← До повного змісту CIS Fortinet FortiGate 7.4.x Benchmark

CIS Benchmark

CIS Benchmark • FortiGate 7.4.x v1.0.1

4. Профілі безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Профілі безпеки».

Рекомендацій: 17

FortiOS 7.4.x v1.0.1

4.1.1 Виявлення підключень до ботнету (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Detect Botnet connections (Automated)
        

Інтерфейси, які класифікуються як “WAN” і використовуються політикою, повинні використовувати IPS датчик, який блокує або контролює вихідні підключення до сайтів ботнету.

💡 Обґрунтування безпеки:

Блокування вихідних з’єднань із відомими ботнетами слід використовувати в Defense In Проектування мережі глибини.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Переконайтеся, що для відповідного профілю IPS налаштовано параметр «Сканувати вихідні підключення до сайтів ботнету» на «Блокувати».
Перегляньте всі політики брандмауера, які мають інтерфейс WAN як місце призначення.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Налаштуйте відповідні профілі IPS, вказавши для параметра «Сканувати вихідні підключення до сайтів ботнетів» значення «Блокувати».
Застосуйте відповідний профіль IPS до всіх політик брандмауера з трафіком, що виходить із мережі до інтерфейсу “WAN”.

Значення за замовчуванням: «Сканувати вихідні підключення до сайтів ботнету» вимкнено в профілі за замовчуванням.

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/668865

CIS Controls V8: 13.7
IG 1

Deploy a Host-Based Intrusion Prevention Solution Deploy a host-based intrusion prevention solution on enterprise assets, where appropriate and/or supported. Example implementations include use of an Endpoint Detection and Response (EDR) client or host-based IPS agent.

CIS Controls V8: 13.8
IG 1

Deploy a Network Intrusion Prevention Solution Deploy a network intrusion prevention solution, where appropriate. Example implementations include the use of a Network Intrusion Prevention System (NIPS) or equivalent CSP service.

CIS Controls V7: 12.7
IG 1

Deploy Network-Based Intrusion Prevention Systems Deploy network-based Intrusion Prevention Systems (IPS) to block malicious network traffic at each of the organization’s network boundaries.

CIS Controls V7: 15.3
IG 1, 2

Use a Wireless Intrusion Detection System Use a wireless intrusion detection system (WIDS) to detect and alert on unauthorized wireless access points connected to the network.

4.1.2 Застосувати профіль безпеки IPS до політик (Вручну)

Level 1Вручну

            Оригінал: Apply IPS Security Profile to Policies (Manual)
        

Переконайтеся, що трафік, що проходить між мережами на FortiGate, має захист IPS профіль перевіряючи його.

💡 Обґрунтування безпеки:

Трафік, що переміщується між «інтерфейсами» на FortiGate, повинен мати політики брандмауера із застосуванням профілю безпеки IPS.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте всі політики брандмауера та переконайтеся, що трафік має профіль безпеки IPS, призначений для перевірки.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Налаштуйте всі «Дозволені» політики брандмауера, щоб застосувати до політик відповідний профіль безпеки IPS.

Значення за замовчуванням: Не налаштовано

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/243446

CIS Controls V8: 7.5
IG 1, 2

Perform Automated Vulnerability Scans of Internal Enterprise Assets Perform automated vulnerability scans of internal enterprise assets on a quarterly, or more frequent, basis. Conduct both authenticated and unauthenticated scans, using a SCAP-compliant vulnerability scanning tool.

CIS Controls V7: 12.7
IG 1

Deploy Network-Based Intrusion Prevention Systems Deploy network-based Intrusion Prevention Systems (IPS) to block malicious network traffic at each of the organization’s network boundaries.

4.2 Antivirus

4.2.1 Переконайтеся, що Push-оновлення визначень антивіруса налаштовано (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure Antivirus Definition Push Updates are Configured (Automated)
        

Переконайтеся, що FortiGate налаштовано на прийом оновлень визначення антивірусної програми.

