2. Системні налаштування
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Системні налаштування».
Рекомендацій: 31
FortiOS 7.4.x v1.0.1
2.1.1 Переконайтеся, що встановлено «Банер перед входом» (Автоматизовано)
Налаштуйте банер перед входом, в ідеалі схвалений юридичною командою організації. Це банер повинен, як мінімум, забороняти несанкціонований доступ, надавати повідомлення про реєстрацію або моніторинг і уникайте використання слова «ласкаво просимо» або подібних слів запрошення.
Через належний банер для входу ризик ненавмисного доступу до пристрою кількість неавторизованих користувачів зменшується. Якщо проти особи порушується судовий процес доступу до пристрою без авторизації, банер входу значно зменшує a заява відповідача про необізнаність.
Банери для входу надають остаточне попередження будь-яким можливим зловмисникам, які можуть цього забажати отримати доступ до FortiGate, що певні види діяльності є незаконними. Водночас це також повідомляє авторизованим і законним користувачам про їхні зобов’язання щодо прийнятного використовувати.
Виконайте таку команду в CLI, щоб переконатися, що банер попереднього входу ввімкнено: FG1 # get system global … pre-login-banner : enable … end У графічному інтерфейсі користувача, щоб перевірити вміст повідомлення про відмову від відповідальності перед входом: 1) Перейдіть до «Система» -> «Повідомлення про заміну» 2) У верхньому правому куті виберіть «Розширений перегляд» 3) Знайдіть «Застереження перед входом» повідомлення’
Виконайте таку команду в інтерфейсі командної команди, щоб увімкнути банер попереднього входу: FG1 # config system global FG1 (глобальний) # встановити банер попереднього входу enable FG1 (глобальний) # end FG1 # У графічному інтерфейсі користувача, щоб відредагувати вміст повідомлення про відмову від відповідальності перед входом:
- Перейдіть до «Система» -> «Повідомлення про заміну» -> «Розширений перегляд» -> «Повідомлення про відмову від відповідальності перед входом». Екран редагування знаходиться в нижньому правому куті сторінки. Після завершення редагування натисніть «Зберегти».
📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-Configuring-admin-
- disclaimer-page/ta-p/198609?externalID=FD33887
IG 1
IG 1
2.1.2 Переконайтеся, що встановлено «Post-Login-Banner» (Автоматизовано)
Встановлює банер після успішного входу користувачів. Це еквівалентно Повідомленню дня (MOTD) в деяких інших системах.
Мережеві банери – це електронні повідомлення, які повідомляють користувачів про законні права комп’ютерні мережі. З юридичної точки зору банери виконують чотири основні функції: По-перше, банери можуть використовуватися для отримання згоди на моніторинг у реальному часі відповідно до розділу III. По-друге, банери можуть використовуватися для отримання згоди на отримання збережених файлів і записи відповідно до ECPA. По-третє, у випадку державних мереж банери можуть скасувати будь-які Четверта поправка «розумне очікування конфіденційності» цього уряду співробітники або інші користувачі могли б іншим чином зберегти у своєму використанні урядові мережі під O’Connor v.
Коли банер після входу ввімкнено, це може вплинути на деякі автоматизовані сценарії, оскільки і CLI, і GUI потребують дії прийняття (натисніть «A» або «Accept»), щоб продовжити.
Виконайте таку команду в CLI, щоб переконатися, що банер після входу ввімкнено: FG1 # get system global … post-login-banner : enable … У графічному інтерфейсі користувача, щоб перевірити вміст повідомлення про відмову від відповідальності після входу: 1) Перейдіть до «Система» -> «Повідомлення про заміну» 2) У верхньому правому куті виберіть «Розширений перегляд» 3) Знайдіть «Застереження після входу в систему». повідомлення’
Виконайте таку команду в CLI, щоб увімкнути банер після входу в систему: FG1 # config system global FG1 (глобальний) # set post-login-banner enable FG1 (global) # end FG1 # У графічному інтерфейсі користувача, щоб відредагувати вміст повідомлення про відмову від відповідальності після входу, перейдіть наСистема -> Замінити повідомлення -> Розширений перегляд -> «Повідомлення про відмову від відповідальності після входу». Екран редагування знаходиться в нижньому правому куті сторінки. Після завершення редагування натисніть «Зберегти».
📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-Configuring-admin-
- disclaimer-page/ta-p/198609?externalID=FD33887
IG 1
IG 1
2.1.3 Переконайтеся, що часовий пояс правильно налаштовано (Автоматизовано)
Встановлює інформацію про місцевий часовий пояс, щоб час, який відображається на пристрої, був більшим актуальне для тих, хто його переглядає.
Налаштування правильного часу на пристрої важливо з двох основних причин. Перший причина полягає в тому, що цифрові сертифікати порівнюють цей час із діапазоном, визначеним їх дійсним Поля From і Valid To для визначення конкретного періоду дії. Друга причина полягає в тому, щоб мати відповідні позначки часу під час реєстрації інформації. Незалежно від того, чи ви надсилаєте повідомлень на сервер Syslog, надсилання повідомлень на станцію моніторингу SNMP або Виконуючи захоплення пакетів, мітки часу мало корисні, якщо ви не можете бути впевнені їхньої точності.
Для роботи багатьох функцій, зокрема планування, журналювання та SSL-залежних функцій, системний час FortiOS має бути точним.
У CLI виконайте наступну команду та перевірте результат часового поясу, поданого у вихідних даних FGT1 # get system global … timezone : (GMT-8:00) Pacific Time (US & Canada) … Або з GUI виконайте наступне: 1) Увійдіть у FortiGate 2) Перейдіть до «Система» -> «Налаштування». 3) Параметри часового поясу та NTP знаходяться в розділі «Системний час»
У цьому прикладі ми встановимо східний часовий пояс (GMT-5:00) для Fortigate. Кожен часовий пояс матиме відповідний ідентифікатор. Щоб знайти правильний ідентифікатор, під час введення команди “set timezone ” також введіть знак питання “?” щоб перелічити всі доступні часові пояси та їхні ідентифікатори. Ідентифікатор східного часового поясу — 12. У CLI: FGT1 # config system global FGT1 (глобальний) # установити часовий пояс 12 FGT1 (глобальний) # end FGT1 # У графічному інтерфейсі користувача виконайте наступне: 1) Після входу, щоб зміцнити, перейдіть до «Система» -> «Налаштування» 2) Виберіть «(GMT-5:00) Східний час (США та Канада)” у розділі “Системний час”
📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-Setting-the-system-
- time/ta-p/192907?externalID=FD49018
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/512210
- Additional Information:
- Daylight savings time is enabled by default, and can only be configured in the CLI.
