Блог компании fortiservice

Опасность при настройке SSL VPN на FortiGate

29.09.2020 10:08:21 |

Автор: admin

По информации SAM Seamless Network более 200 тысяч компаний, в которых используется SSL VPN с настройкой из коробки, уязвимы к атакам типа MitM. Злоумышленники при подключении могут предоставить действующий SSL сертификат и обманным путем подключиться к корпоративной сети компании. Под катом представлен пример атаки, а также рекомендации по безопасной настройке SSL VPN.

Мы быстро обнаружили, что SSL VPN, работающий с настройками по умолчанию, защищен не так, как должен быть, он уязвим для атак MitM заявили Нив Герц и Лиор Ташимов из SAM IoT Security Lab.
По их словам, SSL VPN клиент проверяет только то, был ли сертификат подписан компанией Fortinet (или другим доверенным CA). Таким образом, злоумышленник может предоставить сертификат, предназначенный для другого устройства FortiGate, и совершить атаку человек посередине.

Для имитации атаки исследователи использовали скомпрометированное IoT устройство, которое запускает атаку MitM вскоре после того, как VPN клиент инициирует соединение. Далее устройство крадет учетные данные перед их передачей на FortiGate и компрометирует процесс аутентификации.

Проверка SSL сертификата, которая помогает подтвердить подлинность веб-сайта или домена работает немного другим образом. В процессе проверяется срок действия сертификата, цифровая подпись, CA, которым был выпущен данный сертификат, а также поле Subject сертификата. Если сертификат действительный, его цифровая подпись корректна, сертификат был подписан доверенным CA, а также в поле Subject содержится имя веб-сайта или домена подключение разрешается.

Проблема, по мнению исследователей, заключается в использовании компаниями самоподписанных SSL сертификатов, которые поставляются с оборудованием по умолчанию.

Учитывая то, что каждый FortiGate поставляется с сертификатом, подписанным компанией Fortinet, этот сертификат может быть подделан третьей стороной это даст возможность злоумышленникам захватить трафик, идущий до FortiGate и расшифровывать его содержимое. Ниже представлено видео с примером расшифровки трафика, передаваемого VPN клиентом, результатом чего стало получение пароля пользователя и его OTP.

Основная проблема заключается в том, хоть и в сертификате в качестве поля Subject используется серийный номер устройства, похоже, что клиент вообще не проверяет имя сервера, что позволяет осуществлять подобные атаки.

В настоящее время FortiGate выдает предупреждение при использовании встроенного сертификата: Вы используете стандартный встроенный сертификат, который не сможет проверить доменное имя сервера (ваши пользователи получат предупреждение). Рекомендуется приобрести сертификат для вашего домена и использовать его."

В заявлении, представленном The Hacker News, компания Fortinet заявила: Безопасность наших клиентов наш главный приоритет. Это не уязвимость. Устройства разработаны таким образом, чтобы с ними можно было легко работать из коробки, а дальше уже настраивать под индивидуальные потребности клиентов

Также компания Fortinet настоятельно рекомендует придерживаться существующей документации и обращать внимание на все предупреждения в процессе конфигурации, чтобы не подвергать компанию риску.

Рекомендации по укреплению безопасности SSL VPN следующие:

Используйте внешние сервера аутентификации;
Не используйте встроенные по умолчанию сертификаты для SSL VPN;
Используйте многофакторную аутентификацию;
В качестве второго фактора можно использовать сертификаты пользователей;
Определите минимальную поддерживаемую версию TLS и наборы шифров;
Внимательно составляйте политики и профили безопасности для удаленных пользователей.

Более подробно об этих мерах безопасности можно прочитать здесь.

Мы, как интегратор, специализирующийся на решениях компании Fortinet, внимательно следим за всеми новостями, связанными с ней, и акцентируем внимание на самом важном и интересном. Чтобы ничего не пропустить, подписывайтесь на наши обновления в соц.сетях:

Группа Вконтакте
Яндекс Дзен
Наш сайт
Телеграм канал

Подробнее..

Категории: Информационная безопасность , Системное администрирование , Сетевые технологии , Security , Сетевое оборудование , Fortinet , Fortigate , Блог компании fortiservice , Ssl vpn

2. FortiAnalyzer Getting Started v6.4. Подготовка макета

06.10.2020 08:16:20 |

Автор: admin

Приветствуем на втором уроке курса FortiAnalyzer Getting Started. Сегодня мы поговорим про механизм административных доменов на FortiAnalyzer, также обсудим процесс обработки логов понимание принципов работы данных механизмов необходимо для первоначальных настроек FortiAnalyzer. И после этого мы обсудим макет, который будем использовать в ходе курса, а также проведем начальную конфигурацию FortiAnalyzer. Теоретическая часть, а также полная запись видеоурока находятся под катом.

Для начала еще раз поговорим про административные домены. Есть несколько вещей, которые необходимо про них знать, перед тем, как начать использовать:

Возможность создания административных доменов включается и отключается централизованно.
Для регистрации любых устройств, кроме FortiGate, необходим отдельный административный домен. То есть, если вы хотите зарегистрировать на устройстве несколько устройств FortiMail, вам необходим отдельный административный домен для этого. Но это не отменяет того, что для удобства группировки устройств FortiGate можно создавать различные административные домены.
Максимальное число поддерживаемых административных доменов зависит от модели устройства FortiAnalyzer.
При включении возможности создания административных доменов необходимо выбрать режим их работы Normal или Advanced. В режиме Normal нельзя добавлять различные виртуальные домены (или по другому VDOMы) одного FortiGate в различные административные домены устройства FortiAnalyzer. В Advanced режиме такое возможно. Режим Advanced позволяет обрабатывать данные различных виртуальных доменов и получать по ним отдельную отчетность. Если вы забыли, что такое виртуальный домены, посмотрите второй урок курса Fortinet Getting Started, там это рассказано довольно подробно.

Создание административных доменов и распределение памяти между ними мы рассмотрим чуть позже в рамках практической части урока.

Теперь поговорим о механизме записи и обработки логов, поступающих на FortiAnalyzer.
Логи, поступающие на FortiAnalyzer, сжимаются и сохраняются в log файл. Когда этот файл достигает определенного размера, он перезаписывается и архивируется. Такие логи называются архивированными. Они считаются оффлайн логами, поскольку их невозможно проанализировать в реальном времени. Для просмотра они доступны только в raw формате. Политика хранения данных в административном домене определяет, сколько такие логи будут храниться в памяти устройства.
В это же время логи индексируются в базе данных SQL. Данные логи используются для анализа данных с помощью механизмов Log View, FortiView и Reports. Политика хранения данных в административном домене определяет, сколько такие логи будут храниться в памяти устройства. После того, как данные логи будут удалены из памяти устройства, они могут остаться в виде архивированных логов, но это зависит от политики хранения данных в административном домене.

Для понимания первоначальных настроек данных знаний нам вполне достаточно. Теперь обсудим наш макет:

На нём вы видите 6 устройств FortiGate, FortiMail, FortiAnalyzer, контроллер домена, компьютер внешнего пользователя и компьютер внутреннего пользователя. FortiGate и FortiMail необходимы для генерации логов различных устройств Fortinet, чтобы на примере рассмотреть аспекты работы с различными административными доменами. Внутренний и внешний пользователи, а также контроллер домена необходимы для генерации различного трафика. На компьютере внутреннего пользователя установлена ОС Windows, а на компьютере внешнего Kali Linux.
В данном примере FortiMail работает в режиме Server, то есть является отдельным почтовым сервером, с помощью которого внутренний и внешний пользователи могут обмениваться электронными сообщениями. Необходимые настройки, такие как MX записи, сконфигурированны на контроллере домена. Для внешнего пользователя DNS сервером является внутренний контроллер домена это осуществлено с помощью проброса портов (или по другому технологии Virtual IP) на FortiGate.
Эти настройки не рассматриваются в ходе урока, поскольку они не относятся к теме курса. Будут рассмотрены развертывание и начальная конфигурация устройства FortiAnalyzer. Остальные составляющие текущего макета были подготовлены заранее.