💡 Обґрунтування безпеки:

Переконайтеся, що FortiGate приймає push-оновлення від FortiGuard, щоб забезпечити максимальну ефективність на пристрої присутні актуальні бази даних сигнатур.

🔍 Аудит (перевірка налаштувань)

💻 Командний рядок (CLI / SSH Console)

Виконайте команду для перевірки параметрів:

config system autoupdate schedule
show

Перевірте вивід команди: якщо вивід порожній, це означає, що розклад уже встановлено у типовий автоматичний режим (automatic).

⚙️ Виправлення (Remediation / Налаштування)

💻 Командний рядок (CLI / SSH Console)

Виконайте команду для застосування конфігурації:

config system autoupdate schedule
set status enable
set frequency automatic
end

Значення за замовчуванням: Увімкнено та встановлено на автоматичний режим.

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/547335

CIS Controls V8: 10.2
IG 1, 2, 3

Configure Automatic Anti-Malware Signature Updates Configure automatic updates for anti-malware signature files on all enterprise assets.

CIS Controls V7: 8.2
IG 1, 2, 3

Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

4.2.2 Застосувати профіль безпеки антивіруса до політик (Вручну)

Level 1Вручну

            Оригінал: Apply Antivirus Security Profile to Policies (Manual)
        

Переконайтеся, що трафік, що проходить між мережами на FortiGate, має антивірус Профіль безпеки перевіряє його.

💡 Обґрунтування безпеки:

Трафік, що переміщується між «інтерфейсами» на FortiGate, повинен мати політики брандмауера застосовано із застосованим профілем безпеки антивірусу.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте всі політики брандмауера та переконайтеся, що для перевірки трафіку призначено антивірусний профіль безпеки.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте політики брандмауера та застосуйте до політик відповідний профіль захисту антивірусної програми.

Значення за замовчуванням: Немає перевірки безпеки на політику брандмауера.

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/243446

CIS Controls V8: 10.1
IG 1, 2, 3

Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.

CIS Controls V8: 10.6
IG 1, 2

Centrally Manage Anti-Malware Software Centrally manage anti-malware software.

CIS Controls V7: 8.2
IG 1, 2, 3

Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

4.2.3 Увімкнути базу даних запобігання спалаху (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Enable Outbreak Prevention Database (Automated)
        

Переконайтеся, що перевірка FortiGate AV використовує базу даних запобігання спалаху як додатковий рівень захисту на додаток до виявлення на основі сигнатур антивіруса.

💡 Обґрунтування безпеки:

Антивірус переважно використовує сигнатуру для блокування зловмисного програмного забезпечення. Увімкнувши «Спалах FortiGuard FortiGate може використовувати геш-сигнатури зловмисного програмного забезпечення сторонніх розробників розроблений FortiGuard як додатковий захисний шар. Геш-сигнатури отримані з Global Threat Intelligence FortiGuard бази даних. Антивірусна база запитує у FortiGuard хеш відсканованого файлу. Якщо FortiGuard повертає збіг, відсканований файл вважається шкідливим.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Перейдіть до «Профілі безпеки» > «Антивірус».
Виберіть профіль AV. Перевірте, чи ввімкнено параметр «Використовувати базу даних запобігання спалаху FortiGuard». На CLI: FGT1 # config antivirus profile FGT1 (profile) # show Перевірте, що для кожного протоколу трафіку налаштовано «встановити блок запобігання спалаху».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте профілі антивірусної безпеки та переконайтеся, що опцію «Використовувати базу даних запобігання спалахам FortiGuard» увімкнено.

Значення за замовчуванням: Вимкнено

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/889364

CIS Controls V8: 10.1
IG 1, 2, 3

Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.

CIS Controls V8: 10.6
IG 1, 2

Centrally Manage Anti-Malware Software Centrally manage anti-malware software.

