Базовая защита FortiGate: защитите сам межсетевой экран

Межсетевой экран защищает сеть, но и сам является целью: за последние годы эксплуатировались несколько уязвимостей FortiOS, чаще всего на устройствах с интерфейсом управления, доступным из интернета. Эти настройки закрывают самые частые бреши.

Шаг 1. Личные администраторы, ограниченные доверенными сетями

Создайте именованных администраторов с длинными уникальными паролями и доверенными узлами (trusted hosts) — входить можно будет только из указанных сетей. Затем удалите стандартную учётную запись admin. По возможности включите двухфакторную аутентификацию (FortiToken).

config system admin
    edit "netadmin"
        set accprofile "super_admin"
        set password "Long-Unique-Password"
        set trusthost1 192.168.1.0 255.255.255.0
    next
end
# log in as netadmin, then remove the default account:
config system admin
    delete "admin"
end

Шаг 2. Никакого управления через интернет-порт

Уберите HTTPS, SSH и другие протоколы управления с WAN-интерфейсов. Управляйте межсетевым экраном только из офисной сети или через VPN.

config system interface
    edit "wan1"
        set allowaccess ping
    next
end

Шаг 3. Блокировка и FortiCloud SSO

Блокируйте адрес после нескольких неудачных входов. Если вы не используете единый вход FortiCloud для администраторов, отключите его — именно через него работала CVE-2026-24858.

config system global
    set admin-lockout-threshold 3
    set admin-lockout-duration 900
    set admin-forticloud-sso-login disable
end

Шаг 4. Обновляйте FortiOS

Регулярно проверяйте System → Firmware и следите за бюллетенями Fortinet PSIRT. Используйте рекомендованный путь обновления между версиями и обновляйтесь в окно обслуживания. Критические уязвимости SSL VPN и управления — это экстренные случаи.

Шаг 5. Резервная копия конфигурации и вынос журналов

Сохраняйте конфигурацию после каждого изменения и храните копии вне устройства. Отправляйте журналы в FortiAnalyzer или на syslog-сервер, чтобы они сохранились при взломе.

execute backup config tftp fgt-backup.conf 192.168.1.10

Межсетевой экран должен быть самым защищённым устройством сети, а не тем, на который никто не заходил год.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи