Hardening de FortiGate: el que reviso abans de donar un desplegament per bo
La configuració de fàbrica d'un FortiGate no està llesta per a producció només perquè bloqueja trànsit per defecte. La llista que reviso sempre, i per què la inspecció SSL s'ajorna tant.
- fortinet
- fortigate
- hardening
- firewall
- blue-team
La configuració de fàbrica d'un FortiGate és un punt de partida raonable, no un estat final. He heretat més d'un tallafocs ja en producció on ningú havia tocat res d'aquesta llista des del dia de la instal·lació. No és exhaustiva: és el que reviso sempre, en aquest ordre, abans de donar un desplegament per bo.
Administració
- Només HTTPS a la interfície de gestió, mai HTTP, i mai exposada a la WAN.
- Accés restringit per trusted host: IP concretes, no qualsevol amb la contrasenya.
- Comptes nominals per administrador. Compartir l'usuari admin per defecte fa impossible saber després qui va canviar què.
- MFA a tots els comptes d'administració, sense excepció.
Polítiques
El més comú que trobo en una auditoria no és una fallada tècnica sofisticada: és una política ALL a ALL que va quedar allà «temporalment» fa mesos. Reviso sempre:
- Que no existeixi cap regla tan àmplia sense data de caducitat.
- Que totes les polítiques tinguin el logging activat. Sense logs, la resta de l'stack (SIEM, XDR) no té res per correlacionar.
- Que els serveis que no es fan servir estiguin deshabilitats, no només sense política que els permeti.
La inspecció SSL, que quasi sempre s'ajorna
És el punt que més es retarda perquè «pot trencar alguna cosa», i sense ell el tallafocs és efectivament cec a quasi tot el trànsit modern, que va xifrat. El que faig perquè no trenqui res en activar-la:
- Començar en mode d'inspecció de certificat si la inspecció completa no és viable de seguida: veure almenys l'SNI i el certificat ja aporta alguna cosa.
- Desplegar el certificat de la CA del FortiGate per GPO als equips del domini, per no generar avisos de certificat no fiable a cada sessió.
- Excepcions explícites i documentades per al que de debò no s'ha d'inspeccionar, mai una excepció perquè sí.
La regla que més aplico
Si una política, una excepció o un compte d'administració no té una raó documentada de per què existeix, no hauria d'existir. La majoria de les exposicions que trobo en auditories no són fallades tècniques complexes: són configuracions «temporals» que ningú va tornar a mirar.