CIS Controls V7: 8.1
IG 1, 2

Utilize Centrally Managed Anti-malware Software Utilize centrally managed anti-malware software to continuously monitor and defend each of the organization’s workstations and servers.

CIS Controls V7: 8.2
IG 1, 2, 3

Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

CIS Controls V7: 8.3
IG 1, 2

Enable Operating System Anti-Exploitation Features/ Deploy Anti-Exploit Technologies Enable anti-exploitation features such as Data Execution Prevention (DEP) or Address Space Layout Randomization (ASLR) that are available in an operating system or deploy appropriate toolkits that can be configured to apply protection to a broader set of applications and executables.

CIS Controls V7: 8.6
IG 1, 2

Centralize Anti-malware Logging Send all malware detection events to enterprise anti-malware administration tools and event log servers for analysis and alerting.

4.2.4 Увімкнути виявлення зловмисного програмного забезпечення на основі AI/евристики (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Enable AI /heuristic based malware detection (Automated)
        

Слід увімкнути виявлення на основі ШІ/евристики.

💡 Обґрунтування безпеки:

Модель виявлення зловмисного програмного забезпечення AV Engine інтегрується в звичайне сканування AV, щоб допомогти виявляти потенційно зловмисні портативні виконувані файли Windows (PE) для пом’якшення атаки нульового дня. Це додатковий рівень захисту на додаток до традиційного антивірусу захисту. У версії 6.x воно називається «Евристичне виявлення». У версії 7.x Fortinet перейменовано це виявлення на основі ШІ.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Конфігурацію та перевірку можна виконати лише в CLI. На CLI: FGT1 # показати налаштування антивірусу | grep machine-learning-detection Перевірте, чи ввімкнено.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

На CLI: FGT1 # config antivirus settings FGT1 (settings) # set machine-learning-detection enable

Значення за замовчуванням: Увімкнено.

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/cli-reference/252375733/config-antivirus-settings

CIS Controls V8: 10.7
IG 1, 2

Use Behavior-Based Anti-Malware Software Use behavior-based anti-malware software.

CIS Controls V7: 8.1
IG 1, 2

Utilize Centrally Managed Anti-malware Software Utilize centrally managed anti-malware software to continuously monitor and defend each of the organization’s workstations and servers.

CIS Controls V7: 8.2
IG 1, 2, 3

Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

CIS Controls V7: 8.3
IG 1, 2

4.2.5 Увімкнути виявлення сірого ПЗ на антивірусі (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Enable grayware detection on antivirus (Automated)
        

Слід увімкнути виявлення сірого ПЗ.

💡 Обґрунтування безпеки:

Використання сірого програмного забезпечення, як правило, заборонено суворою політикою компанії та деякими іншими сірі програми можуть використовуватися зі зловмисними намірами. Якщо файл проходить перевірку на віруси, це може бути перевірено на сіре програмне забезпечення. Сигнатури Grayware оновлюються так само, як і антивірусні визначення.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

CLI: FGT1 # показати налаштування антивірусу | grep grayware Перевірте, чи ввімкнено виявлення grayware.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

На CLI: FGT1 # config antivirus settings FGT1 (settings) # set grayware enable

Значення за замовчуванням: Увімкнено в версії 7.4 або новішій. У старих версіях за замовчуванням вимкнено

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/cli-reference/252375733/config-antivirus-settings

CIS Controls V8: 10.1
IG 1, 2, 3

Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.

CIS Controls V8: 10.6
IG 1, 2

Centrally Manage Anti-Malware Software Centrally manage anti-malware software.

CIS Controls V7: 8.1
IG 1, 2

Utilize Centrally Managed Anti-malware Software Utilize centrally managed anti-malware software to continuously monitor and defend each of the organization’s workstations and servers.

CIS Controls V7: 8.2
IG 1, 2, 3

Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization’s anti-malware software updates its scanning engine and signature database on a regular basis.