IG 1, 2
IG 1, 2
2.1.4 Переконайтеся, що правильний системний час налаштовано через NTP (Вручну)
Ви можете вручну встановити системний час FortiOS або налаштувати пристрій на автоматично підтримує правильний системний час шляхом синхронізації з мережевим часом Сервер протоколу (NTP). Ці налаштування дозволяють використовувати основний і вторинний сервери NTP для надання резервування в разі збою основного NTP-сервера.
NTP дозволяє пристрою підтримувати точний час і дату під час отримання оновлень з надійного сервера NTP. Точні мітки часу є критичними під час кореляції подій з іншими системами, усунення несправностей або виконання слідчих робіт. Колоди і певні криптографічні функції, такі як ті, що використовують сертифікати, покладаються на точний час і параметри дати. Крім того, правила, що посилаються на об’єкт Schedule, не працюватимуть як призначений, якщо час і дата пристрою неправильні. Для додаткової безпеки можна використовувати автентифікований NTP. Лише якщо вибрано автентифікацію з симетричним ключем Слід використовувати SHA1, оскільки MD5 вважається серйозно скомпрометованим.
Для роботи багатьох функцій, зокрема планування, журналювання та SSL-залежних функцій, системний час FortiOS має бути точним.
Виконайте команду для перевірки параметрів:
FGT1 # diag sys ntp status
synchronized: yes, ntpsync: enabled, server-mode: enabled
ipv4 server(ntp2.fortiguard.com) 208.91.114.23 -- reachable(0xff) S:3 T:54
server-version=4, stratum=1
reference time is e12361d5.f27e0322 -- UTC Wed Sep 11 12:06:45 2019
clock offset is -0.001569 sec, root delay is 0.000000 sec
root dispersion is 0.010269 sec, peer dispersion is 19 msec
ipv4 server(ntp1.fortiguard.com) 208.91.115.123 -- reachable(0xff) S:3 T:54
selected
server-version=4, stratum=1
reference time is e12361d4.4f8b22a5 -- UTC Wed Sep 11 12:06:44 2019
clock offset is -0.000652 sec, root delay is 0.000000 sec
root dispersion is 0.010284 sec, peer dispersion is 8 msec
ipv4 server(ntp2.fortiguard.com) 208.91.113.71 -- reachable(0xff) S:3 T:54
server-version=4, stratum=2
reference time is e12361d6.4caf57ab -- UTC Wed Sep 11 12:06:46 2019
clock offset is -0.004814 sec, root delay is 0.000137 sec
root dispersion is 0.011154 sec, peer dispersion is 3 msec
ipv4 server(ntp1.fortiguard.com) 208.91.113.70 -- reachable(0xff) S:3 T:54
server-version=4, stratum=2
reference time is e123617b.c98e2059 -- UTC Wed Sep 11 12:05:15 2019
clock offset is -0.005106 sec, root delay is 0.000122 sec
root dispersion is 0.013382 sec, peer dispersion is 6 msecВи можете налаштувати параметри NTP лише за допомогою CLI. У цьому прикладі ми призначимо pool.ntp.org як основний сервер NTP і 1.1.1.1 як вторинний сервер NTP. FGT1 # config system ntp FGT1 (ntp) # set type custom FGT1 (ntp) # config ntpserver FGT1 (ntpserver) # edit 1 FGT1 (1) # set server pool.ntp.org FGT1 (1) # next FGT1 (ntpserver) # edit 2 FGT1 (2) # set server 1.1.1.1 FGT1 (2) # кінець FGT1 (ntp) # кінець FGT1 #
📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-Setting-the-system-
- time/ta-p/192907?externalID=FD49018
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/512210
Additional Information: Daylight savings time is enabled by default, and can only be configured in the CLI.
IG 1, 2
IG 1, 2
2.1.5 Переконайтеся, що ім’я хоста встановлено (Автоматизовано)
Змінює назву хоста пристрою за замовчуванням.
Ім’я хосту пристрою відіграє важливу роль в інвентаризації та ідентифікації активів як a вимога безпеки. Це також має вирішальне значення для відкритих ключів і розгортання сертифікатів, як а також під час кореляції журналів з різних систем під час обробки інциденту.
У CLI отримати системний глобальний … ім’я хоста: FG1 … У графічному інтерфейсі користувача 1) Перейдіть до «Система» > «Налаштування» 2) Перевірте поле «Ім’я хоста»
У CLI встановіть ім’я хоста на «New_FGT1» таким чином: FGT1 # config system global FGT1 (глобальний) # установіть ім’я хоста «New_FGT1» FGT1 (глобальний) # end New_FGT1 # У GUI 1) Перейдіть до «Система» > «Налаштування» 2) Оновіть поле «Ім’я хосту» новим ім’ям хоста 3) натисніть «Застосувати»
📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-Renaming-the-
- hostname/ta-p/198521?externalID=FD48765
IG 1
IG 1
2.1.6 Переконайтеся, що встановлено останню версію прошивки (Вручну)
Перевірте веб-сайт Fortinet, щоб переконатися, що остання стабільна прошивка встановлено.
Fortinet періодично оновлює мікропрограму FortiGate, щоб включити нові функції та вирішити проблему важливі питання. Після реєстрації пристрою FortiGate оновлення мікропрограми можна можна завантажити з веб-сайту служби підтримки клієнтів Fortinet. Важливо постійно оновлювати прошивку, щоб запобігти появі нових добре відомих експлуатації.
Перевірте налаштування в графічному веб-інтерфейсі:
- Перейдіть до Інформаційна панель > Статус > Інформація про систему
- Перевірити прошивку. Одночасно перейдіть на сторінку https://www.fortiguard.com/psirt?product=FortiOS і перевірте наявність уразливостей у вашій існуючій версії.