Системные требования, предъявляемые к различным устройствам, представлены ниже. У меня данный макет работает на заранее подготовленной машине в виртуальной среде VMWare Workstation. Характеристики данной машины также указаны ниже.

Устройство	RAM, GB	vCPU	HDD, GB
Контроллер домена	6	3	40
Внутренний пользователь	4	2	32
Внешний пользователь	2	2	8
FortiGate	2	2	30
FortiAnalyzer	8	4	80
FortiMail	2	4	50
Машина для макета	28	19	280

Системные требования, приведенные в данной таблице, являются минимальными в реальных условиях обычно необходимо выделять больше ресурсов. Дополнительную информацию по системным требованиям можно найти на данном сайте.

В видеоуроке представлены теоретический материал, рассмотренный выше, а также практическая часть с начальной конфигурацией устройства FortiAnalyzer. Приятного просмотра!

На следующем уроке мы подробно рассмотрим аспекты работы с логами. Чтобы не пропустить его, подписывайтесь на наш Youtube канал.

Также можете следить за обновлениями на следующих ресурсах:

Группа Вконтакте
Яндекс Дзен
Наш сайт
Телеграм канал

Подробнее..

Категории: Информационная безопасность , Системное администрирование , Сетевые технологии , Security , Сетевое оборудование , Ngfw , Fortigate , Блог компании fortiservice , Fortianalyzer , Fortiservice , Fortinet security fabric , Utm

3. FortiAnalyzer Getting Started v6.4. Работа с логами

13.10.2020 08:16:54 |

Автор: admin

Приветствуем вас на третьем уроке курса FortiAnalyzer Getting Started. На прошлом уроке мы развернули макет, необходимый для выполнения лабораторных работ. На этом уроке мы рассмотрим основные принципы работы с логами на FortiAnalyzer, познакомимся с обработчиками событий, а также рассмотрим механизмы защиты логов. Теоретическая часть, а также полная запись видеоурока находятся под катом.

Для того, чтобы собирать логи с устройств, их необходимо зарегистрировать на FortiAnalyzer. Существует два варианта регистрации:
Первый вариант на регистрируемом устройстве активируется опция отправлять логи на FortiAnalyzer и указывается его IP адрес. После этого, на FortiAnalyzer отправляется запрос на регистрацию данного устройства. Администратор должен подтвердить или отклонить полученный запрос. Если технология административных доменов активирована, FortiGate можно добавить как в основной ADOM (который называется root, с ним мы работали в прошлом уроке), так и в собственноручно созданный ADOM, который предназначен для устройств FortiGate.
Второй вариант так называемый Device Registration Wizard. Регистрация устройства происходит на самом FortiAnalyzer. Для регистрации необходима информация о регистрируемом устройстве серийный номер, IP адрес, тип устройства, и версия операционной системы. Если верификация данных проходит успешно устройство добавляется в список FortiAnalyzer. Если технология административных доменов активирована, устройство автоматически зарегистрируется в подходящем административном домене. Если у вас создано несколько подобных административных доменов, в таком случае необходимо зарегистрировать устройство с того административного домена, в который вы хотите его добавить.

Каждое устройство генерирует логи различных типов. Основные типы логов, которые могут генерировать устройства компании Fortinet, представлены на рисунке ниже.

Про начальную обработку логов мы уже говорили на прошлом уроке, но думаю стоит освежить память. Логи, поступающие на FortiAnalyzer, сжимаются и сохраняются в log файл. Когда этот файл достигает определенного размера, он перезаписывается и архивируется. Такие логи называются архивированными. Они считаются оффлайн логами, поскольку их невозможно проанализировать в реальном времени. Для просмотра они доступны только в RAW формате. Политика хранения данных в административном домене определяет, сколько такие логи будут храниться в памяти FortiAnalyzer.
В это же время логи индексируются в базе данных SQL для поддержки аналитики. Данные логи анализируются в FortiAnalyzer в режиме реального времени с помощью механизмов Log View, FortiView и Reports. Политика хранения данных в административном домене определяет, сколько такие логи будут храниться в памяти FortiAnalyzer. После того, как данные логи будут удалены из памяти FortiAnalyzer, они могут остаться в виде архивированных логов, но это зависит от политики хранения данных в административном домене.
Схематично процесс обработки логов представлен на рисунке ниже.

Когда логи поступают на устройство, их проверяют обработчики событий. Они позволяют отследить интересующие события с помощью преднастроенных условий. Условия устанавливаются к параметрам, содержащимся в логах RAW формата. В системе для каждого административного домена существует набор предустановленных событий, однако при необходимости можно создавать собственные обработчики событий. Основная польза обработчиков событий в том, что при возникновении интересующих событий система может отсылать уведомления на email или syslog сервера также через SNMP. Это позволяет довольно быстро реагировать на события, происходящие в сети.

Теперь поговорим о защите логов. Поскольку в логах хранится важная информация о происходящем в сети, их нужно защищать как от возможной потери в результате различных сбоев, так и от внешней компрометации. Первая технология, которая поможет защитить логи в случае различных сбоев, это RAID. Она позволяет разбить пространство из доступных дисков на несколько логических сегментов таким образом, чтобы при выходе из строя одного или нескольких дисков (в зависимости от типа RAIDа) данные не потерялись. Основные типы RAID, которые можно использовать в FortiAnalyzer, представлены на рисунке ниже.

RAID 0 распределяет информацию на 2 или более диска. Главная цель скорость и производительность. При выходе одного или нескольких дисков из строя пострадает весь дисковый массив;
RAID 1 распределяет копии информации на 2 или более диска. Если один диск выйдет из строя дисковый массив продолжит работать в обычном режиме;
RAID 5 распределяет информацию по нескольким дискам, и также в каждой так называемой цепочке информации выделяет один диск под данные для восстановления. При выходе одного диска из строя дисковый массив продолжит работать в обычном режиме;
RAID 6 действует похожим образом, только под данные для восстановления выделено уже два диска;
RAID 10 объединяет опции RAID 0 и RAID 1. С помощью этого можно будет продолжать работу с информацией, если выйдут из строя 2 диска (по одному из каждого рейда, иначе считать информацию будет невозможно);
RAID 50 комбинирует функционал RAID 0 и RAID 5. В таком случае стабильная работа с информацией продолжится, даже если в каждом RAID 5 выйдет из строя один диск;
RAID 60 комбинирует функционал RAID 0 и RAID 6. В таком случае стабильная работа с информацией продолжится, даже если в каждом RAID 6 выйдут из строя 2 диска.

Следующий механизм бэкапы логов. Есть несколько вариантов бэкапов из меню Log View, где можно использовать определенный фильтр для сохранения необходимых логов, или Log Browse, откуда можно скачать записанные log файлы. Также есть возможность сделать бэкап логов на внешние сервера с помощью CLI интерфейса.

Еще один механизм, позволяющий защитить важную информацию, содержащуюся в логах избыточность. Здесь также есть несколько вариантов:
Первый, при котором устройства шлют логи сразу на 2 FortiAnalyzerа один из них основной, другой резервный.
Второй метод мы уже обсуждали на прошлом уроке один FortiAnalyzer работает в режиме коллектора и собирает логи с различных устройств. По расписанию собранные логи отправляются на FortiAnalyzer, который работает в режиме Analyzer. В случае выхода второго из строя, коллектор сможет переслать логи на другой FortiAnalyzer.
И третий вариант передача логов с FortiAnalyzerа на внешние сервера, например на Syslog. В таком случае передача логов будет происходить в реальном времени.

Для защиты логов от компрометации используются два основных механизма:

Шифрование канала передачи данных между FortiAnalyzerом и остальными устройствами;
Защита логов от модификации путем добавления контрольной суммы.