4.2.6 Переконайтеся, що вбудоване сканування за допомогою FortiGuard AI-Based Sandbox Service увімкнено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure inline scanning with FortiGuard AI-Based Sandbox  Service is enabled (Automated)
        

Вбудоване сканування підтримується, якщо FortiGate має ліцензію на FortiGuard AI- Базована служба ізольованого програмного середовища (FAIS). Це працює подібно до вбудованого сканування для FortiSandbox приладу, утримуючи файл до 50 секунд для повернення вердикту. Час очікування минув сканування можна налаштувати на блокування, журнал або ігнорування. Вбудоване сканування можна ввімкнути з Графічний інтерфейс на сторінці конфігурації Cloud Sandbox.

💡 Обґрунтування безпеки:

За допомогою FAIS невідоме шкідливе програмне забезпечення можна виявити та заблокувати за допомогою хмарного ізольованого програмного середовища технології. Використовуючи вбудоване сканування з FAIS, також можна запобігти нульовому пацієнту. Це доповнює існуюче антивірусне виявлення на основі сигнатур, а також діє як додатковий рівень захисту на додаток до функції AV-евристики FortiGate.

🔍 Аудит (перевірка налаштувань)

💻 Командний рядок (CLI / SSH Console)

Виконайте команду для перевірки параметрів:

config system fortiguard
get

Перевірте, чи параметр sandbox-inline-scan увімкнено (enable). Параметр відображається після вибору регіону хмарної пісочниці. Якщо параметр відсутній, функція вимкнена.

config antivirus profile
edit <profile-name>
show

Переконайтеся, що налаштовано fortisandbox-mode inline.

Очікуваний результат:

отримати
Перевірте, чи ввімкнено inline-scan у пісочниці. Зауважте, що лише inline-scan sandbox
sandbox-inline-scan у вихідних даних, це означає, що цю функцію не ввімкнено.
Якщо ввімкнено вбудоване сканування ізольованого програмного середовища, перевірте на CLI, чи воно застосовується для захисту AV
профіль:
шоу
Перевірте, чи встановлено fortisandbox-mode inline і для кожного протоколу трафіку, fortisandbox
блок встановлено.
На GUI:
1. Перейдіть до Security Fabric > Fabric Connectors і двічі клацніть Cloud
Картка пісочниці.
Перевірте, чи ввімкнено «Inline scan».
Якщо включено «Inline scan», то:

1. Перейдіть до Профілі безпеки > Антивірус і двічі клацніть відповідний AV
профіль.
Перевірте, чи для стратегії сканування встановлено значення «Inline», а для дії — «Block»

⚙️ Виправлення (Remediation / Налаштування)

💻 Командний рядок (CLI / SSH Console)

Виконайте команду для застосування конфігурації:

config system fortisandbox
set status disable
end
execute forticloud-sandbox region
config system fortiguard
set sandbox-region "Global"
set sandbox-inline-scan enable
end
config antivirus profile
edit <profile name>
set feature-set proxy
set fortisandbox-mode inline
config http
set fortisandbox block
end
config ftp
set fortisandbox block
end
config imap
set fortisandbox block
end
config pop3
set fortisandbox block
end
config mapi
set fortisandbox block
end
config nntp
set fortisandbox block
end
config cifs
set fortisandbox block
end
config ssh
set fortisandbox block
end
next
end

Значення за замовчуванням: Вимкнено

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/571153/using-fortisandbox-inline-scanning-with-antivirus

4.2.7 Увімкнути CDR для режиму проксі для файлів XLSB, OpenOffice і RTF (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Enable CDR for proxy mode on XLSB, OpenOffice, and  RTF files (Automated)
        

Увімкнення Content Disarm & Reconstruction (CDR) для режиму проксі на XLSB, Файли OpenOffice і RTF покращують безпеку, очищаючи потенційно шкідливий вміст у цих типах файлів. Це допомагає запобігти загрозам, вбудованим у документи, під час обслуговування зручність використання. Зауважте, що це стосується лише профілів AV і політик брандмауера в «режимі проксі».