Спочатку визначте шлях оновлення, рекомендований Fortinet. Якщо ви не оновлювали систему протягом тривалого часу, не рекомендується оновлювати відразу до останньої версії, оскільки конфігурація може бути втрачена. Fortinet надає інструмент, щоб рекомендувати шлях оновлення для всіх своїх продуктів.Перейдіть на сторінку https://docs.fortinet.com/upgrade-tool. Виберіть свій продукт зі спадного меню «Поточний продукт», «поточну версію FortiOS» і останню версію мікропрограми, доступну для цієї моделі, з «Оновити до версії FortiOS». Натисніть «Перейти». Запишіть шлях і натисніть «Завантажити», щоб завантажити всі необхідні версії. Другим кроком є завантаження необхідної прошивки FortiOS. Перейдіть на сторінку https://support.fortinet.com і увійдіть. Перейдіть до Підтримка -> Завантаження прошивки. Там виберіть продукт і натисніть «Шлях оновлення». Виберіть конкретну модель апаратного забезпечення, поточну версію мікропрограми та останню версію мікропрограми, доступну для цієї моделі. Натисніть «Перейти». Запишіть шлях і натисніть «Завантажити», щоб завантажити всі необхідні версії. Останнім кроком є встановлення нових мікропрограм у порядку, указаному в «Засобі оновлення». Рекомендується використовувати GUI для виконання цього завдання, оскільки це буде набагато простіше. У графічному інтерфейсі
- Перейдіть до System > Fabric Management
- Клацніть правою кнопкою миші на пристрої, який потрібно оновити.
- Потім натисніть «Оновити». Можливо, вам доведеться виконати цей крок кілька разів, якщо ви дотримуєтесь шляху оновлення.
📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-upgrade-
- FortiGate-firmware/ta-p/194980?externalID=10948
IG 1, 2, 3
IG 1, 2, 3
IG 1, 2, 3
IG 1, 2, 3
2.1.7 Вимкнути установку мікропрограми та конфігурації USB (Автоматизовано)
Вимкніть функцію автоматичного встановлення порту USB для конфігурації та мікропрограми.
Вимкнення USB-порту для автоматичного встановлення запобігає USB зі зміненою конфігурацією або неправильна прошивка від підключення та автоматичного завантаження.
Виконайте команду для перевірки параметрів:
config system auto-installgetПеревірте, що auto-install-config та auto-install-image вимкнено (disabled).
Виконайте команду для застосування конфігурації:
config system auto-install
set auto-install-config disable
set auto-install-image disable
end📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
2.1.8 Вимкнути статичні ключі для TLS (Автоматизовано)
Вимкніть підтримку статичних ключів у сесіях TLS, що закінчуються на FortiGate
Запобігайте сеансам TLS, що завершуються на FortiGate, за допомогою статичних ключів SSL
Виконайте команду для перевірки параметрів:
config system globalgetПеревірте, що ssl-static-key-ciphers має значення disabled.
Виконайте команду для застосування конфігурації:
config system global
set ssl-static-key-ciphers disable
end📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2, 3
2.1.9 Увімкнути глобальне надійне шифрування (Автоматизовано)
Увімкніть FortiOS використовувати лише надійне шифрування та дозволяти лише надійні шифри спілкування
Виконайте команду для перевірки параметрів:
config system globalgetПеревірте, що strong-crypto увімкнено (enabled).
Виконайте команду для застосування конфігурації:
config system global
set strong-crypto enable
end📋 CIS Controls & Нормативні посилання
IG 1
IG 1, 2
2.1.10 Переконайтеся, що графічний інтерфейс керування прослуховує безпечну версію TLS (Автоматизовано)
Оскільки ми рухаємося до кращих можливостей шифрування, нам також потрібно забезпечити доступ до графічного інтерфейсу користувача захищений належним чином. TLS 1.3 наразі є найбезпечнішою версією, яка підтримує SSL/TLS Доступ адміністратора з шифруванням SSL (на момент написання).
Використовуйте новішу версію SSL/TLS, щоб запобігти атакам MiTM.
Виконайте команду для перевірки параметрів:
config system globalgetПеревірте, що admin-https-ssl-versions налаштовано на tlsv1-3.
Виконайте команду для застосування конфігурації:
config system global
set admin-https-ssl-versions tlsv1-3📋 CIS Controls & Нормативні посилання
IG 1
IG 1
2.1.11 Переконайтеся, що CDN увімкнено для покращення продуктивності GUI (Автоматизовано)
Щоб покращити продуктивність графічного інтерфейсу, додано параметр, який дозволяє завантажувати статичні артефакти графічного інтерфейсу кешується на серверах CDN (мережі доставки вмісту), розташованих ближче до користувача, ніж звідти FortiGate. У разі помилки файли можуть повернутися до завантаження з FortiGate.
Під час доступу до віддаленого FortiGate графічний інтерфейс може сповільнюватися через географічна відстань. У цьому випадку завантаження статичних артефактів графічного інтерфейсу користувача, кешованих на серверах CDN забезпечить кращий графічний інтерфейс / веб-керування.
Це не рекомендація щодо контролю безпеки. Отже, немає жодного впливу, якщо це не так включено.
Виконайте команду для перевірки параметрів:
config system globalgetПеревірте, що gui-cdn-usage увімкнено (enabled).
Виконайте команду для застосування конфігурації:
config system global
set gui-cdn-usage enable
end📋 CIS Controls & Нормативні посилання
2.1.12 Переконайтеся, що подія перевантаження одного ядра ЦП реєструється (Автоматизовано)
Додайте опцію log-single-cpu-high у глобальній конфігурації системи. Коли ввімкнено, один процесор використання ядра опитується кожні три секунди, а також використання будь-якого ядра окремого ЦП вище поріг використання ЦП повідомить журнал подій. Якщо ядро повідомляється, це ядро не буде перевірити ще раз протягом наступних 30 секунд.
Бувають випадки, коли загальне використання ЦП низьке, але є одне ядро ЦП що перевантажений. Але оскільки звіти та панель інструментів у FortiGate показують загальну інформацію Використання ЦП, сплеск одного ядра ЦП може бути не помічений на FortiGate з кількома Ядра ЦП. Це спричиняє проблеми з продуктивністю, якщо є випадки, які має трафік було припинено обробку.
Виконайте команду для перевірки параметрів:
config system globalgetПеревірте, що log-single-cpu-high увімкнено (enabled).
Виконайте команду для застосування конфігурації:
config system global
set log-single-cpu-high enable
end📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-Enable-logging-for-single-core-CPU-spike-against/ta-p/293010
- https://docs.fortinet.com/document/fortigate/7.2.4/fortios-release-notes/743723/new-features-or-enhancements
IG 1, 2
IG 1, 2, 3
2.1.13 Переконайтеся, що ім’я хосту не відображається в GUI входу (Автоматизовано)
Переконайтеся, що ім’я хосту пристрою не відображається на сторінці входу в графічний інтерфейс
Ім’я хосту пристрою може відображатися на сторінці входу в графічний інтерфейс користувача, яка може надаватися information for reconnaissance
З CLI виконайте команду: FGT1 # get system global | grep -f gui-display gui-display-hostname: disable <--- Якщо «gui-display-hostname» вимкнено, ім’я хосту не відображатиметься на екрані входу
Виконайте команду для застосування конфігурації:
FGT1 # config system global
FGT1 (global) # set gui-display-hostname disable
FGT1 (global) # end
FGT1 #2.2.1 Переконайтеся, що «Політику паролів» увімкнено (Автоматизовано)
Важливо використовувати надійні та складні паролі для запобігання несанкціонованому доступу доступ до пристрою FortiGate.
