Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

FortiGate

De collector toestaan op een Fortinet FortiGate (FortiOS 7.4 en 7.6): IPS-vrijstelling, DoS-policy, banned IP opheffen en uitzondering voor SSL-inspectie en webfilter.

Een FortiGate met IPS of een DoS-policy kan de scan van de collector zien als een portscan en het IP-adres in quarantaine zetten. In dit artikel maak je een smalle uitzondering voor alleen de collector. Daarna scant hij ongestoord tussen de VLAN's en bereikt hij het platform zonder SSL-inspectie.

Wat je nodig hebt

In de stappen staan twee waarden:

  • COLLECTOR_IP: het IP-adres van de collector;
  • PLATFORM_FQDN: het adres van het portaal (bijv. portal.obsolens.com).

Je vindt beide in het portaal onder Toegang regelen bij de collector. Kies daar Fortinet FortiGate bij Stappen voor: je krijgt dan de stappen hieronder met de waarden al ingevuld.

Tip: maak elke uitzondering zo smal mogelijk: alleen het IP-adres van de collector (/32) en alleen de hostnaam van het platform. Gebruik geen hele subnetten.

IPS-vrijstelling voor de collector

  1. Ga naar Security Profiles > Intrusion Prevention en open het IPS-sensorprofiel dat op de betreffende policy staat.
  2. Kies onder IPS Signatures and Filters de optie Create New.
  3. Zet Type op Signature en kies de signature(s) die in de IPS-log afgaan op de collector.
  4. Voeg via Edit IP Exemptions COLLECTOR_IP toe als bron.
  5. Sla het profiel op.

Via de CLI:

config ips sensor
  edit <sensor>
    config entries
      edit <id>
        set rule <signature-id>
        config exempt-ip
          edit 1
            set src-ip COLLECTOR_IP 255.255.255.255
            set dst-ip 0.0.0.0 0.0.0.0
          next
        end
      next
    end
  next
end

exempt-ip werkt per signature-entry en verschijnt pas als set rule is ingesteld. Kijk in de IPS-log welke kant bron en welke kant doel is.

Een geblokkeerd IP vrijgeven

IPS-entries en DoS-anomalieën kunnen quarantine attacker als actie hebben. Met de vrijstelling hierboven gebeurt dat niet meer voor de collector. Staat het IP al op de lijst, haal het er dan af:

diagnose user banned-ip list
diagnose user banned-ip delete src4 COLLECTOR_IP

Dit geldt voor FortiOS 7.2 en later. Op 7.0 gebruik je diagnose user quarantine list.

DoS-policy

  1. Ga naar Policy & Objects > DoS Policy (CLI: config firewall DoS-policy).
  2. Maak een policy met srcaddr = een adresobject voor COLLECTOR_IP.
  3. Zet de scan-anomalieën, zoals tcp_port_scan, udp_scan en icmp_sweep, op pass of schakel ze uit.
  4. Zet deze policy boven de algemene DoS-policy.

De namen van deze anomalieën en de volgorde waarin DoS-policy's worden toegepast zijn niet bevestigd in de documentatie van de fabrikant. Controleer ze op je eigen FortiGate.

SSL-inspectie en webfilter voor het platform

  1. Maak een FQDN-adresobject voor PLATFORM_FQDN.
  2. Ga naar Security Profiles > SSL/SSH Inspection, open het profiel en kies Exemptions > Create New. Selecteer het adresobject en poort 443.
  3. Of maak een aparte firewall policy van COLLECTOR_IP naar het FQDN-object met SSL Inspection = certificate-inspection.
  4. Webfilter: ga naar Security Profiles > Web Filter > Static URL Filter en voeg PLATFORM_FQDN toe met actie Exempt. Welke controles Exempt precies overslaat, is niet bevestigd in de documentatie van de fabrikant.

Via de CLI voor de SSL-uitzondering: config firewall ssl-ssh-profile > edit <profiel> > config ssl-exempt > edit 1 > set type wildcard-fqdn met set wildcard-fqdn <object>, of set type address met set address <object>.

Controleren

  1. Voer op de collector obsolens-collector diagnose uit. Die meldt of SSL-inspectie of het webfilter nog in de weg zit.
  2. Start in het portaal Nu scannen en kijk in het blok Netwerken of de VLAN's achter de FortiGate antwoorden.
  3. Kijk in de IPS-log of er nog meldingen op COLLECTOR_IP binnenkomen.

Zolang de uitzondering er nog niet is, kun je per locatie het scanprofiel Voorzichtig kiezen. Dat blijft onder de gangbare drempels voor portscan-detectie.

Bronnen

Zie ook