💡 Обґрунтування безпеки:

Увімкнення Content Disarm & Reconstruction (CDR) для файлів XLSB, OpenOffice і RTF зменшує ризик вбудованого зловмисного програмного забезпечення, попередньо дезінфікуючи потенційно шкідливий вміст воно доходить до користувача. Цей проактивний підхід зменшує площу атаки, одночасно гарантуючи безперервність бізнесу.

⚠️ Вплив на робочий процес (Impact):

Без CDR шкідливе корисне навантаження, приховане в цих форматах документів, може обійти традиційні заходи безпеки, що призводять до витоку даних або компрометації системи.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Переконайтеся, що CDR налаштовано з GUI:

Перейдіть до Профілі безпеки > Антивірус і натисніть Створити новий.
Увімкніть сканування антивірусом і виберіть Блокувати.
Встановіть функцію на основі проксі.
У розділі «Перевірені протоколи» ввімкніть один або кілька протоколів, які підтримують антивірусне сканування на основі проксі.
У розділі «Параметри захисту APT» увімкніть Content Disarm and Reconstruction і виберіть Apply CDR to office files, щоб вимкнути файли Microsoft Office і OpenOffice, включаючи файли RTF (Rich Text Format) і XLSB (Excel Binary Workbook).

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Щоб налаштувати антивірусний CDR у графічному інтерфейсі:

Перейдіть до Профілі безпеки > Антивірус і натисніть Створити новий.
Увімкніть сканування антивірусом і виберіть Блокувати.
Встановіть функцію на основі проксі.
У розділі «Перевірені протоколи» ввімкніть один або кілька протоколів, які підтримують антивірусне сканування на основі проксі.
У розділі «Параметри захисту APT» увімкніть Content Disarm and Reconstruction і виберіть Apply CDR to office files, щоб вимкнути файли Microsoft Office і OpenOffice, включаючи файли RTF (Rich Text Format) і XLSB (Excel Binary Workbook).

Значення за замовчуванням: Вимкнено

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.0/new-features/920942/support-xlsb-openoffice-and-rtf-files-for-cdr-in-antivirus-profiles-7-4-4

CIS Controls V8: 10.1
IG 1, 2, 3

Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.

CIS Controls V7: 8.1
IG 1, 2

Utilize Centrally Managed Anti-malware Software Utilize centrally managed anti-malware software to continuously monitor and defend each of the organization’s workstations and servers.

4.3 DNS Filter

4.3.1 Увімкнути DNS-фільтр блокування домену C&C ботнету (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Enable Botnet C&C Domain Blocking DNS Filter (Automated)
        

Увімкніть блокування домену C&C ботнету, щоб заблокувати доступ до ботнету під час розпізнавання імен DNS етап.

💡 Обґрунтування безпеки:

Блокування доступу до веб-сайту ботнету на етапі вирішення DNS забезпечує додатковий рівень оборони.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Перегляньте DNS-фільтри в розділі «Профілі безпеки» > «DNS-фільтр» і переконайтеся, що «Переадресовувати запити C&C ботнету на блокування порталу» ввімкнено.
Переконайтеся, що в політиках брандмауера, які дозволяють трафік DNS, застосовано профіль безпеки фільтра DNS.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Перейдіть до Профілі безпеки > DNS-фільтр.
Двічі клацніть назву відповідного профілю безпеки. Увімкніть «Перенаправляти запити C&C ботнету на блокування порталу».
Переконайтеся, що політики брандмауера, які мають DNS-трафік, мають застосований профіль безпеки DNS-фільтра з увімкненою цією опцією.

Значення за замовчуванням: У профілі за замовчуванням увімкнено «Переадресовувати запити C&C ботнету на портал блокування».

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/105208

CIS Controls V8: 9.2
IG 1, 2, 3

Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 8.6
IG 1, 2

Centralize Anti-malware Logging Send all malware detection events to enterprise anti-malware administration tools and event log servers for analysis and alerting.