Зловмисники можуть використовувати програмне забезпечення для підбору паролів грубою форсою для запуску не лише словника напади. Такі атаки можуть виявити звичайні паролі, де буква замінена на a число або символ. Центр Інтернет-безпеки (CIS) рекомендує паролі має містити принаймні 14 символів без обмежень щодо максимальної кількості персонажів
Слабкі паролі можуть бути легко виявлені хакерами, що призводить до несанкціонованого доступу доступ до FortiGate. Залежно від привілеїв доступу зламаного облікового запису, зловмисник може змінити важливі налаштування.
Поточну застосовану політику паролів можна відобразити з GUI або CLI. З CLI введіть: get system password-policy Або з GUI наступним чином: 1) Увійдіть у FortiGate як користувач із принаймні правами лише для читання 2) Перейдіть до «Система» > «Налаштування» 3) Знайдіть і перевірте статус розділу «Політика паролів» 4) Переконайтеся, що «Область пароля» має значення «Обидва» 5) Переконайтеся, що «Мінімальна довжина» дорівнює «14». Нещодавнє оновлення NIST політики паролів перемістило увагу на довжину пароля, оскільки довші паролі важче зламати за допомогою атак грубої сили. Користувачі можуть легше запам’ятати пароль, не передбачуваний, якщо не використовувати складні паролі, наприклад символи та цифри. NIST також рекомендує скидати пароль лише у випадку порушення облікових даних.
Виконайте команду для застосування конфігурації:
config system password-policy
set status enable
set apply-to admin-password ipsec-preshared-key
set minimum-length 14
end📋 CIS Controls & Нормативні посилання
- https://pages.nist.gov/800-63-4/sp800-63b.html
- https://docs.fortinet.com/document/fortigate/7.4.5/cli-reference/127236326/config-system-password-policy
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/364729
- Additional Information:
- Consider the following to ensure better security:
- •
- Do not use passwords that are obvious, such as the company name,
- administrator names, or other obvious words or phrases.
- •
- Administrator passwords can be up to 64 characters.
- •
- Use multiple words together, or possibly even a sentence, for example:
- correcthorsebatterystaple.
- •
- Make note of the password and store it in a safe place away from the
- management computer, in case you forget it; or ensure at least two people know
- the password in the event one person becomes unavailable. Alternatively, have
- two different admin logins.
IG 1, 2, 3
IG 1, 2
2.2.2 Переконайтеся, що налаштовано повторні спроби пароля адміністратора та час блокування (Автоматизовано)
Невдалі спроби входу можуть означати зловмисні спроби отримати доступ до вашої мережі. до Щоб запобігти цьому ризику безпеки, FortiGate попередньо налаштовано на обмеження кількості помилок спроб входу адміністратора. Після досягнення максимальної кількості невдалих спроб входу досягнуто, доступ до облікового запису заблоковано на встановлений період блокування.
Якщо ви входите й не вводите правильний пароль, потенційно ви можете бути дійсним користувач або хакер намагається отримати доступ. З цієї причини найкраща практика диктує обмеження кількості невдалих спроб входу до періоду блокування, протягом якого ви не можете увійти протягом певного періоду часу. Період блокування зведе до мінімуму спроби хакерів отримати вигоду доступ до брандмауера.
Зловмисники продовжуватимуть намагатися отримати доступ до пристрою за допомогою атак грубої сили будь-які переривання, які можуть призвести до успішного входу.
Щоб перевірити параметри блокування, з CLI: отримати системний глобальний результат, перевірте значення наведених нижче полів:
- admin-lockout-threshold
- admin-lockout-duration Переконайтеся, що admin-lockout-threshold встановлено на 3 або менше, а admin-lockout- duration на 900 або менше
Виконайте команду для застосування конфігурації:
config system global
set admin-lockout-threshold 3
set admin-lockout-duration 900
end📋 CIS Controls & Нормативні посилання
- https://docs.fortinet.com/document/fortigate/7.4.5/cli-reference/339914554/config-system-global
- Additional Information:
- The number of attempts and the default wait time before the administrator can try to
- enter a password again can be configured using the CLI.
- A maximum of ten retry attempts can be configured, and the lockout period can be 1 to
- 2147483647 seconds (over 68 years).
- The higher the retry attempts, the higher the risk that someone might be able to guess
- the password.
IG 1, 2, 3
IG 1, 2, 3
2.3 SNMP
2.3.1 Переконайтеся, що ввімкнено лише SNMPv3 (Автоматизовано)
Переконайтеся, що ввімкнено лише службу SNMPv3, а SNMPv1, SNMPv2c вимкнено.
SNMP версії 3 забезпечує покращення безпеки, які недоступні в SNMP Версія 1 або SNMP версія 2c. SNMP версії 1 і 2c передають дані між Сервер SNMP і агент SNMP відкритим текстом. SNMP версії 3 додає автентифікацію та параметри конфіденційності для захисту операцій протоколу. Деякі брандмауери повинні працювати постійно відстежується його продуктивність і стан, особливо якщо брандмауери критичні для операція. Увімкнення SNMPv3 забезпечить належний моніторинг брандмауера.
Деякі старіші сервери SNMP, які працюють лише з SNMPv1 або SNMPv2c, не зможуть надсилати запити до цього брандмауера.
Виконайте команду для перевірки параметрів:
config system snmp sysinfo
set status enable
end
config system snmp community
end
config system snmp user
edit "snmp_test"
set security-level auth-priv
set auth-proto sha256
set auth-pwd ENC xxxxxx
set priv-proto aes256
set priv-pwd ENC xxxxxx
next
endFGT1 (sysinfo) # кінець
FGT1 # config system snmp community
FGT1 (спільнота) # шоу
FGT1 (спільнота) # кінець
FGT1 # конфігурація користувача snmp системи
FGT1 (користувач) # показати
У графічному інтерфейсі користувача перейдіть до:
1. Система > SNMP. Переконайтеся, що агент SNMP увімкнено.