В видеоуроке представлен теоретический материал, рассмотренный выше, а также рассматриваются практические аспекты работы с логами их фильтрация, просмотр в различных режимах, настройка обработчиков событий. Приятного просмотра!

На следующем уроке мы подробно рассмотрим аспекты работы с отчетами. Чтобы не пропустить его, подписывайтесь на наш Youtube канал.

Также можете следить за обновлениями на следующих ресурсах:

Группа Вконтакте
Яндекс Дзен
Наш сайт
Телеграм канал

Подробнее..

FortiMail конфигурация для быстрого запуска

15.10.2020 08:09:44 |

Автор: admin

Приветствуем! Сегодня мы расскажем как сделать первичные настройки почтового шлюза FortiMail решения компании Fortinet для защиты электронной почты. В ходе статьи мы рассмотрим макет, с которым будем работать, выполним конфигурацию FortiMail, необходимую для приема и проверки писем, а также протестируем её работоспособность. Основываясь на нашем опыте, можем смело сказать, что процесс очень прост, и даже после минимальной конфигурации можно увидеть результаты.

Начнем с текущего макета. Он представлен на рисунке ниже.

Cправа мы видим компьютер внешнего пользователя, с которого мы будем отсылать почту пользователю во внутреннюю сеть. Во внутренней сети расположен компьютер пользователя, контроллер домена с поднятым на нем DNS сервером и почтовый сервер. На границе сети стоит межсетевой экран FortiGate, главной особенностью которого является настройка проброса SMTP и DNS трафика.

Уделим особое внимание DNS.
Для маршрутизации электронной почты в Интернете используются две DNS записи A запись и MX запись. Обычно данные DNS записи настраиваются на публичном DNS сервере, но из-за ограничений макетирования мы просто пробрасываем DNS через межсетевой экран (то есть у внешнего пользователя в качестве DNS сервера прописан адрес 10.10.30.210).
MX запись запись, содержащая имя почтового сервера, обслуживающего домен, а также приоритет данного почтового сервера. В нашем случае она выглядит так: test.local -> mail.test.local 10.
A запись запись, преобразующая доменное имя в IP адрес, у нас это: mail.test.local -> 10.10.30.210.
Когда наш внешний пользователь попытается отправить письмо на адрес an@test.local, он запросит у своего DNS сервера MX запись домена test.local. Наш DNS сервер ответит именем почтового сервера mail.test.local. Теперь пользователю необходимо получить IP адрес данного сервера, поэтому он снова обращается к DNS за A записью и получает IP адрес 10.10.30.210 (да, снова его:) ). Можно отправлять письмо. Поэтому он пытается установить соединение с полученным IP адресом по 25 порту. С помощью правил на межсетевом экране это подключение пробрасывается на почтовый сервер.

Проверим работоспособность почты в текущем состоянии макета. Для этого на компьютере внешнего пользователя воспользуемся утилитой swaks. С её помощью можно протестировать работоспособность SMTP, отправив получателю письмо с набором различных параметров. Предварительно, на почтовом сервере уже заведен пользователь с ящиком an@test.local. Попробуем отправить ему письмо:

Теперь перейдем на машину внутреннего пользователя и убедимся, что письмо пришло:

Письмо действительно пришло (оно выделено в списке). Значит, макет работает корректно. Самое время перейти к FortiMail. Дополним наш макет:

FortiMail можно развернуть в трех режимах:

Gateway действует как полноценный MTA: принимает всю почту на себя, проверяет её, а после пересылает на почтовый сервер;
Transparent или по другому, прозрачный режим. Устанавливается перед сервером и проверяет входящую и исходящую почту. После этого передает её на сервер. Не требует изменений в конфигурации сети.
Server в данном случае FortiMail является полноценным почтовым сервером с возможностью заведения почтовых ящиков, приёма и отправки почты, а также с другим функционалом.

Мы будем разворачивать FortiMail в режиме Gateway. Зайдем в настройки виртуальной машины. Логин admin, пароль не задан. При первом входе необходимо задать новый пароль.
Теперь сконфигурируем виртуальную машину для доступа к веб интерфейсу. Также необходимо, чтобы машина имела доступ в Интернет. Настроим интерфейс. Нам необходим только port1. С его помощью мы будем подключаться к веб-интерфейсу, а также он будет использоваться для выхода в Интернет. Выход в Интернет нужен для обновления сервисов (сигнатур антивируса и т.д). Для конфигурации введем команды:

config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end

Теперь настроим маршрутизацию. Для этого необходимо ввести следующие команды:

config system route
edit 1
set gateway 192.168.1.1
set interface port1
end

Вводя команды, можно использовать табуляцию, чтобы не печатать их полностью. Также, если вы забыли, какая команда должна идти следующей, можно воспользоваться клавишей ?.
Теперь проверим подключение к Интернету. Для этого пропингуем гугловский DNS:

Как видим, Интернет у нас появился. Первоначальные настройки, характерные для всех устройств Fortinet выполнены, теперь можно переходить к конфигурации через веб-интерфейс. Для этого откроем страницу управления:

Обратите внимание, переходить нужно по ссылке в формате <ip адрес>/admin. Иначе вы не сможете попасть на страницу управления. По умолчанию страница находится в стандартном режиме конфигурирования. Для настроек нам понадобится Advanced режим. Перейдем в меню admin->View и переключим режим на Advanced:

Теперь нам необходимо загрузить триальную лицензию. Сделать это можно в меню License Information -> VM -> Update:

Если у вас нет триальной лицензии, вы можете запросить её, обратившись к нам.
После ввода лицензии устройство должно перезагрузиться. В дальнейшем оно начнет подтягивать обновления своих баз с серверов. Если этого не происходит автоматически, можно перейти в меню System -> FortiGuard и во вкладках Antivirus, Antispam нажать на кнопку Update Now.

Если это не помогает, можно поменять порты, используемые для обновлений. Обычно после этого все лицензии появляются. В итоге это должно выглядеть так:

Настроим верный часовой пояс, это пригодится при исследовании логов. Для этого перейдем в меню System->Configuration:

Также настроим DNS. В качестве основного DNS сервера мы настроим внутренний DNS сервер, а в качестве резервного оставим DNS сервер, который предоставляет Fortinet.

Теперь перейдем к самому интересному. Как вы, наверное, заметили, по умолчанию у устройства установлен режим Gateway. Поэтому нам менять его не нужно. Перейдем в поле Domain & User -> Domain. Создадим новый домен, который необходимо защищать. Здесь нам нужно указать только название домена и адрес почтового сервера (можно также указать его доменное имя, в нашем случае mail.test.local):

Теперь нам нужно указать имя для для нашего почтового шлюза. Оно будет использоваться в MX и A записях, которые нам нужно будет поменять позже:

Из пунктов Host Name и Local Domain Name составляется FQDN, которое используется в DNS записях. В нашем случае FQDN = fortimail.test.local.
Теперь настроим правило получения. Нам необходимо, чтобы все письма, которые приходят извне и назначаются пользователю в домене, пересылались на почтовый сервер. Для этого перейдем в меню Policy -> Access Control. Пример настройки приведен ниже:

Посмотрим на вкладку Recipient Policy. Здесь можно устанавливать определенные правила проверки писем: если почта приходит с домена example1.com, нужно проверять её механизмами, настроенными специально под этот домен. Там уже установлено правило по умолчанию для всей почты, и на данный момент оно нас устраивает. Ознакомиться с данным правилом можно на рисунке ниже:

На этом настройку на FortiMail можно считать законченной. На самом деле возможных параметров намного больше, но если мы начнем рассматривать их все можно будет написать книгу:) А наша цель с минимальными усилиями запустить FortiMail в тестовом режиме.
Осталось две вещи изменить MX и A записи, а также изменить правила проброса портов на межсетевом экране.
MX запись test.local -> mail.test.local 10 необходимо поменять на test.local -> fortimail.test.local 10. Но обычно во время пилотов добавляется вторая MX запись с более высоким приоритетом. Например:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Напомню, что чем меньше порядковый номер предпочтения почтового сервера в MX записи, тем выше её приоритет.
A запись изменить нельзя, поэтому просто создадим новую: fortimail.test.local -> 10.10.30.210. Внешний пользователь будет обращаться на адрес 10.10.30.210 по 25 порту, и межсетевой экран будет пробрасывать соединение на FortiMail.

