Alerts

Deze pagina behandelt de twee modules die de alerts van Bastion besturen: de alertconfiguratie, die de paren van trigger en actie definieert die tijdens de sessies worden toegepast, en de geschiedenis van de geactiveerde alerts, die elk voorkomen vastlegt en het mogelijk maakt die op te schonen. Ze is bedoeld voor de beheerder die risicovol gedrag binnen de sessies automatisch moet opsporen en een reactie moet inrichten (stoppen, pauzeren, melding, vergrendeling van het account, beëindigen van een proces).

---

Geconfigureerde alerts

De module Alerts somt de bestaande alerts op. Elk alert bestaat uit een of meer triggers (voorwaarden die in de sessie worden geëvalueerd) en een of meer acties (de reactie bij activering).

Kolom van de tabel	Beschrijving
Label	Naam van het alert.
Triggers	Aantal geconfigureerde voorwaarden.
Enabled by default	Geeft aan of het alert automatisch wordt toegepast op alle contracten en configuraties voor directe opname.

Drie extra kolommen, gegroepeerd onder de kop Actions, geven met een vinkje de aard weer van de acties die aan het alert zijn verbonden:

Kolom	Aangevinkt wanneer het alert het volgende bevat
Trace	Minstens één actie — elke actie legt de activering vast in de geschiedenis van de alerts.
Notify	Een actie Notification Message of Warning Message.
Act	Een actie die ingrijpt in de sessie: Session Shutdown, Session Pause, Kill process of Lock account.

De tabel is gepagineerd (15, 25 of 50 rijen per pagina). Bij het uitklappen van een rij wordt een tekstuele samenvatting van de triggers weergegeven.

Een alert toevoegen

1. Klik op de knop +.
2. Vul het veld Label in, vink desgewenst Enabled by default aan en voeg daarna minstens één trigger en minstens één actie toe.
3. Valideer.

Belangrijkste veld	Beschrijving
Label	Verplicht. Naam die in de console en in de meldingen wordt weergegeven.
Enabled by default	Wanneer dit is aangevinkt, vraagt een bevestiging of het alert op elk bestaand contract en elke bestaande configuratie voor directe opname moet worden toegepast.

Paneel ”Triggers”

Knop	Effect
+	Een voorwaarde toevoegen.
Edit	De geselecteerde voorwaarde wijzigen.
×	De geselecteerde voorwaarde verwijderen.

Het triggerformulier biedt een type en een parameter:

Triggertype	Verwachte parameter
Idle delay	Duur als geheel getal in seconden of minuten (eenheid instelbaar). Formaat: geheel getal, niet nul.
Process start	Naam van het uitvoerbare bestand. Verboden tekens: ^ < > " / \| ? * en de stuurtekens.
Process end	Uitsluitend de naam van het uitvoerbare bestand (paden zijn niet toegestaan; \ : zijn eveneens verboden).
Window appearance	Titel van het venster of patroon.
Copy-paste block	Geen parameter — de voorwaarde is binair.
File copy	Pad van het bestand (de tekens ? * \| < > : " zijn verboden).
Key stroke	Getypte tekst die moet worden gedetecteerd.
URL	URL of patroon dat moet worden geobserveerd. Webcompatibel.
SSH action	Opdracht die in een SSH-sessie moet worden gedetecteerd.

Compatibiliteit per sessietype

Het formulier geeft dynamisch in een banner Compatibility de sessietypen weer die compatibel zijn met de gekozen triggers: RDP, VNC, web of SSH. De triggers URL en ssh_action sluiten de standaard-RDP-compatibiliteit uit.

Paneel ”Actions”

Knop	Effect
+	Een actie toevoegen.
Edit	De geselecteerde actie wijzigen.
×	De geselecteerde actie verwijderen.

Er kunnen slechts één actie voor stoppen / pauzeren en één actie voor een melding naast elkaar bestaan.

Actietype	Parameters
Session Shutdown	Geen.
Session Pause	Geen.
Notification Message	Veld Message verplicht (vrije tekst).
Warning Message	Veld Message verplicht (vrije tekst).
Kill process	Veld Executable verplicht.
Lock account	Geen.

Een alert wijzigen

Selecteer het alert en klik op het pictogram Properties (of dubbelklik op de rij). Het formulier is identiek aan het formulier voor toevoegen.

Omschakelen van ”enabled by default”

Wanneer Enabled by default bij een wijziging van niet-aangevinkt naar aangevinkt gaat, biedt een bevestiging aan om de activering te forceren op de bestaande contracten en configuraties voor directe opname. Omgekeerd wordt bij de overgang van aangevinkt naar niet-aangevinkt een geforceerde deactivering aangeboden. Zonder dat forceren nemen alleen nieuwe doelen de nieuwe status over.

Een alert verwijderen

Selecteer een of meer alerts en klik op ×. Het verwijderen vereist een bevestiging (de melding past zich aan enkelvoud en meervoud aan).

Voor alles in- / uitschakelen

Twee knoppen van de werkbalk passen een overkoepelende actie toe op de selectie:

Knop	Effect
Enable for all	Verbindt het alert met alle bestaande toegangscontracten en configuraties voor directe opname.
Disable for all	Verbreekt de verbinding van het alert met alle bestaande contracten en configuraties voor directe opname.

Er wordt systematisch om een bevestiging gevraagd. De aanvraag wordt daarna naar de server verzonden.

---

Geschiedenis van de geactiveerde alerts

De module History of triggered alerts legt elke daadwerkelijke activering van een alert vast. De module is bereikbaar vanuit de werkbalk van Alerts via de knop History of triggered alerts.

Kolom	Beschrijving
Date	Tijdstempel van de activering (formaat dd/mm/yyyy - HH:MM).
Label	Naam van het geactiveerde alert.
IP	IP-adres van de gebruiker.
User	Betrokken account.

De lijst filteren

Een uitklapbaar paneel Filters biedt:

Filter	Beschrijving
Label	Vervolgkeuzelijst gevuld met de labels die in de geschiedenis zijn gevonden.
User	Vervolgkeuzelijst gevuld met de gebruikers die in de geschiedenis zijn gevonden.
Start date	Standaard zeven dagen voor de huidige datum.
End date	Standaard de huidige datum.

De knoppen Search en Clear passen de filters toe of stellen ze opnieuw in.

De geschiedenis opschonen

Klikken op × Purge alerts opent een bevestigingsvenster met drie onderling uitsluitende opties:

Optie	Beschrijving
Delete all history	Maakt de tabel volledig leeg.
Delete history between	Verwijdert de vermeldingen tussen een begin- en een einddatum (standaard: de laatste zeven dagen).
Delete history older than	Verwijdert de vermeldingen die ouder zijn dan de ingevoerde duur. De eenheid wordt gekozen in de lijst: hours, days, weeks, months, years.

De knop Validate start het opschonen; na de bevestiging worden de geschiedenis en de filterlijst opnieuw geladen.