2. Переконайтеся, що немає спільноти SNMPv1/2c.
3. Переконайтеся, що в списку є принаймні 1 користувач SNMPv3.
Виконайте команду для застосування конфігурації:
config system snmp community
edit 1
set name "public"
config hosts
edit 1
next
end
next
end📋 CIS Controls & Нормативні посилання
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-Configure-
- FortiGate-SNMP-Agent-for/ta-p/196866?externalID=FD45755
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/325005/basic-configuration
IG 1, 2
IG 1, 2
2.3.2 Дозволити лише довірені хости в SNMPv3 (Вручну)
Переконайтеся, що лише певні хости можуть виконувати SNMP GET або отримувати SNMP Trap.
SNMP пропонує багату інформацію, яка може бути корисною для розвідувальної діяльності. Отже, обмеження цієї інформації лише відповідними пристроями, такими як NMS (моніторинг мережі System) або інші сервери SNMP.
Виконайте команду для перевірки параметрів:
config system snmp user
edit "snmp_test"
set notify-hosts 192.168.1.101
set security-level auth-priv
set auth-proto sha512
set auth-pwd ENC xxxxx
set priv-proto aes256
set priv-pwd ENC xxxxx
next
endНалаштовано “0.0.0.0”.
З GUI:
1. Система > SNMP.
2. У розділі SNMPv3 двічі клацніть налаштовані параметри SNMPv3.
3. Переконайтеся, що для «Хостів» налаштовано певну IP-адресу, і вона є
не налаштовано “0.0.0.0”.
Щоб видалити 0.0.0.0 із надійних хостів у CLI: FGT1 # config system snmp user FGT1 (user) # edit “snmp_test” FGT1 (snmp_test) # unselect notify-hosts 0.0.0.0 FGT1 (snmp_test) # end FGT1 # From GUI:
- Система > SNMP.
- У розділі SNMPv3 двічі клацніть налаштовані параметри SNMPv3.
- Видаліть 0.0.0.0 з параметра «Hosts».
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
IG 1, 2
2.3.3 Вимкнути запит SNMPv3 для кожного користувача (Автоматизовано)
Вимкнення запиту SNMP для користувачів SNMPv3, яким потрібно лише отримувати перехоплення SNMP
SNMP може містити інформацію, корисну для розвідки, це дозволяють запити SNMP пристрої для надсилання запитів на інформацію, вимикаючи це для користувачів SNMPv3, які цього не роблять потрібно надсилати запити й потрібно лише отримувати перехоплення SNMP.
Виконайте команду для перевірки параметрів:
config system snmp user
edit "snmp_test"
set queries disable
set notify-hosts 192.168.1.101
set security-level auth-priv
set auth-proto sha512
set auth-pwd ENC xxxxxx
set priv-proto aes256
set priv-pwd ENC xxxxxx
next
endЗ GUI:
1. Система > SNMP
2. У налаштуваннях SNMPv3 двічі клацніть користувача SNMPv3, щоб змінити його
3. Переконайтеся, що повзунок «Запити» вимкнено
Щоб вимкнути запити для певного користувача SNMPv3 у CLI: {snmp_test — це приклад імені користувача SNMPv3} FGT1 # config system snmp user FGT1 (user) # edit snmp_test FGT1 (snmp_test) # set queries disable FGT1 (snmp_test) # next FGT1 (user) # end Щоб вимкнути запити для певного SNMPv3 Користувач у графічному інтерфейсі користувача:
- Система > SNMP
- У розділі SNMPv3 виберіть конкретного користувача, двічі або один раз клацніть і виберіть редагувати
- У розділі «Запити» клацніть повзунок «Увімкнено», щоб його вимкнути
2.3.4 Увімкнення перехоплення SNMP для використання пам’яті (Автоматизовано)
Увімкнення перехоплень SNMP для моніторингу використання пам’яті допомагає виявити аномалії та забезпечити критичні функції безпеки залишаються в робочому стані. Цей проактивний підхід покращує систему надійність шляхом сповіщення адміністраторів про можливі проблеми з ресурсами.
Моніторинг використання пам’яті за допомогою перехоплень SNMP гарантує, що важливі процеси безпеки мають достатньо ресурсів для ефективної роботи. Це допомагає запобігти погіршенню продуктивності або збої, які можуть піддати систему ризикам безпеки.
Якщо використання пам’яті досягне критичного статусу, FortiGates автоматично перетвориться на збереження режим, який вплине на перевірку безпеки.
Виконайте команду для перевірки параметрів:
config system snmp sysinfo
set status enable
set trap-free-memory-threshold 20
set trap-freeable-memory-threshold 50
endВиконайте команду для застосування конфігурації:
config system snmp sysinfo
set status enable
set trap-free-memory-threshold 20
set trap-freeable-memory-threshold 50
end📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
2.4 Administrators and Admin Profiles
2.4.1 Видалити користувача адміністратора за замовчуванням і створити користувача з іншим іменем (Автоматизовано)
Перш ніж розгортати будь-який новий FortiGate, важливо змінити пароль обліковий запис адміністратора за умовчанням. Також рекомендується змінити навіть ім’я користувача адміністратора за замовчуванням Однак, оскільки ви не можете змінити ім’я користувача облікового запису, який є який зараз використовується, для цього необхідно створити другий обліковий запис адміністратора.
Облікові дані за замовчуванням добре задокументовані більшістю постачальників, включаючи Fortinet. тому це буде одна з перших речей, які намагатимуться незаконно отримати доступ до системи.
Якщо не змінити, усі сценарії, які використовують облікові дані за замовчуванням, матимуть доступ до система.
Використовуючи CLI та GUI, у полі імені користувача введіть «admin», залиште поле пароля порожнім і продовжуйте. Якщо його вибрано, це означає, що пароль за замовчуванням залишається актуальним і його потрібно змінити.
Виконайте команду для застосування конфігурації:
if VDOM enabled
config global
configure new admin
config system admin
edit "mycompanyadmin"
set password
set accprofile "super_admin"
next
end
if VDOM enabled
config global
config system admin
delete "admin"
end📋 CIS Controls & Нормативні посилання
- https://kb.fortinet.com/kb/documentLink.do?externalID=FD48763
- https://docs.fortinet.com/document/fortigate/6.2.0/cookbook/99980/default-administrator-password
- Additional Information:
- In FortiOS 6.2.1 and later, adding a password to the admin administrator is mandatory.
- You will be prompted to configure it the first time you log in to the FortiGate using that
- account, after a factory reset, and after a new image installation.
