UTM/AlertingCenter

{{var | 1=Status--desc

       | 2=Grüne Kontroll-Lampe bei einwandfreier Funktion. Zusätzliche Hinweise beim hovern: Die Anwendung 'Alerting Center' ist aktiviert.
 Die Anwendung 'Mailrelay' ist aktiviert.
 Weitere Informationen können im Anwendungsstatus-Dialog gefunden werden.

Siehe auch das Wiki für das Mailrelay. | 3=Green control lamp when functioning properly. Additional notes when hovering: The 'Alerting Centre' application is activated.
The 'Mailrelay' application is activated.
Further information can be found in the application status dialogue.

---

Funktion, Einrichtung und Konfiguration des Alerting Centers

Letzte Anpassung: 12.4

Neu:

• Für regelmäßige und umgehende Berichte kann jeweils ein alternativer Empfänger hinterlegt werden
• Mehrere neue Ereignis gesteuerte Benachrichtigungen
• Neue Funktion: HTTP Request

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.2 11.8.8

---

Einleitung

Das Alerting Center versendet Automatisch E-Mails mit Log-Ereignissen. Damit wird eine Überwachung der Log-Ereignisse eingerichtet und so das Monitoring vereinfacht. Fehlermeldungen können an den Admin weitergeleitet werden, bevor es zu einer Fehlfunktion kommt bzw. eine Fehlfunktion kann schneller bemerkt werden.

Das Alerting Center ist als Standard immer aktiv, sobald eine gültige E-Mail-Adresse hinterlegt und das Mailrelay korrekt konfiguriert wurde.
Das Alerting Center schickt Benachrichtigungen per Mail an die globale E-Mailadresse.
Es gibt

• umgehende Berichte, die sofort bei Eintreten eines Ereignisses versendet werden und
• regelmäßige Berichte, die in einem festen Zeitraum versendet werden.
  

Verschiedenen Ereignissen können Priority-Gruppen zugeordnet werden

Voraussetzungen

Damit das Alerting-Center Nachrichten versenden kann, muss das Mailrelay konfiguriert sein.
Wenn kein eigener Mail-Server oder keine feste öffentliche IP-Adresse zur Verfügung steht kann im Menü Anwendungen Mailrelay ein Smarthost konfiguriert werden.

