← До повного змісту CIS Fortinet FortiGate 7.4.x Benchmark

CIS Benchmark

CIS Benchmark • FortiGate 7.4.x v1.0.1

6. VPN (Віртуальні приватні мережі)

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «VPN (Віртуальні приватні мережі)».


Рекомендацій: 2


FortiOS 7.4.x v1.0.1

6.1.1 Застосувати довірений підписаний сертифікат для порталу VPN (Автоматизовано)

Level 1Автоматизовано

Оригінал: Apply a Trusted Signed Certificate for VPN Portal (Automated)

Застосуйте підписаний сертифікат від надійного центру сертифікації (CA) до порталу SSL VPN дозволити користувачам безпечно з’єднуватися з упевненістю.

💡 Обґрунтування безпеки:

Наявність непідписаного або самопідписаного сертифіката залишає з’єднання відкритими для людини-в- середні атаки та можуть дозволити користувачам підключатися до ненадійних серверів.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

GUI:

  1. Перейдіть на сторінку адміністративного веб-доступу FortiGate.
  2. Перейдіть до VPN > Налаштування SSL-VPN і призначте підписаний сертифікат у спадному списку для «Сертифікат сервера».
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

Імпортуйте підписаний сертифікат із довіреного ЦС через графічний інтерфейс:

  1. Перейдіть до Система > Сертифікати > Імпорт.
  2. Потім призначте сертифікат порталу SSL VPN, перейшовши до VPN > Налаштування SSL-VPN і вибравши відповідний сертифікат у розкривному списку для «Сертифікат сервера».
Значення за замовчуванням: Самопідписаний заводський сертифікат
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 12.7
IG 1, 2
Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise’s AAA Infrastructure Require users to authenticate to enterprise-managed VPN and authentication services prior to accessing enterprise resources on end-user devices.

CIS Controls V7: 1.8
IG 1
Utilize Client Certificates to Authenticate Hardware Assets Use client certificates to authenticate hardware assets connecting to the organization’s trusted network.

6.1.2 Увімкнути обмежені версії TLS для SSL VPN (Автоматизовано)

Level 1Автоматизовано

Оригінал: Enable Limited TLS Versions for SSL VPN (Automated)

Увімкніть і вимкніть версії TLS і набори шифрів для більш детального керування SSL Підключення VPN і забезпечення більш безпечних з’єднань.

💡 Обґрунтування безпеки:

Обмеження версій TLS більш безпечними версіями, а також застосування більш надійних шифрів підвищує безпеку підключень SSL VPN.

🔍 Аудит (перевірка налаштувань)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для перевірки параметрів:

config vpn ssl settings
Очікуваний результат у консолі:
get
Validate that:
ssl-max-prot-ver is set to tls1-3.
ssl-min-proto-ver is set to tls1-2.
algorithm is set to high.

⚙️ Виправлення (Remediation / Налаштування)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для застосування конфігурації:

config vpn ssl settings
set ssl-max-proto-ver tls1-3
set ssl-min-proto-ver tls1-2
set algorithm high

Значення за замовчуванням: ssl-max-proto-ver : tls1-3 ssl-min-proto-ver : tls1-2 алгоритм : високий
📋 CIS Controls & Нормативні посилання
  1. https://docs.fortinet.com/document/fortigate/7.4.5/cli-reference/114404382/config-vpn-ssl-settings
CIS Controls V8: 12.7
IG 1, 2
Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise’s AAA Infrastructure Require users to authenticate to enterprise-managed VPN and authentication services prior to accessing enterprise resources on end-user devices.

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

7 Logs and Reports This section provides best practices related to logging and reporting in FortiGate.

7.1 Enable Logging How to enable logging on the FortiGate device.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Fortinet FortiGate 7.4.x Benchmark →