IG 1
2.4.2 Переконайтеся, що для всіх облікових записів входу ввімкнено певні надійні хости (Вручну)
Налаштуйте обліковий запис адміністратора так, щоб він був доступний лише тим, хто використовує a надійний господар. Ви можете встановити конкретну IP-адресу для надійного хоста або використовувати підмережу.
Доступ до брандмауера для виконання адміністративних завдань має надходити лише від конкретного користувача сегменти мережі, зарезервовані лише для адміністраторів. Це додатковий рівень безпеки гарантує, що ніхто з будь-якого іншого місця в мережі не зможе ввійти, навіть за допомогою правильні облікові дані.
Будь-який доступ за межами дозволеного сегмента буде припинено, включно з обома легітимних і нелегітимних користувачів. Таким чином, адміністраторам, які працюють віддалено, доведеться переконайтеся, що вони мають доступ до хостів переходу, які знаходяться в дозволеному сегменті.
Виконайте команду для перевірки параметрів:
config system admin
edit "test_admin"
set trusthost1 10.0.0.0 255.255.255.0
set trusthost2 192.168.10.0 255.255.255.0
next
end…
У графічному веб-інтерфейсі:
1. Система > Адміністратори.
2. Виберіть обліковий запис і натисніть редагувати.
3. На сторінці налаштувань облікового запису переконайтеся, що «Обмежити вхід довіреним
hosts” увімкнено, а всі дозволені хости/підмережі є в списку
надійний господар.
Будь ласка, зверніть увагу, що деякі версії FortiOS відображатимуть лише перші 3 надійних хости
у списку. Якщо ви хочете побачити більше, вам потрібно натиснути на знак «+», ніби ви додаєте a
новий елемент у списку. Продовжуйте натискати, доки не побачите порожнє поле надійного хоста. це так
коли ви знаєте, що досягли кінця списку.
Щоб видалити елемент надійного хоста зі списку в CLI: FG1 # config system admin FG1 (admin) # edit “test_admin” FG1 (test_admin) # unset trusthost1 FG1 (test_admin) # end FG1 # Щоб додати довірений хост до списку в CLI: FG1 # config system admin FG1 (admin) # edit “test_admin” FG1 (test_admin) # set trusthost6 1.1.1.1 255.255.255.255 FG1 (test_admin) # end FG1 # Перш ніж додавати елемент, переконайтеся, що він ще не існує. Наприклад, якщо trusthost3 уже є в списку, його повторне використання замінить існуючий хост/мережу. У графічному веб-інтерфейсі:
- Система > Адміністратори.
- виберіть обліковий запис і натисніть редагувати.
- Переконайтеся, що на сторінці налаштувань облікового запису ввімкнено параметр «Обмежити вхід довіреними хостами» та всі дозволені хости/підмережі є в списку надійних хостів. Будь ласка, зверніть увагу, що деякі версії FortiOS відображатимуть лише перші 3 довірених хости у списку. Якщо ви хочете побачити більше, вам потрібно натиснути на знак «+», ніби ви додаєте новий елемент у список. Продовжуйте натискати, доки не побачите порожнє поле надійного хоста. Саме тоді ви знаєте, що досягли кінця списку. Щоб додати інший довірений хост, заповніть порожнє поле нового «Довіреного хоста». Щоб видалити довірений хост, просто зітріть усе в полі цього відповідного хоста.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1
IG 1
IG 1, 2
IG 1, 2
2.4.3 Переконайтеся, що обліковим записам адміністратора з різними привілеями призначено правильні профілі (Вручну)
Переконайтеся, що користувачі з доступом до Fortinet повинні мати лише мінімальні привілеї необхідні для цього конкретного користувача.
У деяких організаціях необхідно створювати різні рівні управління облікові записи. Наприклад, технічні спеціалісти з рівня підтримки 1 не повинні мати повного доступу до систему порівняно з підтримкою рівня 3.
Виконайте команду для перевірки параметрів:
config system admin
edit "support1"
...
set accprofile "tier_1"
...
next
endУ веб-інтерфейсі (GUI) перейдіть до: System > Administrators, виберіть обліковий запис та натисніть «Редагувати» (Edit).
Виконайте команду для застосування конфігурації:
FGT1 # config system admin
FGT1 (admin) # edit "support1"
FGT1 (support1) # set accprofile "tier_1"
FGT1 (support1) # end
FGT1 #
For the GUI, go to:1. System > Administrators.
2. Select "support1" and click "Edit".
3. Under "Administrator Profile", select "tier_1".📋 CIS Controls & Нормативні посилання
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/294491
- Additional Information:
- You cannot change the profile of the account you are already logged in as.
- The profile “super_admin” cannot be deleted or modified.
IG 1, 2, 3
IG 1, 2, 3
2.4.4 Переконайтеся, що час простою адміністратора налаштовано (Автоматизовано)
Період простою — це час, протягом якого адміністратор залишатиметься в системі графічний інтерфейс без жодної активності.
Найкраща практика вимагає встановлення тайм-ауту простою адміністратора, щоб запобігти ризику несанкціонованого доступу доступ до пристрою, як-от хтось, хто використовує графічний інтерфейс користувача на комп’ютері, який був використаний залишений без нагляду. З міркувань безпеки Центр безпеки в Інтернеті (CIS) рекомендує це сесії адміністратора повинні автоматично закінчуватися після періоду бездіяльності, з a максимальний рекомендований час 15 хвилин або менше
Це зроблено для того, щоб хтось не міг отримати доступ до FortiGate, якщо керуючий ПК залишився без нагляду.
Щоб перевірити час простою в графічному інтерфейсі: 1) Увійдіть у FortiGate 2) Перейдіть до «Система» > «Налаштування». 3) У розділі «Параметри адміністрування» перевірте значення «Час простою» у хвилинах. Щоб перевірити тайм-аут простою в CLI: get system global перевірте значення admintimeout у хвилинах
Виконайте команду для застосування конфігурації:
config system global
set admintimeout 5
end📋 CIS Controls & Нормативні посилання
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/215451
- Additional Information:
- A setting of higher than 15 minutes will have a negative effect on a security rating score.
IG 1, 2, 3
IG 1, 2, 3
2.4.5 Переконайтеся, що ввімкнено лише зашифровані канали доступу (Автоматизовано)
Дозволити лише доступ через HTTPS до графічного інтерфейсу користувача та доступ через SSH до інтерфейсу командного рядка.
Дозволяючи лише зашифрований доступ, ми ускладнюємо використання “Людини посередині” атаки з метою викрадення облікових даних для входу.