Konfiguration

Menüpunkt Alerting Center

Allgemein

Beschriftung	Default:		Alerting Center - Allgemein
Empfänger:	admin@ttt-point.de	Hier muss eine gültige Mail-Adresse stehen. Diese wird im Menü Netzwerk Servereinstellungen  Bereich Servereinstellungen Firewall →Globale E-Mail Adresse eingestellt.
Absender:	spalertd@firewall.ttt-point.local	Die Absenderadresse lässt sich frei konfigurieren. Vorgabe ist spalertd@firewallname Neu ab 12.2.3
Umgehender E-Mail Bericht
Aktiviert:	Ja	Per Default werden Umgehende E-Mail Berichte versendet	Datei:UTM v12.6.2 Alerting Center Umgehender E-Mail Bericht.png Alerting Center Umgehender E-Mail Bericht
Alternativer Empfänger: Neu ab 12.4		Hier kann ein alternativer Empfänger hinterlegt werden
Benachrichtigungstypen:	×Level 5 - Dringende Warnung × Level 6 - Fehler × Level 7 - Kritisch × Level 8 - Alarm × Level 9 - Notfall	In der Klick-Box können weitere Priority-Gruppen ausgewählt werden. Bei Eintritt eines Ereignisses oder Überschreitung eines Schwellenwertes, das bzw. der der mit dieser Gruppe verknüpft wurde wird umgehend eine E-Mail versendet. 1. ×Level 1 - Debug 6. ×Level 6 - Fehler 2. ×Level 2 - Info 7. ×Level 7 - Kritisch 3. ×Level 3 - Notiz 8. ×Level 8 - Alarm 4. ×Level 4 - Warnung 9. ×Level 9 - Notfall 5. ×Level 5 - Dringende Warnung × Level 1 - Debug × Level 2 - Info × Level 3 - Notiz × Level 4 - Warnung × Level 5 - Dringende Warnung × Level 6 - Fehler × Level 7 - Kritisch × Level 8 - Alarm × Level 9 - Notfall
Maximale Anzahl:	10 Berichte	Umgehende Berichte für die gleiche Fehlermeldung innerhalb eines Zeitfensters
Zeitfenster:	60 Minuten	Zeitraum, nachdem erneut Berichte gesendet werden, bis die maximale Anzahl erreicht ist.
Regelmäßiger E-Mail Bericht
Aktiviert:	Ja	Per Default werden regelmäßige E-Mail Berichte versendet. Dies geschieht nur, wenn irgendein Ereignis mit einem Log-Level eingetreten ist. Andernfalls wird kein Bericht versendet. Wird trotzdem ein Bericht gewünscht, kann dies über den Unified Security Report dargestellt werden.	Datei:UTM v12.6.2 Alerting Center Regelmässiger E-Mail Bericht.png Alerting Center - Regelmässiger E-Mail Bericht
Alternativer Empfänger: Neu ab 12.4		Hier kann ein alternativer Empfänger hinterlegt werden
Benachrichtigungstypen:	×Level 2 - Info ×Level 3 - Notiz ×Level 4 - Warnung ×Level 5 - Dringende Warnung ×Level 6 - Fehler ×Level 7 - Kritisch ×Level 8 - Alarm ×Level 9 - Notfall	In der Klick-Box können weitere Priority-Gruppen aus- oder abgewählt werden. Ereignisse, die mit diesen Syslog-Gruppen konfiguriert wurden, werden in einer regelmäßig versendeten Mail aufgeführt.
Datum:	Mo Di Mi Do Fr Sa So 08 : 30	Mit Klick auf die Wochentage können diese an- oder abgewählt werden.
HTTP Request HTTP Request Neu ab 12.4
Aktiviert:	Nein	Per default deaktiviert. Wenn aktiviert können HTTP-Requests versendet werden. Dabei übermittelt das Alertingcenter einen HTTP-Request an eine festgelegte Adresse mit definiertem Inhalt.	[[Datei: ]] Alerting Center - HTTP Request
Benachrichtigungstypen:		In der Klickbox können die Benachrichtigungstypen ausgewählt werden.
Inhalt:		Hier wird der Inhalt festgelegt, wobei der Aufbau folgendermaßen aussehen soll: <init> URL=xxx METHOD=xxx CONTENT_TYPE=xxx <body> My message. </body> </init>
Platzhalter Allgemein @@SEVERITY@@ Datum mit Uhrzeit @@DATE@@ Quelle @@SOURCE@@ generelle Nachricht @@MESSAGE@@ ' aktueller Wert @@CURRENT_VALUE@@ @@INSTANCE@@ gesetzter Grenzwert @@LIMIT@@ Dauer der Grenzüberschreitung @@OVER_LIMIT@@ syslog spezifisch Programm der Lognachricht @@PROGRAMM@@ Gruppe der gefundenen Pattern @@GROUP@@ Nachricht der Gruppe @@GROUP_MSG@@ Pattern-Name @@PATTERN@@ Nachricht der Pattern @@PATTERN_MSG@@ Log-ID der Lognachricht @@LOG_ID@@ Musterbeispiel mit einem kostenpflichtigen Dienst (hier: Pushover), der seinerseits die Nachrichten an eine Handy-App weiterleiten kann: <init> URL=https://api.pushover.net/1/messages.json METHOD=POST CONTENT_TYPE=application/x-www-form-urlencoded <body> token=xxx&user=xxx&message=Created with Template Datum: @@DATE@@ Quelle: @@SOURCE@@ Schwere: @@SEVERITY@@ Nachricht: @@MESSAGE@@ Weitere Informationen: (Collectd) Aktueller Wert: @@CURRENT_VALUE@@ Instance: @@INSTANCE@@ Grenzwert: @@LIMIT@@ Überschritten seit: @@OVER_LIMIT@@ (Syslog) Programm: @@PROGRAM@@ Gruppe: @@GROUP@@ Gruppen-Nachricht: @@GROUP_MSG@@ Pattern-Name: @@PATTERN@@ Pattern-Nachricht: @@PATTERN_MSG@@ Log-ID: @@LOG_ID@@ </body> </init>
Benachrichtigungen  Benachrichtigungen
Es gibt zwei verschiedene Gruppen von Benachrichtigungen:
Über Schwellenwert gesteuerte Benachrichtigungen
Bei diesen Werten können angegeben werden:
	CPU 0 Auslastung Benutzer (CPU_0_User)	Name der jeweiligen Benachrichtigungsart	Beispiel für Schwellenwert-gesteuerte Benachrichtigung
Tolerierte Überschreitung der Schwellenwerte:	60 Minuten	Akzeptierte Dauer der Überschreitung
Erste Benachrichtigungsstufe
Benachrichtigungstyp	Level 3 - Notiz (Regelmäßig)	Gewünschten Benachrichtigungstypen auswählen
Schwellenwert	70 %CPU Auslastung oder höher	Wert, ab dem diese Stufe erreicht wird
Zweite Benachrichtigungsstufe
Benachrichtigungstyp	Level 4 - Warnung (Regelmäßig)	Gewünschten Benachrichtigungstypen auswählen
Schwellenwert	90 %CPU Auslastung oder höher	Wert, ab dem diese Stufe erreicht wird