Для того, чтобы поменять правило проброса на FortiGate, необходимо изменить адрес в соответствующем объекте Virtual IP:

Все готово. Давайте проверим. Снова отправим письмо с компьютера внешнего пользователя. Теперь перейдем на FortiMail в меню Monitor -> Logs. В поле History можно увидеть запись о том, что письмо было принято. Для получение дополнительной информации можно кликнуть на запись правой кнопкой мыши и выбрать пункт Details:

Для полноты картины проверим, может ли FortiMail в текущей конфигурации блокировать письма, содержащие спам и вирусы. Для этого отправим тестовый вирус eicar и тестовое письмо, найденное в одной из баз спам писем (http://personeltest.ru/away/untroubled.org/spam/). После этого снова перейдем в меню просмотра логов:

Как видим, и спам, и письмо с вирусом были успешно опознаны.
Данной конфигурации достаточно для того, чтобы обеспечить базовую защиту от вирусов и от спама. Но на этом функционал FortiMail не ограничивается. Для более эффективной защиты необходимо изучить имеющиеся механизмы и настроить их под свои нужды. В дальнейшем мы планируем осветить другие, более продвинутые возможности данного почтового шлюза.

Если у вас возникли сложности или вопросы по решению, пишите их в комментариях, мы постараемся оперативно на них ответить.
Заявку на запрос триальной лицензии для тестирования решения вы можете оставить здесь.

Автор: Алексей Никулин. Инженер по информационной безопасности Fortiservice.

Подробнее..

Категории: Информационная безопасность , Системное администрирование , Сетевые технологии , Security , Сетевое оборудование , Fortinet , Блог компании fortiservice , Fortinet security fabric , Fortimail , Mail security

4. FortiAnalyzer Getting Started v6.4. Работа с отчетами

20.10.2020 08:07:37 |

Автор: admin

Приветствую, друзья! На прошлом уроке мы изучили основы работы с логами на FortiAnalyzer. Сегодня мы пойдем дальше и рассмотрим основные аспекты работы с отчетами: что из себя представляют отчеты, из чего они состоят, каким образом можно редактировать существующие и создавать новые отчеты. Как обычно, сначала немного теории, а после поработаем с отчетами на практике. Под катом представлена теоретическая часть урока, а также видеоурок, включающий в себя как теорию, так и практику.

Основная цель отчетов объединить большие объемы данных, содержащихся в логах, и на основе имеющихся настроек представить всю полученную информацию в читабельном виде: в виде графиков, таблиц, диаграмм. На рисунке ниже приведен список предустановленных отчетов для устройств FortiGate (в нем поместились не все отчеты, но, думаю, уже из этого списка видно, что даже из коробки можно построить множество интересных и полезных отчетов).

Но отчеты только представляют запрошенную информацию в читабельном виде они не содержат никаких рекомендаций по дальнейшим действиям с обнаруженными проблемами.

Главные составляющие отчетов это чарты. Каждый отчет состоит из одного или нескольких чартов. Чарты определяют, какую информацию необходимо извлечь из логов, и в каком формате ее представить. За извлечение информации отвечают датасеты SELECT-запросы в базу данных. Именно в датасетах точно определяется, откуда и какую именно информацию необходимо извлекать. После того, как в результате запроса появляются необходимые данные, к ним применяются настройки формата (или отображения). В результате полученные данные оформляются в таблицы, графики или диаграммы различного типа.

В SELECT-запросе используются различные команды, с помощью которых задаются условия к извлекаемой информации. Самое важное, что стоит учесть данные команды должны применяться в определенном порядке, именно в таком порядке они приведены далее:
FROM единственная из команд, которая является обязательной в SELECT-запросе. Она указывает на тип логов, из которых необходимо извлекать информацию;
WHERE с помощью этой команды задаются условия к логам (например, определенное имя приложения/атаки/вируса);
GROUP BY эта команда позволяет сгруппировать информацию по одному или нескольким интересующим столбцам;
ORDER BY с помощью этой команды можно упорядочить вывод информации по строкам;
LIMIT Ограничивает количество возвращаемых запросом записей.

FortiAnalyzer содержит предустановленные шаблоны для отчетов. Шаблоны являются так называемым макетом отчета они содержат текст отчета, его чарты и макросы. С помощью шаблонов можно создавать новые отчеты, если в предустановленных требуются минимальные изменения. Однако предустановленные отчеты нельзя редактировать и удалять можно их склонировать, и над копией производить необходимые изменения. Также есть возможность создавать собственные шаблоны для отчетов.

Иногда можно столкнуться со следующей ситуацией: предустановленный отчет подходит под задачу, но не полностью. Возможно, в него нужно добавить какую-нибудь информацию, или, наоборот удалить. В таком случае есть два варианта: склонировать и изменить шаблон, или же сам отчет. Здесь нужно опираться на несколько факторов:
Шаблоны являются макетом для отчета, они содержат чарты и текст отчета, не более того. Сами отчеты, в свою очередь, помимо так называемого макета содержат различные параметры отчета: язык, шрифт, цвет текста, период генерации, фильтрация информации и так далее. Поэтому, если необходимо внести изменения только в макет отчета, можно использовать шаблоны. Если необходима дополнительная конфигурация отчета, можно редактировать сам отчет (а точнее его копию).
На основе шаблонов можно создавать несколько однотипных отчетов, поэтому если предстоит сделать множество похожих друг на друга отчетов, то предпочтительнее использовать шаблоны.
В том случае, если предустановленные шаблоны и отчеты вам не подходят, можно создать как новый шаблон, так и новый отчет.

Также на FortiAnalyzer существует возможность настроить пересылку отчетов отдельным администраторам на электронную почту или их выгрузку на внешние сервера. Делается это с помощью механизма Output Profile. В каждом административном домене настраиваются отдельные Output Profiles. При конфигурации Output Profile определяются следующие параметры:

Форматы отсылаемых отчетов PDF, HTML, XML или CSV;
Место, куда будут отсылаться отчеты. Это может быть электронная почта администратора (для этого необходимо привязать FortiAnalyzer к почтовому серверу, это мы рассматривали на прошлом уроке). Также это может быть внешний файловый сервер FTP, SFTP, SCP;
Можно указать, что делать с локальными отчетами, которые остались на устройстве после пересылки оставить их или удалить.

При необходимости есть возможность ускорить генерацию отчетов. Рассмотрим два способа:
При создании отчета FortiAnalyzer строит чарты из предварительно скомпилированных данных кэша SQL, известных как hcache. Если данные hcache не созданы при запуске отчета, система должна сначала создать hcache, а затем построить отчет. Это увеличивает время формирования отчета. Однако если новые логи для отчета не получены, при повторной генерации отчета время его генерации значительно уменьшится, поскольку данные hcache уже скомпилированы.
Чтобы повысить производительность генерации отчетов, можно включить автоматическое создание hcache в настройках отчета. В этом случае hcache автоматически обновляется при поступлении новых логов. Пример настройки приведен на рисунке ниже.
Этот процесс использует большое количество системных ресурсов (особенно для отчетов, требующих длительного времени для сборки данных), поэтому после включения необходимо наблюдать за состоянием FortiAnalyzer: сильно ли возросла нагрузка, присутствует ли критическое потребление системных ресурсов. В случае, если FortiAnalyzer не справляется с нагрузкой, данный процесс лучше отключить.
Также следует отметить, что автоматическое обновление данных hcache по умолчанию активировано для запланированных отчетов.