Виконайте команду для перевірки параметрів:
config system interface
edit "port1"
set allowaccess ssh https ping snmp
next
end…
У графічному веб-інтерфейсі натисніть:
1. Мережа > Інтерфейси, виберіть інтерфейс і натисніть «Редагувати».
2. На сторінці налаштувань інтерфейсу переконайтеся, що HTTP та Telnet не є
вибрано в розділі «Адміністративний доступ»
Якщо HTTP або Telnet є у списку дозволених доступів, вам доведеться знову встановити цей список з тими самими елементами, за винятком http або telnet. На CLI: FG1 # конфігурація системного інтерфейсу FG1 (інтерфейс) # редагування port1 FG1 (port1) # set allowaccess ssh https ping snmp FG1 (port1) # end FG1 # У веб-графічному інтерфейсі користувача клацніть на:
- Мережа > Інтерфейси, виберіть інтерфейс і натисніть «Редагувати».
- На сторінці налаштувань інтерфейсу зніміть прапорці HTTP та Telnet у розділі «Адміністративний доступ».
📋 CIS Controls & Нормативні посилання
IG 1
2.4.6 Застосувати локальні політики (Автоматизовано)
Налаштуйте локальні політики входу, щоб контролювати вхідний трафік, який спрямовується до FortiGate інтерфейс.
Політики локального входу дозволяють більш детально та конкретно контролювати всі типи трафіку призначені для інтерфейсу FortiGate. Вони не обмежуються лише управлінням протоколів, тому вони можуть розширювати конфігурації “довіреного хоста” і бути налаштовані з адресами джерела та призначення, а також конкретними службами.
Політики локального входу обробляються перед конфігураціями «довіреного хоста», тому важливо підтвердити, що доступ до керування буде збережено після встановлення локальних політик на місці.
Виконайте команду для перевірки параметрів:
config firewall local-in-policyshowВиконайте команду для застосування конфігурації:
config firewall {local-in-policy | local-in-policy6}
edit <policy_number>
set intf <interface>
set srcaddr <source_address> [source_address] ...
set dstaddr <destination_address> [destination_address] ...
set action {accept | deny}
set service <service_name> [service_name] ...
set schedule <schedule_name>
set comments <string>
next
end
config firewall address
edit "10.10.10.0"
set subnet 10.10.10.0 255.255.255.0
next
end
config firewall local-in-policy
edit 1
set intf "port1"
set srcaddr "10.10.10.0"
set dstaddr "all"
set service "PING"
set schedule "always"
next
end📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2, 3
2.4.7 Переконайтеся, що стандартні порти адміністратора змінено (Автоматизовано)
Порти адміністратора FortiGate слухають загальні порти 80 і 443. Це стандартно поведінка. Хоча доступ до інтерфейсу контролюється налаштуванням мережевих інтерфейсів, FortiGate все ще прослуховує налаштовані порти адміністратора, які також можуть викликати конфлікт, якщо 80 або 443 знадобляться як частина додаткової конфігурації пізніше.
Щоб підвищити безпеку портів адміністратора FortiGate, змініть порти за замовчуванням зменшити поверхню атаки, якщо націлено на FortiGate Admin Access. Як згадувалося, а також можна уникнути можливого конфлікту портів.
Неавторизований доступ до FortiGate або будь-якого брандмауера може виявитися дуже дорогим. Поки це є один із багатьох кроків посилення, він є важливим під час посилення будь-якого брандмауера.
Увійдіть до графічного інтерфейсу користувача та натисніть «Система» > «Параметри» > «Перегляньте порти» в розділі «Параметри адміністрування».
характер роботи переспрямування портів браузера. Браузер буде перенаправлено з
порт 80 до порту 443 або будь-який інший ‘admin-sport’, який налаштовано, тобто він все одно буде
слухати через порт 80, навіть якщо порт було переналаштовано.
📋 CIS Controls & Нормативні посилання
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/616955
- https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-change-the-
- port-for-the-admin-access-to/ta-p/192295?externalID=FD46981
- Additional Information:
- TIP: Don’t choose these ports:
- 8080/8081 – These are very common browser proxy ports.
- 4433 – This is the FortiGate default FTM push port.
- 10443 – This is the FortiGate default SSL VPN port.
- Other Admin Ports such as 22 and 23 can also be changed as required.
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
2.4.8 Віртуальне виправлення локального інтерфейсу керування (Автоматизовано)
Дозволити застосування віртуальних виправлень до трафіку, спрямованого на FortiGate, за допомогою IPS підписи до локального інтерфейсу за допомогою локальних політик. Атаки, спрямовані на GUI і доступ до керування SSH, наприклад, можна пом’якшити за допомогою підписів IPS виштовхнуто з FortiGuard, тим самим практично виправляючи ці вразливості. FortiGate повинен мати дійсну ліцензію FMWR (програмне забезпечення) для встановлення FMWP бази даних. Базу даних FMWP можна переглянути, запустивши автоматичне оновлення діагностики команда версій.
Патчі вимагають планування простою, що означає, що є деяке вікно атаки з моменту оголошення Fortinet про вразливість до застосування виправлення. Звести до мінімуму Ризик, необхідне віртуальне виправлення GUI та доступу до керування SSH.
Виконайте команду для перевірки параметрів:
config firewall local-in-policyshowПеревірте, що virtual-patch увімкнено для відповідних політик безпеки.
Виконайте команду для застосування конфігурації:
config firewall local-in-policy
edit <id>
set virtual-patch enable
next
end📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
2.5 High Availability High Availability (HA) subsection includes configurations for High Availability between FortiGate devices
2.5.1 Переконайтеся, що конфігурацію високої доступності ввімкнено (Автоматизовано)
Переконайтеся, що пристрої FortiGate налаштовано на високу доступність (HA).
Налаштування високої доступності (HA) підвищує доступність системи, а також зменшує її вплив поточного технічного обслуговування (оновлення програмного забезпечення, переміщення кабелю тощо) та вплив несправності пристрою.
Відсутність належної конфігурації та синхронізації високої доступності (HA) впливає на наявність пристроїв FortiGate, а також будь-яких систем, які вимагають проходження через FortiGates. З належним чином налаштованим HA відключення можна звести до мінімуму оновлення мікропрограми, а також у разі перебоїв з електропостачанням або збоїв пристрою.