	Tolerierte Überschreitung der Schwellenwerte:	Schwellenwert 1 Benachrichtigungstyp Severity-Level	Schwellenwert 2 Benachrichtigungstyp Severity-Level
CPU 0 Auslastung Benutzer (CPU_0_USER)	60 Minuten	70 % CPU Auslastung oder höher Level 3 - Notiz	90% Level 4 - Warnung
CPU 0 Auslastung System (CPU_0_USER)	60 Minuten	70 % CPU Auslastung oder höher Level 3 - Notiz	90% Level 4 - Warnung
ggf. weitere CPUs	...	...	...
LOAD Anzahl der Prozesse, die gleichzeitig verarbeitet werden sollen	60 Minuten	1.5 Systemauslastung (5 Min.) oder höher. Durchschnittswert der letzten 5 Minuten. Der Load sollte idealer Weise je Prozessor nicht mehr als 1 betragen. Level 4 - Warnung	4 Level 5 - Dringende Warnung
Mailrelay (MAILQUEUE)	240 Minuten	100 E-Mails oder mehr konnten noch nicht abgearbeitet werden und befinden sich in der Mailqueue Level 4 - Warnung	Level 6 - Fehler
	0 Minuten	20000 Bytes / Sekunde oder mehr Level 0 - Keine Nachricht	200000 Bytes Level 0 - Keine Nachricht
Alle weiteren vorhanden Schnittstellen und Tunnel	...	...	...
Speicherplatz (DF)	0 Minuten	20 % freier Speicherplatz oder weniger Level 4 - Warnung	10% Level 5 - Dringende Warnung

Über Ereignisse gesteuerte Benachrichtigungen

Bei Ereignisgesteuerten Benachrichtigungen wird dem Benachrichtigungstyp direkt eine Syslog-Priority-Gruppe zugeordnet.			Beispiel für Ereignisgesteuerte Benachrichtigung

