FortiGate-ի հիմնական պաշտպանություն․ պաշտպանեք հենց firewall-ը

Firewall-ը պաշտպանում է ցանցը, բայց ինքն էլ թիրախ է․ վերջին տարիներին շահագործվել են FortiOS-ի մի քանի խոցելիություններ, հաճախ այն սարքերում, որոնց կառավարման ինտերֆեյսը հասանելի էր ինտերնետից։ Այս կարգավորումները փակում են ամենատարածված բացերը։

Քայլ 1. Անձնական ադմինիստրատորներ՝ սահմանափակված վստահելի ցանցերով

Ստեղծեք անվանական ադմինիստրատորներ՝ երկար եզակի գաղտնաբառերով և վստահելի հասցեներով (trusted hosts)․ մուտքը հնարավոր կլինի միայն նշված ցանցերից։ Այնուհետև ջնջեք լռելյայն admin հաշիվը։ Հնարավորության դեպքում միացրեք երկգործոն նույնականացումը (FortiToken)։

config system admin
    edit "netadmin"
        set accprofile "super_admin"
        set password "Long-Unique-Password"
        set trusthost1 192.168.1.0 255.255.255.0
    next
end
# log in as netadmin, then remove the default account:
config system admin
    delete "admin"
end

Քայլ 2. Կառավարում ինտերնետ պորտով՝ ոչ

WAN ինտերֆեյսներից հանեք HTTPS-ը, SSH-ը և կառավարման այլ արձանագրությունները։ Firewall-ը կառավարեք միայն գրասենյակային ցանցից կամ VPN-ով։

config system interface
    edit "wan1"
        set allowaccess ping
    next
end

Քայլ 3. Արգելափակում և FortiCloud SSO

Արգելափակեք հասցեն մի քանի անհաջող մուտքից հետո։ Եթե ադմինիստրատորների համար չեք օգտագործում FortiCloud միասնական մուտքը, անջատեք այն․ հենց դրանով էր աշխատում CVE-2026-24858-ը։

config system global
    set admin-lockout-threshold 3
    set admin-lockout-duration 900
    set admin-forticloud-sso-login disable
end

Քայլ 4. Թարմացրեք FortiOS-ը

Պարբերաբար ստուգեք System → Firmware-ը և հետևեք Fortinet PSIRT ծանուցումներին։ Օգտագործեք տարբերակների միջև թարմացման առաջարկվող ուղին և թարմացրեք սպասարկման պատուհանում։ SSL VPN-ի և կառավարման կրիտիկական խոցելիությունները արտակարգ դեպքեր են։

Քայլ 5. Կոնֆիգուրացիայի պահուստավորում և գրանցամատյանների արտահանում

Պահպանեք կոնֆիգուրացիան յուրաքանչյուր փոփոխությունից հետո և պատճենները պահեք սարքից դուրս։ Գրանցամատյաններն ուղարկեք FortiAnalyzer կամ syslog սերվեր, որպեսզի դրանք պահպանվեն կոտրման դեպքում։

execute backup config tftp fgt-backup.conf 192.168.1.10

Firewall-ը պետք է լինի ցանցի ամենապաշտպանված սարքը, այլ ոչ թե այն, որին մեկ տարի ոչ ոք մուտք չի գործել։

Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։

Բոլոր հոդվածները