung des DynDNS-Clients Level 4 - Warnung
    DynDNS-Client Host Host Fehlermeldung des DynDNS-Clients Level 4 - Warnung
    DynDNS-Client Server Server Fehlermeldung des DynDNS-Clients Level 4 - Warnung
    Fallback-Interface Fallback-Schnittstelle aktiviert/deaktiviert. Level 7 - Kritisch
    Firmware Updates Meldungen über Firmware Updates Level 2 - Info
    Firmware Update Error notempty
    Neu ab v12.5
    Fehlermeldungen über Firmware Updates Level 6 - Fehler
    GeoIP Objects Meldungen des GeoIP-Dienstes Level 4 - Warnung
    GeoIP Update GeoIP Datenbanken wurden aktualisiert. Level 2 - Info
    GeoIP Update Error Fehler beim Updaten der GeoIP Datenbanken. Datenbanken wurden auf den vorherigen Stand zurückgesetzt. Level 4 - Warnung
    HTTP-Proxy Workers HTTP-Proxy: Keine Worker-Prozesse mehr vorhanden.
    Zur Lastverteilung lagert der HTTP-Proxy squid seine Dienste in Workerprozesse aus. Sind alle Workerprozesse beendet, läuft der HTTP-Proxy nicht mehr.
    Level 6 - Fehler
    IPS Blocking Meldungen über gesperrte IP-Adressen durch fehlerhafte Anmeldung Level 4 - Warnung
    License Error Meldungen über Lizenzfehler Level 6 - Fehler
    License Information Meldungen über Lizenzinformationen Level 3 - Notiz
    Mail Scanner Mailscanner hat einen Virus erkannt Level 6 - Fehler
    Mailconnector Authentication Authentifizierungsproblem des Mailconnectors zum E-Mail Provider Level 6 - Fehler
    Mailconnector Fetch Mailconnector lehnt eine E-Mail aufgrund der Nachrichtengröße ab. Level 4 - Warnung
    Mailrelay Greylist Pass-All Mode Zurücksetzen der Greylist-Datenbank ist fehlgeschlagen, Greylisting-Modul wird umgangen (deaktiviert). Level 7 - Kritisch
    Mailrelay Greylist Reset Ein Problem wurde beim Laden der Greylisting-Datenbank festgestellt, Datenbank wird zurückgesetzt. Level 4 - Warnung
    Mandatory Access Control (MAC) Verletzung der Sicherheitsrichtlinien erkannt (MAC) Level 7 - Kritisch
    Network Interface Changes Veränderung einer Netzwerkschnittstelle festgestellt. Level 4 - Warnung
    Shutdown Detection Unsauberes Herunterfahren festgestellt Level 7 - Kritisch
    Spam Filter Cloud Spamfilter kann sich nicht mit Cloud verbinden Level 4 - Warnung
    Squid Virus Scanner Squid (HTTP-Proxy) hat einen Virus erkannt. Level 6 - Fehler
    SSL_VPN Fehler bei Authentifizierung mit SSL VPN Cert&Auth. Level 4 - Warnung
    Threat Intelligence Filter - FORWARD Weiterleitung zu einer IP-Adresse durch Threat Intelligence Filter verhindert. Level 8 - Alarm
    Threat Intelligence Filter - OUTPUT Aufruf einer IP-Adresse durch Threat Intelligence Filter verhindert Level 8 - Alarm
    Threat Intelligence Filter - INPUT Zugriff von Außen von einer IP-Adresse aus durch Threat Intelligence Filter verhindert Level 8 - Alarm
    notempty
    Neu ab v12.5
    USC PIN Block
    Es wurde mehrmals ein falscher USC PIN zur Authentifizierung an der UTM eingegeben. Die Authentifizierung über einen PIN ist damit gesperrt. Entsperren Sie den PIN in der UTM indem Sie sich mit Username und Passwort (und gegebenenfalls OTP) an der UTM Authentifizieren. Level 7 - Kritisch
    notempty
    Neu ab v12.5
    USC PIN Mismatch
    Die Verifizierung der USC PIN zur Authentifizierung an der UTM ist fehlgeschlagen. Level 6 - Fehler


    Die Einstellungen werden mit Speichern abgeschlossen.


    Ergebnis

    Es werden jetzt Benachrichtigungen an die angegebene Mail-Adresse zu den konfigurierten Zeiten und bei vorgegebenen Systemzuständen gesendet.
    Der Betreff der Nachrichten setzt sich wie folgt zusammen: Betr.:»Alerting-Center (firewall-name): Berichtsart. Dabei bedeutet:

    • Report → Regelmäßiger Bericht
    • Error / Critical / Alert / Emergency → Syslog-Severity-Level eines Umgehenden Berichtes

    Im Bericht werden die Meldungen zunächst nach Syslog-Level und anschließend nach Datum/Uhrzeit sortiert


    Beispiel für Umgehenden E-Mail Bericht
    Beispiel für regelmäßigen E-Mail Bericht











    Deaktivierung

    Wenn die Funktion des Alerting Centers nicht gewünscht wird kann der Dienst deaktiviert werden:

    Menü → Anwendungen →Anwendungsstatus Eintrag Alerting Center (spalertd) Schaltfläche: ■ Stoppen

    Diese Einstellung wird gespeichert und bleibt auch nach einem Neustart erhalten.