3. Політики та об’єкти

У CLI введіть «diag firewall iprope show 100004 ». У цьому прикладі ми перевіримо політику з ідентифікатором 32. Нам також потрібно буде очистити лічильник після кожного перегляду, щоб ми могли визначити, чи політика все ще використовується для наступного перегляду: FGT1 # diag firewall iprope show 100004 32 idx=2 pkts/bytes=144967/135758174 asic_pkts/asic_bytes=0/0 flag=0x0 hit count:663 FGT1 # diag firewall iprope clear 100004 32 У GUI,

1. Перейдіть до політики та об’єктів.
2. Натисніть Політика брандмауера.
3. Переконайтеся, що видимі стовпці «Байти» або «Кількість звернень». Щоб відобразити будь-який із них, перемістіть курсор у верхній рядок, де знаходяться назви всіх стовпців. Клацніть правою кнопкою миші, виберіть «Байти» або «Лічильник звернень» і натисніть «ОК». Щоб очистити лічильник, клацніть правою кнопкою миші стовпці «Байти» або «Кількість звернень» цієї політики та натисніть «Очистити лічильники».

Виправлення полягає в тому, щоб переглянути та вирішити, чи потрібно видаляти невикористовувані політики.

Виконайте команду для перевірки параметрів:

config firewall policy
edit 1
set uuid d0eed832-bb73-51e6-c3da-3cd2ec201608
set srcintf "internal"
set dstintf "wan"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "HTTPS" "HTTP"
set ssl-ssh-profile "__tmp_no-inspection"
set nat enable
next
end

In the GUI,
1. Go to Policy & Objects.
2. Click on Firewall Policy.
Make sure that none of the policies use "ALL" as its service.

Це приклад, який показує, як змінити політику з ідентифікатором 2, щоб змінити службу з “ALL” на FTP і SNMP. У CLI:FGT1 # конфігурація політики брандмауера FGT1 (політика) # редагування 2 FGT1 (2) # встановлення служби “FTP” “SNMP” FGT1 (2) # завершення FGT1 # У GUI,

1. Перейдіть до політики та об’єктів.
2. Натисніть Політика брандмауера.
3. Виберіть політику, натисніть «Редагувати».
4. У розділі «Сервіс» натисніть на нього та виберіть FTP і SNMP. Натисніть OK.

Перейдіть до «Політики та об’єктів». Перевірте, чи існує політика брандмауера, створена для блокування вхідних з’єднань із джерел під назвою «Tor-Exit.Node», «Tor-Relay.Node», «Censys-Scanner», «Shodan- Scanner», «Botnet-C&C.Server», «Phishing-Phishing.Server», «Proxy-Proxy.Server», «Spam-Spamming.Server», «VPN-Anonymous.VPN» і «Malicious-Malicious.Server» на сервісах «Всі». Перевірте, чи існує політика брандмауера, створена для блокування вихідних підключень до місця призначення під назвами «Tor-Relay.Node», «Botnet-C&C.Server», «Phishing-Phishing.Server», «Proxy-Proxy.Server», «Spam-Spamming.Server», «VPN-Anonymous.VPN» і «Malicious-Malicious.Server». Зверніть увагу, що ці ISDB рекомендовані станом на грудень 2024 року (FortiOS 7.4.5). Fortinet може розгорнути додаткові ISDB, які будуть заблоковані в новіших версіях, які не охоплені цим тестом.

Перегляньте політику брандмауера та переконайтеся, що:

1. Політика брандмауера, створена для блокування вхідних з’єднань із такими параметрами:Від: Будь-який До: Будь-який Джерело: «Tor-Exit.Node», «Tor-Relay.Node», «Censys-Scanner», «Shodan- Scanner», «Botnet-C&C.Server», «Phishing-Phishing.Server», «Proxy- Proxy.Server», “Spam-Spamming.Server”, “VPN-Anonymous.VPN” і “Malicious- Malicious.Server” Цільове призначення: усі Розклад: Завжди Служби: Усі Дії: Заборонити журнал порушення трафіку: увімкнено Увімкнути цю політику: увімкнено
2. Політика брандмауера, створена для блокування вихідних з’єднань із такими налаштуваннями: From: Any To: Any Source: All Destination: “Tor-Relay.Node”, “Botnet-C&C.Server”, “Phishing- Phishing.Server”, “Proxy-Proxy.Server”, “Spam-Spamming.Server”, “VPN- Anonymous.VPN” і Розклад “Malicious-Malicious.Server”: Завжди діяти: Заборонити трафік порушення журналу: увімкнено Увімкнути цю політику: увімкнено

Перейдіть до «Політика та об’єкти» > «Політика брандмауера». Переконайтеся, що журналювання ввімкнено для всіх політик брандмауера.

Перегляньте правила брандмауера та переконайтеся, що:

1. Для дозволених політик параметр «Реєстрація дозволеного трафіку» встановлено в параметрі «Усі сеанси».
2. Для заборонених політик увімкнуто «Порушення журналу трафіку».