Hardening de FortiGate: lo que reviso antes de dar un despliegue por bueno
La configuración de fábrica de un FortiGate no está lista para producción solo porque bloquea tráfico por defecto. Esta es la lista que reviso siempre, y por qué la inspección SSL es la que más se pospone sin motivo.
- fortinet
- fortigate
- hardening
- firewall
- blue-team
La configuración de fábrica de un FortiGate es un punto de partida razonable, no un estado final. He heredado más de un firewall ya en producción donde nadie había tocado nada de esta lista desde el día de la instalación. No es exhaustiva: es lo que reviso siempre, en este orden, antes de dar un despliegue por bueno.
Administración
- Solo HTTPS en la interfaz de gestión, nunca HTTP, y nunca expuesta a la WAN.
- Acceso restringido por trusted host: IPs concretas, no cualquiera con la contraseña.
- Cuentas nominales por administrador. Compartir el usuario admin por defecto hace imposible saber después quién cambió qué.
- MFA en todas las cuentas de administración, sin excepción.
Políticas
Lo más común que encuentro en una auditoría no es un fallo técnico sofisticado: es una política ALL a ALL que quedó ahí "temporalmente" hace meses. Reviso siempre:
- Que no exista ninguna regla así de amplia sin fecha de caducidad.
- Que todas las políticas tengan logging activado. Sin logs, el resto del stack (SIEM, XDR) no tiene nada que correlacionar.
- Que los servicios que no se usan estén deshabilitados, no solo sin política que los permita.
La inspección SSL, que casi siempre se pospone
Es el punto que más se retrasa porque "puede romper algo", y sin él el firewall es efectivamente ciego a casi todo el tráfico moderno, que va cifrado. Lo que hago para que no rompa nada al activarlo:
- Empezar en modo de inspección de certificado si la inspección completa no es viable de inmediato: ver al menos el SNI y el certificado ya aporta algo.
- Desplegar el certificado de la CA del FortiGate por GPO en los equipos del dominio, para no generar avisos de certificado no confiable en cada sesión.
- Excepciones explícitas y documentadas para lo que de verdad no se debe inspeccionar, nunca una excepción porque sí.
La regla que más aplico
Si una política, una excepción o una cuenta de administración no tiene una razón documentada de por qué existe, no debería existir. La mayoría de las exposiciones que encuentro en auditorías no son fallos técnicos complejos: son configuraciones "temporales" que nadie volvió a mirar.