Второй способ ускорить генерацию отчетов группировка:
Если одни и те же (или похожие) отчеты генерируются для различных устройств FortiGate (или других устройств Fortinet), можно значительно ускорить процесс их генерации путем группировки. Группировка отчетов может уменьшить количество таблиц hcache и ускорить время автоматического кэширования, вследствие чего ускорить генерацию отчетов.
В примере, приведенном на рисунке ниже, отчеты, в названии которых содержится строка Security_Report, группируются по параметру Device ID.

В видеоуроке представлен теоретический материал, рассмотренный выше, а также рассматриваются практические аспекты работы с отчетами от создания собственных датасетов и чартов, шаблонов и отчетов до настройки пересылки отчетов администраторам. Приятного просмотра!

На следующем уроке мы рассмотрим различные аспекты администрирования FortiAnalyzer, а также схему его лицензирования. Чтобы не пропустить его, подписывайтесь на наш Youtube канал.

Также можете следить за обновлениями на следующих ресурсах:

Группа Вконтакте
Яндекс Дзен
Наш сайт
Телеграм канал

Подробнее..

5. FortiAnalyzer Getting Started v6.4. Сопровождение и лицензирование

27.10.2020 08:18:20 |

Автор: admin

Всем привет! Добро пожаловать на заключительный урок курса FortiAnalyzer Getting Started. Данный урок будет чисто теоретическим: в нем мы рассмотрим все моменты, которые связаны с сопровождением устройства и по каким-то причинам не попали в прошлые уроки. Также мы рассмотрим схему лицензирования FortiAnalyzer. Под катом представлен материал данного урока в виде статьи, а также в форме видеоурока.

В зависимости от инфраструктуры может появиться необходимость распределить административные задачи между разными пользователями. В таком случае на FortiAnalyzer можно создать несколько административных учетных записей. Но стоит понимать, что каждый новый администратор увеличивает риск нарушения безопасности сети.

Для увеличения уровня защищенности сети можно использовать несколько методов контроля административного доступа:

Профили администраторов;
Доверенные хосты;
Административные домены.

Рассмотрим каждый из этих методов подробнее.

При создании различных учетных записей администраторов не следует давать им больше привилегий, чем необходимо для выполнения их задач. Для данной цели FortiAnalyzer использует механизм профилей администраторов. Каждый профиль содержит список привилегий, доступных администратору. В системе имеется три преднастроенных профиля администратора:

SuperUser - предоставляет доступ ко всем системным привилегиям и привилегиям на управление устройствами;

StandartUser - предоставляет доступ к привилегиям на управление устройствами, без системных привилегий;

Restricted_User - предоставляет доступ на чтение настроек устройств, без системных привилегий.

Также можно создавать собственные профили администраторов со своим набором привилегий. К каждой учетной записи администратора должен быть применен один из существующих профилей.

В дополнение к профилям администраторов для контроля доступа можно настроить доверенные устройства для каждой учетной записи администратора. Они позволяют обеспечить доступ администратора только с конкретных IP-адресов - устройств или подсетей. К примеру, если настроить одно доверенное устройство с IP-адресом 192.168.232.10, то данный администратор сможет подключаться к FortiAnalyzer только с этого IP-адреса, с других доступ будет запрещен.

Причем, контроль через доверенные устройства распространяется как на Web интерфейс, так и на CLI интерфейс при доступе через SSH.

Еще один механизм разграничения доступа - административные домены. Использование административных доменов усиливает эффективность управления устройствами, поскольку каждому администратору необходимо управлять только устройствами, принадлежащим к конкретным административным доменам. Это также увеличивает уровень безопасности, поскольку каждый администратор ограничен в управлении только теми устройствами, к которым у него должен быть доступ.

Администратор с профилем Super_User имеет полный доступ ко всем административным доменам. Администраторы с другими профилями имеют доступ только к тем административным доменам, к которым они привязаны - это может быть один или несколько доменов.

Вместо создания администраторов локально к FortiAnalyzer можно привязать внешние серверы аутентификации. Для верификации внешних администраторов могут использоваться LDAP, RADIUS, TACATS+, и PKI. При использовании нескольких серверов аутентификации каждый сервер необходимо привязывать отдельно.

С помощью различных механизмов мониторинга можно отслеживать поведение администраторов, а также выполнение текущих действий. В поле System Settings > Admin > Administrators можно увидеть сессии администраторов: кто сейчас активен, а также их доверенные устройства. По умолчанию только администраторы с профилем Super_User имеют доступ к данному списку.

Отследить активность администраторов можно с помощью меню System Settings > Event Log. Здесь указываются различные действия администраторов, такие как изменения конфигурации, а также удачные или неудачные попытки входа в систему.

В меню System Settings > Task Monitor можно отслеживать статус и прогресс задач, выполняемых на FortiAnalyzer.

Зарегистрированные устройства можно перемещать между административными доменами. Однако не стоит этого делать, пока в этом нет строгой необходимости. Как один из примеров - в одном административном домене содержатся несколько устройств, и некоторые из них генерируют слишком много логов, а другие - наоборот - мало логов. В такой ситуации рекомендуется устройства с высоким уровнем генерации логов поместить в один административный домен, а устройства с низким - в другой. Такой подход способствует эффективному управлению доступным пространством в каждом административном домене.

Помимо создания нового административного домена для перемещения, можно отредактировать уже существующий административный домен и в процессе редактирования добавить туда устройство, которое нужно переместить.

Заметим, что при обновлении операционной системы FortiGate нет необходимости перемещать его в новый административный домен.

Перед тем, как перемещать устройство в другой административный домен, необходимо учесть несколько моментов, особенно если перемещаемое устройство уже собирало логи в старом административном домене:

Необходимо проверить, достаточно ли выделенного дискового пространства для нужд перемещаемого устройства;
Нужны ли существующие логи для аналитики в новом административном домене? Если да, после перемещения устройства необходимо перестроить базу данных в новом административном домене.
Нужны ли существующие логи для аналитики в старом административном домене? Если нет, после перемещения устройства необходимо перестроить базу данных в старом административном домене. В противном случае данные логи будут удалены в соответствие с политикой хранения данных в старом административном домене.

Остальные моменты, связанные с сопровождением устройства, в том или ином виде обсуждались на прошлых уроках. Поэтому перейдем к лицензированию FortiAnalyzer. Для удобства элементы, составляющие годовую стоимость владения, отмечены зеленым цветом. Существует 5 вариантов покупки устройства:

Первый вариант - физическое устройство и пакет подписок, содержащий также техническую поддержку - в одном артикуле. Удобно при первоначальной покупке. Ежегодной стоимостью владения является уже отдельный пакет подписок, включающий в себя техническую поддержку. Также отдельно можно купить сервис RMA, в таком случае его цена также будет входить в стоимость ежегодного владения. Отметим, что для железного устройства FortiAnalyzer 200F сервис SOC недоступен.

Второй вариант - отдельный артикул на физическое устройство, а также отдельный артикул на пакет подписок, включающий в себя техническую поддержку. Обычно выходит дороже первого варианта. Ежегодной стоимостью владения также является пакет подписок, включающий в себя техническую поддержку. Также отдельно можно купить сервис RMA, в таком случае его цена также будет входить в стоимость ежегодного владения.

Третий вариант - отдельный артикул на физическое устройство, а также отдельные артикулы на каждый вид подписки (IOC или SOC), также отдельные артикулы на техническую поддержку и RMA. В таком случае выбранные отдельные артикулы на сервисы, техническую поддержку и RMA будут составлять ежегодную стоимость владения, если при продлении не будет меняться их состав.

Четвертый вариант - отдельный артикул для базовой виртуальной машины, а также опциональный отдельный артикул на расширение памяти, он также является единоразовым, далее артикулы на техническую поддержку и сервисы IOC и RMA. Ежегодную стоимость владения в данном случае составляют сервис технической поддержки и выбранные сервисы IOC и RMA.

И последний вариант - отдельные артикулы на базовую виртуальную машину и расширение памяти, отдельный артикул с пакетом подписок, включающим в себя техническую поддержку и сервисы IOC и SOC. Также опциональный артикул - сервис RMA. Ежегодная стоимость владения в данном случае считается как цена подписки, и цена RMA, если он также выбран для покупки.

Замечу, что ежегодная стоимость владения может меняться: есть возможность докупать другие сервисы или наоборот, при продлении покупать меньше сервисов, чем было раньше.

Ниже представлен ролик, в котором вся приведенная выше информация представлена в видеоформате:

На этом мы хотим закончить данный курс. Как и отмечалось в его начале, курс получился не слишком объемным, мы постарались вкратце описать основные принципы и возможности продукта FortiAnalyzer. Надеемся, что данный курс будет полезен тем, кто только знакомится с продукцией компании Fortinet, и с FortiAnalyzer в частности. Периодически мы выпускаем статьи, видео, и курсы по различным продуктам компании Fortinet. Чтобы их не пропустить, следите за обновлениями на наших ресурсах:

Категории: Информационная безопасность , Системное администрирование , Сетевые технологии , Security , Сетевое оборудование , Ngfw , Fortinet , Fortigate , Блог компании fortiservice , Fortianalyzer , Fortiservice , Fortinet security fabric , Utm , Soc , Network security

Fortinet Security Fabric на практике. Часть 1. Общий обзор

10.11.2020 08:19:47 |

Автор: admin

Приветствуем! Понятие Fortinet Security Fabric нельзя назвать новым - оно фигурирует на рынке уже более пяти лет, если не дольше. Но на практике мы до сих порой сталкиваемся с множеством вопросов по поводу того, что она из себя представляет и как работает. Поэтому, мы решили выпустить небольшой цикл статей, рассказывающий об одном из вариантов внедрения так называемой фабрики безопасности (заметим, данный перевод неверен, но уже плотно вошел в обиход, правильнее будет - ткань безопасности) в корпоративную сеть. Почему один вариант? Вариантов на самом деле великое множество, каждый продукт Fortinet добавляет свои преимущества в фабрику, а продуктов у них очень много. Мы решили рассмотреть вариант из основных продуктов, которые, взаимодействуя между собой, обеспечивают широкую видимость сети и позволяют автоматизировать как рутинную работу, так и реакцию на различные угрозы.

В ходе данного цикла мы рассмотрим взаимодействие следующих продуктов:

FortiGate - межсетевой экран нового поколения (NGFW), позволяющий защищать периметр сети (или ее различные сегменты) от различных угроз. Ядро фабрики безопасности. Является флагманским продуктом компании Fortinet. Отдельно мы данный продукт уже рассматривали, если вы с ним не знакомы, советуем посмотреть данный курс.

FortiAnalyzer - устройство для сбора и анализа логов с различных устройств Fortinet. Также является неотъемлемой частью фабрики безопасности. Его мы также рассматривали на этом курсе. В целом, FortiGate и FortiAnalyzer уже образуют своеобразную фабрику безопасности: FortiGate защищает сеть от угроз, тем самым генерирует логи и отправляет их на FortiAnalyzer. FortiAnalyzer в свою очередь анализирует эти логи и позволяет строить по ним отчеты, а также автоматизировать различные процессы, зависящие от поступления тех или иных логов.

Но на этот раз данного функционала нам недостаточно, поэтому мы также рассмотрим следующие продукты:

FortiClient EMS - решение для централизованного управления и защиты конечных точек. Позволяет собирать с пользовательских устройств различную телеметрию и на ее основе управлять доступом устройств в различные сети. Также эта телеметрия позволяет расширить видимость сети. Как и стандартные клиенты, обладает функционалом антивируса, веб фильтрации, контроля приложений, сканера уязвимостей, контроля USB подключений и т.д. В совокупности с FortiGate и FortiAnalyzer позволяет автоматизировать поведение при обнаружении угроз. Про установку и начальную конфигурацию FortiClient EMS мы уже писали здесь.

FortiSwitch - коммутаторы от Fortinet. Могут работать как отдельные устройства, так и управляться с самого FortiGate с помощью проприетарного протокола FortiLink. В таком случае они являются расширениями портов FortiGate. Это также расширяет видимость сети, а также дает возможность автоматизировать поведение при обнаружении угрозы - например, поместить отдельное устройство в карантинный VLAN. В таком случае устройство получит минимально необходимый доступ (это можно настроить), а все возможные коммуникации с другими устройствами в сети будут прекращены для предотвращения распространения угрозы. Подробнее FortiSwitch мы рассмотрим в одной из статей данного цикла.

FortiAP - беспроводная точка доступа от Fortinet. Позволяет обеспечить безопасность пользователей, подключающихся к сети по WiFi. Через точку доступа также расширяется видимость сети и появляются возможности автоматизации, аналогично с FortiSwitch. Подробнее FortiAP мы также рассмотрим в одной из статей данного цикла.

В итоге мы получим сеть, построенную на продуктах компании Fortinet. Выглядеть она будет примерно так:

Вместе с инфраструктурой мы получаем защиту на разных уровнях - защиту на уровне доступа с помощью FortiSwitch и FortiAP, защиту на уровне конечных устройств с помощью FortiClient EMS и ПО FortiClient, установленного на устройства, а также защиту периметра сети с помощью межсетевого экрана FortiGate. Помимо этого, обеспечивается полная видимость всех устройств в сети, а также появляется возможность автоматизации процессов ИБ с помощью функционала устройства FortiAnalyzer.

Перейдем к построению схем. Поскольку в нашем случае все будет разворачиваться на макете, схемы получатся упрощенными. Однако, их концепция все равно будет совпадать с тем, что встречается в реальных сетях.

Как правило, разработка проекта интеграции начинается с построения L2 схемы. Нам необходимо разграничить несколько VLANов: пользовательский (в реальных случаях может делиться на множество других VLANов), гостевой и сервисный (здесь у нас будут располагаться необходимые сервера - FortiAnalyzer, FortiClient EMS, контроллер домена). Пусть гостевой VLAN имеет номер 50, пользовательский - 100, а сервисный - 150. FortiGate и FortiSwitch в данном случае представляют собой единое устройство, на котором терминируются данные VLAN'ы. Итоговая схема представлена на рисунке ниже:

Теперь перенесем все это на L3. Выглядеть это будет примерно так: три подсети, одна из них пользовательская, вторая - гостевая, третья - сервисная. Все подсети терминируются на FortiGate и FortiSwitch, объединенных в единое устройство с помощью FortiLink. В итоге схема выглядит следующим образом:

На этом мы хотим закончить первую статью данного цикла. В дальнейшем мы отдельно рассмотрим продукты FortiSwitch и FortiAP, интеграцию и настройку всех вышеперечисленных продуктов, а также их возможности в составе Fortinet Security Fabric. Чтобы ничего не пропустить, следите за обновлениями на наших ресурсах:

Fortinet Security Fabric на практике. Часть 4. Взаимная интеграция

08.12.2020 06:17:45 |

Автор: admin

Доброго дня! В наших прошлых статьях мы рассказали про концепцию Fortinet Security Fabric, а также описали продукты FortiSwitch и FortiAP. Теперь пришло время рассмотреть процесс взаимной интеграции продуктов фабрики безопасности на практике, а также познакомиться с возможностями, которые предоставляет данная интеграция. В данной статье мы рассмотрим именно процесс интеграции - постараемся построить сеть, речь о которой велась речь здесь.

Перед тем, как начать построение сети, необходимо решить следующий вопрос - выбрать версию операционной системы для каждого продукта. Вопрос этот очень важный: если выбрать неверную версию операционной системы хотя бы у одного продукта, возможны различные проблемы при интеграции и взаимодействии данного продукта с остальными.

Отталкиваться мы будем с ядра нашей фабрики безопасности - FortiGate. Выберем самую новую версию, на данный момент это 6.4.3. Теперь выберем версию операционной системы для FortiAnalyzer. Для этого воспользуемся данным документом. В левом столбце необходимо найти нужную версию ОС на FortiGate, в нашем случае это 6.4.3. Теперь ищем поля, отмеченные галочкой: это означает, что версия ОС FortiAnalyzer,указанная в данном столбце, совместима с версией 6.4.3 для FortiGate. В нашем случае совместимая версия только одна - 6.4.3. Соответственно, ее мы и выбираем.

Для выбора операционной системы FortiSwitch необходимо воспользоваться этим документом. Из него видно, что под версию 6.4.3 FortiGate подходят две ОС FortiSwitch - 6.4.3 и 6.4.4. В таких случаях вендор рекомендует выбирать последнюю версию. Так и поступим.

Теперь выберем версию операционной системы для FortiAP. В этом нам поможет следующий ресурс. У нас на тестировании находится модель FortiAP-U421EV, поэтому переходим в раздел FortiAP-U, ищем пункт FortiOS 6.4.x compatibility, и в нем ищем подходящую версию ОС FortiAP-U421EV для 6.4.3 версии FG. Это версия 6.0.4.

Остался FortiClient EMS. Рассмотрим данный документ. Из него видно, что нам необходима 6.4.x версия ОС на FortiClient EMS. По традиции возьмем самую последнюю.

Теперь, когда мы определились с версиями операционных систем, самое время перейти к интеграции. Начнем с самого простого этапа - интеграции FortiGate и FortiAnalyzer. Для этого со стороны FortiGate перейдем в меню Log Settings -> Remote Logging and Archiving. В этом разделе необходимо активировать отправку логов на FortiAnalyzer/FortiManager и использовать IP адрес FortiAnalyzer. Период отправки логов лучше установить в Real Time, чтобы на FortiAnalyzer в любой момент времени была актуальная информация. После того, как все настройки заданы, необходимо нажать на кнопку Test Connectivity. Таким образом, мы отправим запрос для авторизации нашего устройства на FortiAnalyzer:

Теперь перейдем на FortiAnalyzer в меню Device Manager. В списке у нас появилось одно неавторизованное устройство:

Нажимаем на кнопку Authorize:

На этом интеграция FortiGate и FortiAnalyzer закончена. Перейдем к интеграции FortiGate и FortiSwitch. Для данной интеграции необходимо настроить интерфейс FortiLink:

В поле Interface Member необходимо выбрать интерфейсы, которые будут служить в качестве FortiLink - это может быть один или несколько интерфейсов. В FortiGate 61F для FortiLink по умолчанию выделено 2 интерфейса. В поле Address указывается адрес интерфейса FortiLink и маска подсети - к данной подсети будут относиться все подключаемые устройства FortiSwitch. Далее идут настройки раздачи IP адресов для подключаемых устройств FortiSwitch. Этих настроек нам вполне достаточно для интеграции, теперь переходим в меню Managed FortiSwitch.

Если FortiSwitch физически подключен к интерфейсу, на котором заведен FortiLink, он должен автоматически появиться в списке устройств и иметь статус unauthorize. Мы рассмотрим способ ручного добавления FortiSwithc. Для этого нажимаем на кнопку Create New. В появившемся окне вводим серийный номер FortiSwitch, а также даем ему название:

Теперь в списке устройств появился наш FortiSwitch. Авторизовываем его с помощью кнопки Authorize. После этого необходимо немного подождать, чтобы FortiSwitch получил статус Online:

Из представленной информации мы видим, что FortiSwitch работает на версии ОС 6.2.3. Поэтому, нам нужно обновить его до версии 6.4.4. Образ данной версии необходимо взять с портала технической поддержки в разделе Download -> Firmware Images -> FortiSwitch. Здесь необходимо выбрать необходимую версию, а после образ для конкретной модели. Далее, возвращаемся на FortiGate, выделяем необходимый FortiSwitch и нажимаем на кнопку Upgrade. В меню Upload загружаем необходимый образ и нажимаем Upgrade. По истечении нескольких минут обновление будет установлено на FortiSwitch.

Теперь перейдем к FortiAP. Она подключена к FortiSwitch по 4 порту. В соответствии со схемой, которую мы разработали здесь, нам необходимо создать для нее отдельный VLAN:

Для того, чтобы FortiAP могла управляться с помощью FG, необходимо активировать опцию Security Fabric Connection в поле Administrative Access. Остальные настройки оставляем по умолчанию. Теперь переходим в поле FortiSwitch Ports и в настройках 4 порта устанавливаем Native Vlan - WLAN:

Теперь переходим в поле Managed FortiAP. В списке появилась нужная точка доступа, авторизовываем её. Переходим в настройки точки доступа и конфигурируем параметры следующим образом:

После данных настроек статус точки доступа меняется на Online. Теперь необходимо обновить точку доступа до версии 6.0.4. Для этого в списке доступных точек доступа кликаем правой кнопкой мыши по необходимой и выбираем функцию Upgrade. В этот раз воспользуемся другим вариантом обновления - через FortiGuard. В таком случае нет необходимости скачивать образ с сайта поддержки, а потом загружать его на устройство - необходимый образ скачается автоматически при запуске обновления.

После обновления интеграцию точки доступа в нашу фабрику безопасности можно считать завершенной. Остался последний этап - интеграция FortiClient EMS.

Для этого на FortiGate переходим в меню Security Fabric -> Fabric Connector -> Create New -> FortiClient EMS. Здесь указываем название коннектора, а также IP адрес сервера, на котором установлен FortiClient EMS.

Также со стороны FortiGate необходимо авторизовать сертификат FortiClient EMS. Для этого в правой части окна напротив надписи Certificate - Not Authorized нужно нажать на кнопку Authorize и дальше нажать Accept.

Теперь необходимо авторизовать FortiGate со стороны FortiClient EMS. Перейдя на FortiClient EMS мы увидим запрос с информацией о FortiGate, который пытается подключиться. Авторизуем его:

Мы установили FortiClient EMS самой последней версии - 6.4.1. Поэтому, на этом интеграцию FortiClient EMS в фабрику безопасности также можно считать завершенной.

Думаю, вы заметили, что сам процесс интеграции не вызывает сложностей - это мы и хотели показать. В следующей статье мы рассмотрим работу с интегрированной фабрикой и познакомимся с возможностями, которые она предлагает. Чтобы не пропустить новые материалы, подписывайтесь на обновления наших каналов:

Категории: Информационная безопасность , Системное администрирование , Сетевые технологии , Сетевое оборудование , Fortinet , Fortigate , Блог компании fortiservice , Fortianalyzer , Fortiservice , Fortinet security fabric , Network security , Fortiswitch , Fortiap , Forticlient ems , Forticlient

Fortinet Single Sign-On. Описание технологии

25.02.2021 08:12:25 |

Автор: admin

Приветствуем! На протяжении всего времени нашей работы с решениями компании Fortinet, а в частности с межсетевым экраном нового поколения FortiGate, одним из самых интересующих вопросов является контроль и отслеживание трафика отдельных пользователей или групп пользователей. Сегодня мы хотим подробно рассказать о механизме прозрачной аутентификации пользователей на межсетевом экране FortiGate с помощью технологии Fortinet Single Sign-On. Данная статья будет посвящена именно теоретическому аспекту FSSO, поскольку в данном случае без теории тяжело разобраться, что происходит на практике.

