# Alert pro identifikaci zdroje brute force útoku na firewall
Tento kontextový alert poskytuje notifikaci obsahující IP adresu útočníka a jeho geolokaci v momentě, kdy je detekována aktivita, která může znamenat brute force útok.
Šablona kontextového alertu je k dispozici ke stažení zde:
[Stáhnout šablonu](https://logmanager.com/wp-content/uploads/2026/05/alert.xml_.zip)
## Brute force útok na firewall
Brute force útok na firewall představuje systematický pokus o získání neoprávněného přístupu do sítě opakovaným a automatizovaným zkoušením velkého množství přihlašovacích údajů, dokud není nalezena správná kombinace (například pro VPN nebo SSH přístup).
Užitečnost zaslání alertu s geolokací zdroje útoku, například po 10 neúspěšných pokusech z jedné zdrojové IP adresy, spočívá v rychlé detekci incidentu a identifikaci hrozby. Znalost geografického původu útoku (např. mimo definované bezpečné země) umožňuje bezpečnostnímu týmu okamžitě posoudit riziko a v případě potřeby automaticky zablokovat buď konkrétní IP adresu, nebo celý geografický region, čímž se minimalizuje okno pro útočníka a zvyšuje se celková schopnost rychlé reakce na incident.
## Nastavení šablony a alertu
Pro zájemce jsme připravili ke stažení kontextový alert. Ten po definovaném počtu neplatných pokusů o přihlášení na firewall z jedné IP adresy zašle alert s IP adresou zdroje potenciálního útoku a zemi, ze které útok probíhá.
Zde je návod pro import alertu do Logmanageru.
## 1. krok: Vytvořte korelační okno
V menu **Alerts & Actions** v záložce **Correlations** vytvořte nové korelační okno o požadované délce (například 60s), pojmenujte okno například Firewall.
1.
Uložte okno pomocí tlačítka **Save**.
## 2. krok: Vytvořte emailovou šablonu alertu
V sekci **Email message templates** vytvořte novou šablonu a vložte do ní následující údaje:
**Name:**
too many login failed from one IP
**Subject:**
LM Alert – {{name}} / {{ msg.failed\_remote\_ip }}
**Body:**
```
{% extends "base.html" %}
{% block title %}Alert{% endblock %}
{% block content %}
VPN alert - neplatné přihlášení z jedné IP adresy. Uživatel {{ msg.username }} překročil limit.
Reason: {{ msg.logdesc }}
Reason: {{ msg.msg }}
Reason: {{ msg.reason }}
Remote IP & Country: {{ msg.failed_remote_ip }}
Uživatel: {{ msg.username }}
Alert message
Alert name: {{ name }}
Alert description: {{ description }}
Message meta information
Name |
Value |
{% for key in meta|sort %}
{% if key == "src" %}
{% for src in meta.src|sort %}
{{ key }}.{{ src }} |
{{ meta.src[src] }} |
{% endfor %}
{% else %}
{{ key|e }} |
{{ meta[key]|e }} |
{% endif %}
{% endfor %}
Message data
Name |
Value |
{% for key in msg|sort %}
{{ key|e }} |
{{ msg[key]|e }} |
{% endfor %}
{% if dropped > 0 %}
Dropped similar messages: {{ dropped }}
{% endif %}
{% endblock %}
```
Uložte šablonu pomocí tlačítka **Save**.
## 3. krok: Importujte a nakonfigurujte pravidla pro alert
V záložce **Rules** vytvořte nový alert a do XML okna vložte kód alertu.
Přepněte se do okna **Blocks**.
Přiřaďte alertu název, např: **too many login failed from one IP** a vložte emailovou adresu příjemce alertu a přepněte alert do stavu **Enabled**.
## 4. krok: Nastavte failed login threshold
V blockly kódu alertu nastavte požadovanou hodnotu počtu nesprávných přihlášení, po které se má alert odeslat.
V příkladu nastaveno na hodnotu 10.
## 5. Krok: Vyberte korelační kontext
V blocku **Context** vyberte vaše dříve vytvořené korelační okno
## 6. krok: Přiřaďte šablonu alertu
Na konci alertu v blocku **send alert** vyberte dříve vytvořenou e-mailovou šablonu.
## Váš kontextový firewall je připraven
Nyní máte vše připraveno pro posílání alertů s IP adresou a geolokací útočníka.