Por: José C. Nieves-Pérez

06/25/2024

Introducción

Los firewalls Fortigate son dispositivos de seguridad de red que ofrecen una amplia gama de herramientas y características diseñadas para detectar y responder a posibles ataques. Estos dispositivos son esenciales para proteger redes de diversas amenazas, desde malware hasta ataques más sofisticados. A continuación, se detallan las principales herramientas y características de Fortigate para la detección de ataques, junto con recomendaciones básicas para usuarios novatos.

Herramientas y Características

1. Intrusion Prevention System (IPS)
   • Descripción: El IPS de Fortigate monitoriza el tráfico de red en tiempo real y ofrece protección contra una amplia gama de amenazas. Utiliza firmas y heurísticas para detectar y bloquear exploits conocidos y vulnerabilidades.
   • Recomendación: Configura y actualiza regularmente las firmas de IPS para asegurar que el firewall pueda detectar y mitigar las amenazas más recientes.
2. Application Control
   • Descripción: Esta herramienta permite monitorear y controlar las aplicaciones que se ejecutan en la red, lo que ayuda a detectar y prevenir el uso de aplicaciones no autorizadas o maliciosas.
   • Recomendación: Implementa políticas de control de aplicaciones que restrinjan el uso a solo aquellas aplicaciones necesarias para las operaciones del negocio.
3. Antivirus y Anti-Malware
   • Descripción: Fortigate incluye capacidades avanzadas de antivirus y anti-malware para detectar y bloquear virus, spyware y otros softwares maliciosos.
   • Recomendación: Mantén las definiciones de virus y malware actualizadas y realiza análisis periódicos de tu red.
4. Web Filtering
   • Descripción: Esta herramienta bloquea el acceso a sitios web maliciosos o no deseados, previniendo ataques basados en web y controlando el acceso de los usuarios al contenido en línea.
   • Recomendación: Configura políticas de filtrado web para bloquear categorías de sitios web que no sean necesarios para las actividades comerciales.
5. Email Filtering
   • Descripción: Fortigate filtra el tráfico de correo electrónico para detectar y bloquear spam, intentos de phishing y otras amenazas basadas en email.
   • Recomendación: Activa el filtrado de correo electrónico y ajusta las configuraciones de spam y phishing para proteger las comunicaciones por email.
6. Sandboxing (FortiSandbox)
   • Descripción: Archivos sospechosos se envían a un entorno aislado (sandbox) para un análisis detallado, lo que ayuda a detectar y mitigar amenazas avanzadas que las medidas de seguridad tradicionales podrían no identificar.
   • Recomendación: Integra FortiSandbox con tu Fortigate para analizar archivos desconocidos o sospechosos de manera proactiva.
7. Security Fabric
   • Descripción: La arquitectura de Security Fabric de Fortinet integra varios productos y herramientas de seguridad, proporcionando una visión comprensiva de la red y habilitando respuestas coordinadas a las amenazas.
   • Recomendación: Aprovecha la integración de Security Fabric para obtener una visibilidad completa de tu red y coordinar las respuestas a incidentes de seguridad.
8. Log y Gestión de Eventos
   • Descripción: Fortigate proporciona características detalladas de registro y reportes, esenciales para identificar e investigar incidentes de seguridad.
   • Recomendación: Configura el registro de eventos y revisa regularmente los logs para detectar actividades sospechosas o anómalas.
9. Análisis de Comportamiento (FortiAI)
   • Descripción: Utiliza inteligencia artificial y aprendizaje automático para detectar comportamientos anómalos que podrían indicar un ataque.
   • Recomendación: Implementa FortiAI para mejorar la detección de amenazas basadas en el comportamiento y ajusta las políticas basadas en los análisis de AI.
10. Inteligencia de Amenazas (FortiGuard)
    • Descripción: Los firewalls Fortigate se actualizan con inteligencia de amenazas de FortiGuard Labs, proporcionando protección en tiempo real contra amenazas emergentes.
    • Recomendación: Asegúrate de que las actualizaciones de FortiGuard estén habilitadas para recibir la inteligencia de amenazas más reciente.
11. Detección de Botnets y C&C
    • Descripción: Fortigate puede detectar y bloquear comunicaciones con servidores de comando y control (C&C) conocidos de botnets, previniendo que dispositivos comprometidos sean controlados remotamente por atacantes.
    • Recomendación: Configura y revisa regularmente las políticas de detección de botnets para bloquear comunicaciones no autorizadas.
12. VPN (SSL y IPsec)
    • Descripción: Las conexiones VPN seguras protegen los datos en tránsito, previniendo la interceptación o manipulación.
    • Recomendación: Utiliza SSL y/o IPsec VPN para asegurar las conexiones remotas y proteger los datos sensibles.

Recomendaciones Básicas para Neófitos

1. Educación y Capacitación: Familiarízate con las características y funciones básicas del firewall Fortigate. Considera tomar cursos de capacitación o seguir tutoriales en línea.
2. Configuración Inicial: Realiza una configuración básica del firewall asegurándote de habilitar las funciones esenciales como el IPS, el antivirus y el filtrado web.
3. Actualizaciones Regulares: Mantén el firmware del firewall y las definiciones de amenazas siempre actualizadas para protegerte contra las amenazas más recientes.
4. Monitoreo y Análisis: Revisa regularmente los logs y reportes de seguridad para identificar y responder rápidamente a cualquier actividad sospechosa.
5. Políticas de Seguridad: Establece y aplica políticas de seguridad claras que definan qué tráfico es permitido y qué debe ser bloqueado.
6. Backup y Recuperación: Realiza copias de seguridad regulares de la configuración del firewall y ten un plan de recuperación en caso de fallo del dispositivo o incidente de seguridad.

La integración de Single Sign-On (SSO) entre Active Directory (AD) y un firewall Fortigate permite que los usuarios se autentiquen una vez en su dominio de Windows y luego accedan a los recursos de la red protegidos por Fortigate sin necesidad de volver a ingresar sus credenciales. Aquí se detalla el proceso para configurar SSO con Fortigate utilizando Fortinet Single Sign-On (FSSO):

Paso 1: Preparativos en Active Directory

1. Crear un Usuario de Servicio:
   • En AD, crea un usuario de servicio que Fortigate utilizará para consultar AD. Este usuario necesita permisos para leer los registros de seguridad y la información de los usuarios.

Paso 2: Configuración del Agente FSSO en un Servidor de Windows

1. Descargar el Agente FSSO:
   • Descarga el agente FSSO desde el sitio web de Fortinet y ejecuta el instalador en un servidor de Windows (generalmente un controlador de dominio).
2. Instalar el Agente FSSO:
   • Sigue las instrucciones del instalador. Durante la instalación, proporciona las credenciales del usuario de servicio creado anteriormente.
3. Configurar el Agente FSSO:
   • Abre la consola del agente FSSO y configura los siguientes parámetros:
     • DC Agents: Asegúrate de que el agente FSSO se comunique con los controladores de dominio necesarios.
     • Logon Event Collection: Configura el agente para que recoja eventos de inicio de sesión desde los controladores de dominio.
     • Groups: Configura los grupos de AD que serán utilizados para políticas de acceso en Fortigate.

Paso 3: Configuración en Fortigate

1. Agregar el Servidor FSSO:
   • Accede a la interfaz web de administración de Fortigate.
   • Navega a User & Device > Single Sign-On > Create New.
   • Selecciona FSSO Agent on Windows AD y proporciona la IP del servidor donde instalaste el agente FSSO.
   • Ingresa el nombre de usuario y la contraseña del usuario de servicio configurado en el agente FSSO.
2. Configurar los Grupos de Usuarios:
   • Ve a User & Device > User Groups > Create New.
   • Selecciona FSSO Agent on Windows AD como el tipo de grupo y selecciona los grupos de AD que quieres utilizar en Fortigate.

Paso 4: Configuración de Políticas de Seguridad

1. Crear Políticas Basadas en Usuarios:
   • Navega a Policy & Objects > IPv4 Policy > Create New.
   • Configura la política para permitir o denegar tráfico basado en los grupos de usuarios configurados a través de FSSO.

Verificación

1. Verificar la Conectividad:
   • En la consola del agente FSSO, asegúrate de que los controladores de dominio y el Fortigate estén conectados correctamente.
2. Verificar el Registro de Usuarios:
   • En Fortigate, ve a User & Device > Monitor > Firewall User Monitor para ver los usuarios autenticados a través de FSSO.

Consejos Adicionales

1. Logs y Diagnósticos:
   • Utiliza los logs en Fortigate (Log & Report > Forward Traffic) y en el agente FSSO para diagnosticar problemas.
2. Redundancia:
   • Considera instalar agentes FSSO en múltiples controladores de dominio para asegurar redundancia.
3. Actualizaciones:
   • Mantén tanto el firmware de Fortigate como el agente FSSO actualizados para asegurar la compatibilidad y las últimas mejoras de seguridad.