← До повного змісту CIS Fortinet FortiGate 7.4.x Benchmark

CIS Benchmark

CIS Benchmark • FortiGate 7.4.x v1.0.1

1. Налаштування мережі

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Налаштування мережі».


Рекомендацій: 3


FortiOS 7.4.x v1.0.1

1.1 Переконайтеся, що DNS-сервер налаштовано (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure DNS server is configured (Automated)

Fortinet використовує службу доменних імен (DNS) для перекладу імен хостів в IP адреси. Щоб увімкнути DNS-пошук, необхідно вказати основний DNS-сервер для вашої системи. Ви також можете вказати вторинні та третинні сервери DNS. При розв’язанні імен хостів, система звертається до основного сервера імен. Якщо сталася помилка або тайм-аут, система звертається до вторинного сервера імен. З міркувань безпеки довірені DNS-сервери слід налаштувати так, щоб запобігти несанкціонованому доступу атаки «людина посередині» (Man-in-the-Middle).

💡 Обґрунтування безпеки:

Мета полягає в тому, щоб виконати розділення імен хостів системи за протоколом Інтернету (IP) адреси за допомогою надійних серверів DNS.

🔍 Аудит (перевірка налаштувань)
💻 Командний рядок (CLI / SSH Console)

Виконайте команду для перевірки параметрів:

config system dns
set primary <ip_address>
set secondary <ip_address>
...
end
Очікуваний результат у консолі:

У веб-інтерфейсі (GUI) перейдіть до Network > DNS. FortiGate повинен використовувати або типові захищені DNS-сервери FortiGuard, або корпоративні захищені DNS.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

У цьому прикладі ми призначимо 8.8.8.8 як основний DNS і 8.8.4.4 як вторинний DNS. У CLI: FGT1 # config system dns FGT1 (dns) # set primary 8.8.8.8 FGT1 (dns) # set secondary 8.8.4.4 FGT1 (dns) # end FGT1 # У GUI перейдіть до Networks > DNS. Натисніть «Вказати» та введіть 8.8.8.8 як «Первинний DNS-сервер» і 8.8.4.4 як «Вторинний DNS-сервер».

    Значення за замовчуванням: Стандартним основним DNS-сервером є 96.45.45.45. Стандартний вторинний DNS-сервер – 96.45.46.46.
    📋 CIS Controls & Нормативні посилання
    1. https://docs.fortinet.com/document/fortigate/7.4.0/administration-guide/903162
    CIS Controls V8: 4.9
    IG 1
    Configure Trusted DNS Servers on Enterprise Assets Configure trusted DNS servers on enterprise assets. Example implementations include

    1.2 Переконайтеся, що трафік всередині зони не завжди дозволено (Вручну)

    Level 1Вручну

    Оригінал: Ensure intra-zone traffic is not always allowed (Manual)

    Це зроблено для того, щоб переконатися, що лише певний авторизований трафік дозволений між мережами в та сама зона.

    💡 Обґрунтування безпеки:

    Це додає додатковий рівень захисту між різними мережами.

    🔍 Аудит (перевірка налаштувань)
    💻 Командний рядок (CLI / SSH Console)

    Виконайте команду для перевірки параметрів:

    config system zone
edit "DMZ"
...
set intrazone deny
...
next
end
    Очікуваний результат у консолі:

    У веб-інтерфейсі (GUI) перейдіть до Network > Interfaces, виберіть зону та натисніть «Редагувати» (Edit). Переконайтеся, що опцію «Блокувати внутрішньозоновий трафік» (Block intra-zone traffic) увімкнено.

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    У цьому прикладі ми вимкнемо внутрішньозоновий трафік у зоні DMZ. У CLI: FGT1 # config system zone FGT1 (zone) # edit DMZ FGT1 (DMZ) # set intrazone deny FGT1 (DMZ) # end FGT1 # У GUI клацніть Мережа -> Інтерфейси, виберіть зону та натисніть «Редагувати» та ввімкніть «Блокувати внутрішньозонний трафік»

      Значення за замовчуванням: За замовчуванням внутрішньозоновий трафік заблоковано
      📋 CIS Controls & Нормативні посилання
      1. https://docs.fortinet.com/document/fortigate/7.4.5/cli-reference/314783845/config-system-zone
      2. https://docs.fortinet.com/document/fortigate/7.4.5/administration-guide/116821
      CIS Controls V8: 13.4
      IG 1, 2
      Perform Traffic Filtering Between Network Segments Perform traffic filtering between network segments, where appropriate.

      CIS Controls V7: 2.10
      IG 1
      Physically or Logically Segregate High Risk Applications Physically or logically segregated systems should be used to isolate and run software that is required for business operations but incur higher risk for the organization.

      1.3 Вимкнути всі пов’язані з керуванням служби на порту WAN (Вручну)

      Level 1Вручну

      Оригінал: Disable all management related services on WAN port (Manual)

      Увімкнення будь-яких служб, пов’язаних із керуванням, на інтерфейсі WAN є високим ризиком. управління мають бути пов’язані служби, такі як HTTPS, HTTP, ping, SSH, SNMP і Radius вимкнено в WAN.

      💡 Обґрунтування безпеки:

      Послуги, пов’язані з керуванням, слід увімкнути лише в інтерфейсі керування. Це є частина захисту брандмауера від атак і зменшення поверхні атаки. Для WAN пов’язані служби, такі як IPsec і SSLVPN, використовують локальну політику (див. CIS Розділ 2.4), щоб посилити захист брандмауера.

      ⚠️ Вплив на робочий процес (Impact):

      Увімкнути служби, пов’язані з керуванням, на порту WAN зручно, але це відкриває брандмауер до непотрібних ризиків. Уразливості, виявлені на пристроях постачальників, є поширеними пов’язані зі службами керування, і відкриття доступу до них дозволяє зловмисникам використовувати його вразливі місця.

      🔍 Аудит (перевірка налаштувань)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      У графічному інтерфейсі: перейдіть до «Мережа» > «Інтерфейси». Визначте інтерфейс WAN і перевірте, чи не ввімкнено HTTPS, HTTP, PING, SSH, SNMP і обліковий запис Radius у розділі «Адміністративний доступ». У CLI: `FGT1 # показати системний інтерфейс` Визначте інтерфейс WAN і переконайтеся, що «set allowaccess» не включає ping, https, http, ssh, snmp або налаштований radius-acct.

        ⚙️ Виправлення (Remediation / Налаштування)
        ℹ️ Примітка: 1. Назва інтерфейсу може відрізнятися залежно від розгортання. Для цього прикладу це порт1
        розгорнутий як інтерфейс WAN.
        2. “unselect allowaccess” покаже лише ті служби, які ви ввімкнули. Якщо ви
        не ввімкнули snmp на цьому інтерфейсі, тоді параметр snmp буде недоступний.

        📋 CIS Controls & Нормативні посилання
        CIS Controls V8: 4.8
        IG 1, 2
        Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

        CIS Controls V7: 1.6
        IG 1, 2, 3
        Address Unauthorized Assets Ensure that unauthorized assets are either removed from the network, quarantined or the inventory is updated in a timely manner.

        2 System Settings This topic contains information and best practices about FortiGate administration and system configuration.

        2.1 General Settings

        Потрібні інші розділи стандарту?

        Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


        До повного змісту CIS Fortinet FortiGate 7.4.x Benchmark →