CIS Controls V7: 8.7
IG 1, 2

Enable DNS Query Logging Enable Domain Name System (DNS) query logging to detect hostname lookups for known malicious domains.

4.3.2 Переконайтеся, що DNS-фільтр реєструє всі DNS-запити та відповіді (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure DNS Filter logs all DNS queries and responses (Automated)
        

DNS-фільтр має реєструвати всі DNS-запити та відповіді.

💡 Обґрунтування безпеки:

DNS-фільтр має реєструвати всі DNS-запити та відповіді (незалежно від того, чи є категорія DNS заблоковані, контрольовані або дозволені). Це дає змогу SOC або аналітикам безпеки зробити ще більше розслідування інцидентів безпеки, особливо щодо полювання на загрози або реагування на інциденти діяльності. Хоча існує багато джерел даних, які можуть надати журнали запитів DNS (AD або EDR), цей параметр слід увімкнути з найкращої практики та з припущенням, що немає іншого джерела даних.

⚠️ Вплив на робочий процес (Impact):

За замовчуванням дозволений DNS не реєструється. Це створює прогалину в даних під час пошуку загроз або діяльність з реагування на інциденти.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

GUI:

Перейдіть до «Профілі безпеки» > «DNS-фільтр».
Виберіть відповідний профіль фільтра DNS. Перевірте, чи ввімкнено параметр «Реєструвати всі DNS-запити та відповіді». CLI: FGT1 # config dnsfilter profile FGT1 (profile) # show Перевірка того, що «set log-all-domain enable» налаштовано в профілі DNS-фільтра.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте профілі безпеки фільтра DNS і перевірте, чи ввімкнено параметр «Реєструвати всі запити та відповіді DNS».

Значення за замовчуванням: Вимкнено

📋 CIS Controls & Нормативні посилання

https://community.fortinet.com/t5/FortiGate/Technical-Tip-FortiGate-Static-DNS-filter-behavior-in-logging/ta-p/223110

CIS Controls V8: 8.6
IG 1, 2

Collect DNS Query Audit Logs Collect DNS query audit logs on enterprise assets, where appropriate and supported.

CIS Controls V7: 8.7
IG 1, 2

Enable DNS Query Logging Enable Domain Name System (DNS) query logging to detect hostname lookups for known malicious domains.

4.3.3 Застосувати профіль безпеки фільтра DNS до політик (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Apply DNS Filter Security Profile to Policies (Automated)
        

Переконайтеся, що трафік, що проходить через FortiGate до Інтернету, має захист DNS-фільтра профіль перевіряючи його.

💡 Обґрунтування безпеки:

Вихідний трафік до Інтернету на FortiGate повинен мати політику брандмауера із застосованим профілем безпеки фільтра DNS.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте політики брандмауера, які обробляють вихідний трафік до Інтернету, має профіль безпеки DNS-фільтра, призначений для перевірки.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Налаштуйте «Дозволені» політики брандмауера, які обробляють вихідний трафік до Інтернету, щоб застосувати до політик відповідний профіль безпеки фільтра DNS.

Значення за замовчуванням: Не налаштовано

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/243446

CIS Controls V8: 9.2
IG 1, 2, 3

Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 7.7
IG 1, 2, 3

Use of DNS Filtering Services Use DNS filtering services to help block access to known malicious domains.