Виконайте команду для перевірки параметрів:
##(Active-Passive)
##(Set password)
##(Set Heartbeat
config system ha
set group-name "FGT-HA"
set mode a-p
set password ENC
set hbdev "port10" 50
set override disable
endFGT1 (ha) # встановити пароль *******
FGT1 (ha) # встановити hbdev port10 50
Інтерфейс і пріоритет)
FGT1 (га) # кінець
Щоб переглянути конфігурацію в CLI:
FGT1 # конфігурація системи ha
FGT1 (га) # показати
enrwD467hJmO6j6YW/l6FEOa1YNVYdo8Z5mCcTDEKUFpOVXcNYnPBmQDGX//ViXk6TkwNH0il5aJr
/fZY25lq+husndQHZVWp2LIlXmCv/n81U43nkZUWaIKvqkellGFbhv0/IHoOLzQPCsVcBbyrsgopr
YMvh6w7F06+nRriBtMNQxpOV5V+e388EcwsOOMsXBZOw==
Виконайте команду для застосування конфігурації:
##(Active-Passive)
##(Set password)
##(Set Heartbeat
config system ha
set group-name "FGT-HA"
set mode a-p
set password ENC
set hbdev "port10" 50
set override disable
end📋 CIS Controls & Нормативні посилання
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/357558
- https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/900885
IG 1
IG 1
2.5.2 Переконайтеся, що «Інтерфейси моніторингу» для пристроїв високої доступності ввімкнено (Автоматизовано)
Налаштуйте моніторинг інтерфейсу в налаштуваннях високої доступності. Моніторинг інтерфейсу має бути ввімкнено на всіх критичних інтерфейсах.
Якщо на пристроях увімкнено моніторинг інтерфейсу, може відбутися відновлення після відмови, якщо воно є проблеми з фізичним носієм або проблеми з конкретним портом, до якого підключено FortiGate підключений.
Якщо не налаштувати моніторинг інтерфейсу, це може безпосередньо вплинути на служби через збій активувати відмову високої доступності, якщо інтерфейс зазнає впливу лише на основному пристрої і не контролюється. Без увімкненого моніторингу інтерфейсу, відновлення після відмови буде обмежено несправностями обладнання, системи або живлення.
Виконайте команду для перевірки параметрів:
config system ha
set group-name "FGT-HA"
set mode a-p
set password ENC
set override disable
set monitor "port6" "port7" ###Validate proper interfaces are present
end/fZY25lq+husndQHZVWp2LIlXmCv/n81U43nkZUWaIKvqkellGFbhv0/IHoOLzQPCsVcBbyrsgopr
YMvh6w7F06+nRriBtMNQxpiTE+12xAHz7lA3EoYZzf8A==
Виконайте команду для застосування конфігурації:
config system ha
set group-name "FGT-HA"
set mode a-p
set password ENC
set override disable
set monitor "port6" "port7"
end📋 CIS Controls & Нормативні посилання
IG 1
IG 1
2.5.3 Переконайтеся, що зарезервований інтерфейс керування HA налаштовано (Автоматизовано)
Переконайтеся, що зарезервовані інтерфейси керування налаштовані на пристроях високої доступності.
Щоб отримати доступ як до основного, так і до додаткового брандмауерів у кластері високої доступності, Зарезервовані інтерфейси керування потрібно налаштувати, щоб запобігти цьому синхронізація з HA та спільний доступ до віртуальної MAC-адреси.
Відмова від налаштування зарезервованих інтерфейсів керування впливає на можливість доступу вторинні пристрої безпосередньо завдяки синхронізації основного та додаткового пристроїв точну конфігурацію та переміщення віртуалізованої mac-адреси між ними для відновлення після відмови.
Виконайте команду для перевірки параметрів:
config system ha
set group-name "FGT-HA"
set mode a-p
set password ENC
set ha-mgmt-status enable
config ha-mgmt-interfaces
edit 1
set interface "port6"
set gateway 10.10.10.1
next
end
set override disable
end/fZY25lq+husndQHZVWp2LIlXmCv/n81U43nkZUWaIKvqkellGFbhv0/IHoOLzQPCsVcBbyrsgopr
YMvh6w7F06+nRriBtMNQxpiTE+12xAHz7lA3EoYZzf8A==
Переконайтеся, що набір ha-mgmt-status увімкнено та налаштовані ha-mgmt-interfaces
має принаймні один запис із визначеним інтерфейсом і шлюзом.
Виконайте команду для застосування конфігурації:
config system ha
set group-name "FGT-HA"
set mode a-p
set password ENC
set ha-mgmt-status enable
config ha-mgmt-interfaces
edit 1
set interface "port6"
set gateway 10.10.10.1
next
end
set override disable
end📋 CIS Controls & Нормативні посилання
IG 1
IG 1
2.5.4 Переконайтеся, що ідентифікатор групи високої доступності налаштовано (Автоматизовано)
Переконайтеся, що конфігурація FortiGate High Availability (HA) має нестандартний “Ідентифікатор групи”
Висока доступність (HA) дозволяє кластеру FortiGate передавати між собою віртуальну MAC-адресу пристроїв, щоб звести до мінімуму час простою, якщо сталася подія відновлення після відмови. Це віртуальна MAC-адреса генерується за допомогою GROUP-ID, щоб запобігти можливим дублюванням MAC-адрес Потрібен рівень 2 мережі, який налаштовує нестандартний ідентифікатор групи.
Якщо не змінити атрибут Group-ID у HA, це може призвести до дублювання MAC-адреси з інший FortiGate за замовчуванням, який має налаштовану HA, що може спричинити проблеми, якщо вони є обидва в одній мережі
Перевірте налаштування в графічному веб-інтерфейсі:
- Система > HA
- Виберіть основний пристрій і двічі клацніть, щоб відкрити, або один раз і виберіть редагувати
- У розділі «Параметри кластера» переконайтеся, що «Ідентифікатор групи» не дорівнює 0 і його налаштовано
Виконайте команду для перевірки параметрів:
config system ha
set group-id 10
set group-name "HAGROUP"
set mode a-p
set password ENC xxxxxxxx
set hbdev "port7" 50
set session-pickup enable
set override disable
set priority 200
endПеревірте, що параметр group-id присутній і його значення відмінне від типового 0.
Виконайте команду для застосування конфігурації:
FGT1 # config system ha
FGT1 (ha) # set group-id 10
FGT1 (ha) # end
FGT1 #
The Group ID can be any integer value from 0-1023
From the GUI:
1. System > HA
2. Select Primary device and either double click or single click and select
"Edit"
3. Under Cluster Settings enter a value in the "Group ID"
4. Click OK to apply
The Group ID can be any integer value from 0-1023
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.