Single Sign-On (SSO) - механизм, позволяющий идентифицированным пользователям получать доступ к различным ресурсам в сети без повторной аутентификации. При работе с межсетевым экраном FortiGate, SSO реализуется с помощью FSSO (Fortinet Single Sign On) - комплекса программных агентов, который позволяет устройству FortiGate идентифицировать пользователей сети и тем самым контролировать их доступ к ресурсам сети, а также отслеживать трафик различных пользователей. Когда пользователь аутентифицируется в домене, FSSO агент отправляет на FortiGate имя пользователя, его IP адрес, а также список групп, к которым данный пользователь принадлежит. FortiGate использует данную информацию для того, чтобы разрешить или запретить данному пользователю доступ к сетевым ресурсам. FSSO обычно используется со службами каталогов, такими как Windows Active Directory или Novell eDirectory. Работа FSSO зависит от используемой службы каталогов. В данной статье мы будем рассматривать FSSO для Windows Active Directory (AD).

FSSO для Windows AD использует коллектор агента. Агенты для контроллеров домена (DC агент) также могут использоваться, в зависимости от режима работы коллектор агента. Существует два основных режима работы: DC Agent Mode (режим, в котором используются DC агент) и Polling Mode (в этом режиме используются только коллектор агенты). Также на FortiGate может использоваться Polling режим, который не требует установки сторонних агентов на сервера. Однако, данный вариант подходит только для простых сетей с минимальным количеством пользователей.

Для начала рассмотрим режим DC Agent Mode. Данный режим является рекомендованным для FSSO. Для него требуется:

DC агент, установленный на каждый контроллер домена - если в сети имеется несколько контроллеров домена, агент должен быть установлен на каждый из них;

Коллектор агент - второй компонент FSSO, установленный на сервер Windows, являющийся членом домена. Он собирает события, полученные с агентов для контроллеров домена, и перенаправляет их на FortiGate. Также он отвечает за верификацию групп и проверку рабочих станций на предмет выхода пользователя из системы. Коллектор агент может отсылать на FortiGate информацию о локальных группах безопасности, организационных подразделениях, а также о глобальных группах безопасности. Также коллектор агент можно настроить для выполнения DNS запросов.

Схема работы FSSO в режиме DC Agent Mode представлена на рисунке ниже:

При аутентификации пользователя DC агент перехватывает запись о входе на контроллере домена.
Затем DC агент выполняет DNS запрос для определения IP адреса пользователя и передает полученную информацию на коллектор.. После того, как коллектор получает информацию, он снова выполняет DNS запрос для того, чтобы определить, был ли изменен IP адрес пользователя.
После этого, вся информация о пользователе передается на FortiGate.
После того, как коллектор передал всю информацию о пользователе, FortiGate знает этого пользователя, его IP адрес и группы, к которым он принадлежит. Когда пользователь пытается получить доступ к интересующим его сетевым ресурсам (в том числе и к Интернету), FortiGate сравнивает IP адрес источника с IP адресами, находящимися в списке активных FSSO пользователей. Поскольку пользователь уже авторизован в домене, и FortiGate содержит информацию о нем, пользователь не будет авторизовываться повторно. Вместо этого, доступ данного пользователя к интересующему ресурсу будет разрешен или запрещен в зависимости от политики безопасности, под которую попадает трафик данного пользователя.

Перейдем ко второму режиму - Collector Agent-Based Polling Mode. Данный режим не требует установки DC агентов на контроллеры домена. Однако, требования к установке коллектор агентов на сервер или сервера, принадлежащие домену, остаются. В таком случае коллектор агент периодически опрашивает контроллеры домена на предмет наличия событий log-on пользователей. Для этого могут использоваться различные методы:

NetAPI: Агент обращается к временным сессиям, созданным на контроллере домена в момент входа пользователей в домен, и вызывает функцию NetSessionEnum. Данный метод работает быстрее остальных, однако он может пропустить некоторые события входа при высокой нагрузке контроллера домена. Это связано с тем, что при высокой нагрузке сессии могут удаляться из оперативной памяти до того, как агент успеет к ним обратиться и передать информацию на FortiGate.

WinSecLog: Агент обращается ко всем логам событий безопасности в контроллере домена. В таком случае, он не пропустит ни одного события входа пользователя, поскольку логи событий безопасности обычно не удаляются. Однако, при передаче информации на FortiGate возможны задержки - главными причинами являются большой объем сети, а также медленная скорость записи логов. Данный метод является самым распространенным.

WMI: Агент с помощью Windows API получает системную информацию с контроллера домена. Контроллер домена по запросу возвращает все требуемые события входа пользователей в домен. Данный способ позволяет уменьшить нагрузку канала между коллектор агентом и контроллером домена.

Схема работы Collector Agent-Based Polling режима представлена на рисунке ниже:

Пользователь аутентифицируется в домене, предоставляя свои учетные данные на контроллер домена;
Коллектор агент периодически (раз в несколько секунд) опрашивает контроллер домена на предмет наличия событий входа пользователей в домен;
Коллектор агент посылает полученную информацию на FortiGate;
Поскольку пользователь уже авторизован в домене, и FortiGate содержит информацию о нем, пользователь не будет авторизовываться повторно. Вместо этого, доступ данного пользователя к интересующему ресурсу будет разрешен или запрещен в зависимости от политики безопасности, под которую попадает данный трафик.

И третий режим, который мы сегодня рассмотрим - Agentless Polling Mode. Процесс его работы схож с предыдущим режимом, однако вместо использования коллектор агента, FortiGate опрашивает контроллер домена самостоятельно. Из-за этого присутствует ряд ограничений:

Требуется больше системных ресурсов;
Происходит опрос только двух событий - ID 4768 и ID 4769. Для этого используется протокол SMB;
Отсутствуют дополнительные возможности, которые можно использовать при наличии коллектор агента, например - проверка конечных станций.

Схема работы данного режима представлена на рисунке ниже.

FortiGate опрашивает контроллер домена для получения событий входа пользователей в систему.
После аутентификации пользователя на контроллере домена, FortiGate получает это событие во время следующего опроса в совокупности со следующей информацией: имя пользователя, имя машины, IP адрес. Затем, он запрашивает группы пользователей, о которых получил информацию.
Когда пользователь пытается получить доступ к сетевому ресурсу, FortiGate уже имеет всю необходимую информацию о данном пользователе, и пользователю не нужно аутентифицировать повторно. Вместо этого, доступ данного пользователя к интересующему ресурсу будет разрешен или запрещен в зависимости от политики безопасности, под которую попадает трафик данного пользователя.

Подведем итоги, выделив основные отличия в режимах DC Agent Mode и Polling Mode:

FSSO в режиме DC Agent Mode сложнее в инсталяции. Он требует установки коллектор агента, а также DC агента на каждый контроллер домена, в котором мониторятся события входа в систему. Но в то же время этот режим является более масштабируемым, поскольку работа по захвату событий входа реализуется DC агентами, которые и передают данную информацию на коллектор агент.

В Polling Mode коллектору необходимо опрашивать каждый контроллер домена раз в несколько секунд. При увеличении числа контроллеров домена, число запросов также растет. Даже если использовать несколько коллектор агентов - каждый из них должен опрашивать все контроллеры домена самостоятельно.

Также, в режиме DC Agent Mode необходимые события собираются один раз и отправляются на привязанные коллектор агенты. Поэтому, события входа пользователей не упускаются. А в режиме Polling Mode, некоторые события входа могут быть пропущены, или при их передаче может возникнуть задержка.

Для удобства, основные отличия в режимах были сведены в таблицу:

	DC Agent Mode	Polling Mode
Инсталяция	Сложная - одна инсталяция на один контроллер домена. Требуется перезагрузка.	Простая - одна инсталляция или настройка на FortiGate
Требуется ли DC агент	Да	Нет
Масштабирование	Высокий уровень масштабирования	Низкий уровень масштабирования
Уровень захвата событий	Захватываются все события	Некоторые события могут быть пропущены (NetAPI) или могут быть переданы с задержкой (WinSecLog)

На этом теоретическая часть, посвященная технологии FSSO, закончена. В следующий раз мы осветим именно практические аспекты данной технологии. Чтобы не пропустить новых материалов, следите за новостями на наших каналах:

	Русский
	English

Блог компании fortiservice

Категории

Последние комментарии