4.4 Web Filtering

4.4.1 Створення профілю веб-фільтрації (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Create a Web Filtering Profile (Automated)
        

Переконайтеся, що веб-фільтрація на основі категорій FortiGuard блокує категорії ризиків безпеки

💡 Обґрунтування безпеки:

Веб-сайти, віднесені до категорії «Ризик безпеці», становлять серйозну загрозу для організації мережі та користувачів. Такі категорії, як «Динамічний DNS», «Шкідливі веб-сайти», «Фішинг» і «URL-адреси спаму» часто асоціюються з кіберзагрозами та служать для них початкові вектори доступу для таких атак, як розповсюдження зловмисного програмного забезпечення, фішингові схеми, командно-адміністративну діяльність і крадіжку даних. Якщо будь-які веб-сайти або веб-сторінки, які підпадають під Категорії бази даних URL-адрес FortiGuard «Динамічний DNS», «Нещодавно зареєстровані домени» або «Ново зареєстровані домени» повинні бути дозволені, це ґрунтується на політиці організації, ці конкретні записи має бути налаштовано під дією «Монітор» у конфігурації веб-фільтра.

⚠️ Вплив на робочий процес (Impact):

Налаштування категорій бази даних URL FortiGuard «Нещодавно спостережувані домени» або «Нещодавно Зареєстровані домени» на дію «Блокувати», може значно вплинути на доступ користувачів до веб-сайтів, зокрема нещодавно створений веб-сайт та/або веб-сайти без категорії, якщо це стосується нерейтингова категорія.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

GUI: перейдіть до Профілі безпеки > Веб-фільтр. Виберіть відповідний профіль веб-фільтра, якщо це можливо. Переконайтеся, що в розділі «Ризик безпеці» для таких категорій, як «Шкідливі веб-сайти», «Фішинг» і «URL-адреси спаму», встановлено дію «Блокувати».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Застосуйте профіль Web Filter до політики брандмауера або SD-WAN і переконайтеся, що категорії загрози безпеці, зокрема URL-адреси шкідливих веб-сайтів, фішингу та спаму, налаштовано на блокування.

Значення за замовчуванням: За умовчанням для всіх категорій у розділах «Ризик безпеці» та «Без рейтингу» встановлено значення «Блокувати».

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.6.2/administration-guide/267887/configuring-a-web-filter-profile

4.5 Application Control Application Control Security profiles

4.5.1 Блокування категорій високого ризику на Контролі програм (Вручну)

Level 1Вручну

            Оригінал: Block high risk categories on Application Control (Manual)
        

Переконайтеся, що FortiGate Application Control блокує програми високого ризику, щоб зменшити атаку поверхні.

💡 Обґрунтування безпеки:

Програми високого ризику, такі як «P2P» і «Proxy», відомі тим, що поширюються шкідливе програмне забезпечення. Частина цього трафіку зашифрована і тому може обходити мережу перевірка безпеки (для тих, де реалізовано дешифрування). Блокування цих запуск програм усуває цей ризик. Якщо будь-яка програма, яка підпадає під “P2P” і “Proxy”, повинна бути дозволена на основі згідно з політикою організації, ця конкретна програма має бути в режимі «Моніторинг». конфігурація «Заміна програм і фільтрів».

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

GUI:

Перейдіть до «Профілі безпеки» > «Керування програмами».
Виберіть профіль App Control. Переконайтеся, що категорії «P2P» і «Proxy» заблоковано.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте профілі безпеки контролю програм і переконайтеся, що категорії «P2P» і «Проксі» заблоковано.

Значення за замовчуванням: Для всіх програм категорія «Дія» за замовчуванням встановлена як «Монітор».

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/19814

CIS Controls V8: 13.10
IG 1

Perform Application Layer Filtering Perform application layer filtering. Example implementations include a filtering proxy, application layer firewall, or gateway.

CIS Controls V7: 9.5
IG 1

Implement Application Firewalls Place application firewalls in front of any critical servers to verify and validate the traffic going to the server. Any unauthorized traffic should be blocked and logged.

4.5.2 Блокувати програми, що працюють на нестандартних портах (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Block applications running on non-default ports (Automated)
        

Переконайтеся, що FortiGate Application Control блокує програми, що працюють на нестандартних портах.