	Nachricht:	Default Syslog-Gruppe:
ACME Errors Neu ab 12.4	Fehlermeldungen für ACME-Zertifikate	Level 6 - Fehler
ACME Information Neu ab 12.4	Meldungen über ACME-Zertifikate	Level 3 - Notiz
AD/LDAP	Verbindungsprobleme zum Active Directory oder LDAP Server.	Level 4 - Warnung
Cloud-Backup Neu ab 12.4	Regelmäßige Cloud-Backup Sicherung ist fehlgeschlagen.	Level 6 - Fehler
Cluster Switch	Cluster: Wechsel zwischen MASTER und BACKUP.	Level 8 - Alarm
Connection Tracking Neu ab 12.4	Die maximale Anzahl der Conntrack-Einträge wurde erreicht	Level 7 - Kritisch
DBUS Rule Policy	Verletzung der DBUS Richtlinien festgestellt.	Level 7 - Kritisch
DSL_VDSL	Einwahlproblem über DSL oder VDSL	Level 4 - Warnung
DynDNS-Client Account	Account Fehlermeldung des DynDNS-Clients	Level 4 - Warnung
DynDNS-Client Host	Host Fehlermeldung des DynDNS-Clients	Level 4 - Warnung
DynDNS-Client Server	Server Fehlermeldung des DynDNS-Clients	Level 4 - Warnung
Fallback-Interface	Fallback-Schnittstelle aktiviert/deaktiviert.	Level 7 - Kritisch
Firmware Updates Neu ab 12.4	Meldungen über Firmware Updates	Level 2 - Info
GeoIP Objects	Meldungen des GeoIP-Dienstes	Level 4 - Warnung
GeoIP Update Neu ab 12.4	GeoIP Datenbanken wurden aktualisiert.	Level 2 - Info
GeoIP Update Error Neu ab 12.4	Fehler beim Updaten der GeoIP Datenbanken. Datenbanken wurden auf den vorherigen Stand zurückgesetzt.	Level 4 - Warnung
HTTP-Proxy Workers	HTTP-Proxy: Keine Worker-Prozesse mehr vorhanden. Zur Lastverteilung lagert der HTTP-Proxy squid seine Dienste in Workerprozesse aus. Sind alle Workerprozesse beendet, läuft der HTTP-Proxy nicht mehr.	Level 6 - Fehler
IPS Blocking	Meldungen über gesperrte IP-Adressen durch fehlerhafte Anmeldung	Level 4 - Warnung
License Error	Meldungen über Lizenzfehler	Level 6 - Fehler
License Information	Meldungen über Lizenzinformationen	Level 3 - Notiz
Mail Scanner	Mailscanner hat einen Virus erkannt	Level 6 - Fehler
Mailconnector Authentication	Authentifizierungsproblem des Mailconnectors zum E-Mail Provider	Level 6 - Fehler
Mailconnector Fetch	Mailconnector lehnt eine E-Mail aufgrund der Nachrichtengröße ab.	Level 4 - Warnung
Mailrelay Greylist Pass-All Mode Neu ab 12.4	Zurücksetzen der Greylist-Datenbank ist fehlgeschlagen, Greylisting-Modul wird umgangen (deaktiviert).	Level 7 - Kritisch
Mailrelay Greylist Reset Neu ab 12.4	Ein Problem wurde beim Laden der Greylisting-Datenbank festgestellt, Datenbank wird zurückgesetzt.	Level 4 - Warnung
Mandatory Access Control (MAC)	Verletzung der Sicherheitsrichtlinien erkannt (MAC)	Level 7 - Kritisch
Network Interface Changes Neu ab 12.4	Veränderung einer Netzwerkschnittstelle festgestellt.	Level 4 - Warnung
Shutdown Detection	Unsauberes Herunterfahren festgestellt	Level 7 - Kritisch
Spam Filter Cloud	Spamfilter kann sich nicht mit Cloud verbinden	Level 4 - Warnung
Squid Virus Scanner	Squid (HTTP-Proxy) hat einen Virus erkannt.	Level 6 - Fehler
SSL_VPN	Fehler bei Authentifizierung mit SSL VPN Cert&Auth.	Level 4 - Warnung
Threat Intelligence Filter - FORWARD	Weiterleitung zu einer IP-Adresse durch Threat Intelligence Filter verhindert.	Level 8 - Alarm
Threat Intelligence Filter - OUTPUT	Aufruf einer IP-Adresse durch Threat Intelligence Filter verhindert	Level 8 - Alarm
Threat Intelligence Filter - INPUT	Zugriff von Außen von einer IP-Adresse aus durch Threat Intelligence Filter verhindert	Level 8 - Alarm

Ergebnis

Es werden jetzt Benachrichtigungen an die angegebene Mail-Adresse zu den konfigurierten Zeiten und bei vorgegebenen Systemzuständen gesendet.
Der Betreff der Nachrichten setzt sich wie folgt zusammen: Betr.:»Alerting-Center (firewall-name): Berichtsart. Dabei bedeutet:

• Report → Regelmäßiger Bericht
• Error / Critical / Alert / Emergency → Syslog-Severity-Level eines Umgehenden Berichtes

Im Bericht werden die Meldungen zunächst nach Syslog-Level und anschließend nach Datum/Uhrzeit sortiert

Beispiel für Umgehenden E-Mail Bericht

Beispiel für regelmäßigen E-Mail Bericht