💡 Обґрунтування безпеки:

Запуск програм на нестандартних портах не є прямою загрозою, але може бути ознака чогось несподіваного. Наприклад, HTTPS працює на порту 443. Потенційно, якщо зловмисник запускає фальшивий HTTPS-сервер на порту 10443, він може бути використаний для даних ексфільтрація.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Перейдіть до «Профілі безпеки» > «Керування програмами».
Виберіть відповідний профіль керування програмою. Перевірте, чи ввімкнено параметр «Блокувати програми, виявлені на нестандартних портах».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

GUI:

Перейдіть до «Профілі безпеки» > «Керування програмами».
Виберіть відповідний профіль керування програмою. Увімкніть опцію «Блокувати програми, виявлені на нестандартних портах». На CLI: FGT1 # налаштувати список програм FGT1 (список) # редагувати <назва профілю> FGT1 (<назва профілю>) # встановити enforce-default-app-port enable

Значення за замовчуванням: Вимкнено

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/66882

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.5.3 Переконайтеся, що весь трафік, пов’язаний із контролем програм, реєструється (Вручну)

Level 1Вручну

            Оригінал: Ensure all Application Control related traffic is logged (Manual)
        

Переконайтеся, що жодна категорія не має значення «Дозволити» на FortiGate Application Control.

💡 Обґрунтування безпеки:

Будь-яка категорія, яка встановлена як «Дозволити» на Application Control, не буде зареєстрована. Це створює прогалину у видимості розслідування безпеки. Це включає “Невідомі програми” категорія.

⚠️ Вплив на робочий процес (Impact):

Розрив видимості, який впливає на криміналістику інциденту та реагування.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Перегляньте «Профілі безпеки» > «Контроль програм».
Виберіть відповідний профіль керування програмою. Переконайтеся, що для жодної категорії не встановлено дію «Дозволити».

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

На GUI:

Перейдіть до «Профілі безпеки» > «Керування програмами».
Виберіть відповідний профіль керування програмою.
Змініть будь-які категорії за допомогою дії «Дозволити» на «Монітор».

Значення за замовчуванням: Для категорії «Невідомі програми» встановлено значення «Дозволити».

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/19814

CIS Controls V8: 13.6
IG 1, 2

Collect Network Traffic Flow Logs Collect network traffic flow logs and/or network traffic to review and alert upon from network devices.

CIS Controls V7: 6.3
IG 1, 2

Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.

4.5.4 Застосувати профіль безпеки керування програмами до політик (Вручну)

Level 1Вручну

            Оригінал: Apply Application Control Security Profile to Policies (Manual)
        

Переконайтеся, що трафік, що проходить між мережами на FortiGate, має додаток Контролюйте профіль безпеки, перевіряючи його.

💡 Обґрунтування безпеки:

Трафік, що переміщується між «інтерфейсами» на FortiGate, повинен мати політики брандмауера із застосованим профілем безпеки Application Control.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перегляньте всі політики брандмауера та переконайтеся, що трафік має профіль безпеки Application Control, призначений для перевірки.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Налаштуйте всі «Дозволені» політики брандмауера, щоб застосувати відповідний профіль безпеки Application Control до політик.

Значення за замовчуванням: Не налаштовано

📋 CIS Controls & Нормативні посилання

https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/243446

CIS Controls V8: 3.3
IG 1, 2, 3

Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 9.5
IG 1

CIS Controls V7: 18.10
IG 1

Deploy Web Application Firewalls (WAFs) Protect web applications by deploying web application firewalls (WAFs) that inspect all traffic flowing to the web application for common web application attacks. For applications that are not web-based, specific application firewalls should be deployed if such tools are available for the given application type. If the traffic is encrypted, the device should either sit behind the encryption or be capable of decrypting the traffic prior to analysis. If neither option is appropriate, a host-based web application firewall should be deployed.

5 Security Fabric This Section provides best practice related to configuring Fortinet Security Fabric.

5.1 Automation

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.

До повного змісту CIS Fortinet FortiGate 7.4.x Benchmark →