Внедрение межсетевого экрана – это не только установка нового оборудования на периметре сети. Максимальную эффективность FortiGate дает, когда становится частью единой системы информационной безопасности предприятия, компании. И для этого важно понять, насколько легко устройство интегрируется с уже существующей ИТ-инфраструктурой.
Практически в каждой организации уже используются службы каталогов Active Directory, почтовые серверы, SIEM-платформы, системы мониторинга, веб-прокси, VPN-сервисы и средства управления конечными устройствами. Замена всей инфраструктуры ради установки нового NGFW экономически нецелесообразна. FortiGate проектировался как открытая платформа, которая способна работать совместно с разработками различных производителей. Поэтому важно знать, как FortiGate интегрируется с наиболее распространенными корпоративными системами, какие преимущества это дает бизнесу.
Почему интеграция важнее самого NGFW
Информационная безопасность строится по принципу многоуровневой защиты (Defense in Depth). Межсетевой экран уже не единственная точка контроля. Типичная корпоративная инфраструктура включает:
- службу каталогов пользователей;
- почтовую систему;
- SIEM для корреляции событий;
- систему управления конечными устройствами;
- веб-шлюзы;
- VPN;
- облачные сервисы;
- серверы фиксации событий;
- средства резервного копирования.
Если все перечисленное работает изолированно, то специалисты получают множество несвязанных между собой уведомлений. Анализ инцидентов занимает много времени, а часть атак может остаться незамеченной. FortiGate позволяет объединить эти компоненты в единую систему обмена информацией, где каждое устройство дополняет другое.
Интеграция FortiGate с Active Directory
Во многих организациях политики безопасности до сих пор строятся по IP-адресам. Но такой подход не всегда позволяет понять:
- кто работает за компьютером;
- какой отдел использует устройство;
- какие права есть у пользователя;
- устройство принадлежит сотруднику или подрядчику.
После интеграции с Active Directory FortiGate начинает работать уже не с адресами, а с учетными записями пользователей. Например, бухгалтерия получает доступ только к банковским сервисам, а отдел кадров – к государственным информационным системам. Такой подход значительно упрощает администрирование.
Какие технологии используются
FortiGate поддерживает несколько вариантов интеграции:
- LDAP;
- Microsoft Active Directory;
- Fortinet Single Sign-On (FSSO);
- Kerberos;
- RADIUS;
- SAML;
- Azure Active Directory (Microsoft Entra ID).
Но зачастую используется Fortinet Single Sign-On (FSSO). В этом случае пользователю не нужна повторная авторизация. После входа в домен FortiGate автоматически определяет:
- имя пользователя;
- группу;
- подразделение;
- компьютер;
- время входа.
После этого политики безопасности применяются автоматически.
Какие преимущества получает организация
Интеграция с AD позволяет отказаться от правил по IP-адресам, а также дает следующие преимущества:
- повысить точность фиксации событий в журнале;
- ускоряет расследования инцидентов;
- разграничивает доступ по ролям;
- позволяет автоматически применять политики безопасности при изменении структуры компании.
При увольнении сотрудника достаточно отключить его учетную запись в Active Directory. И доступ через FortiGate также будет заблокирован.
Интеграция с SIEM
Межсетевой экран ежедневно генерирует тысячи событий. Это попытки входа, блокировки IPS, а также:
- обнаружение вирусов;
- VPN-подключения;
- обращения к запрещенным сайтам;
- подозрительная активность пользователей.
Анализировать такой объем данных вручную невозможно. Поэтому журналы передаются в SIEM.
Какие SIEM поддерживаются
FortiGate может отправлять события практически в любую современную SIEM-платформу. Часто платформа интегрируется с:
- IBM QRadar;
- Splunk;
- Microsoft Sentinel;
- ArcSight;
- MaxPatrol SIEM;
- Elastic Security;
- FortiAnalyzer;
- FortiSIEM.
Передача осуществляется через Syslog, API, CEF, JSON, SNMP, TCP/UDP.
Что дает интеграция
После передачи журналов SIEM начинает сопоставлять события из различных источников. Active Directory сообщает о входе пользователя, а также:
- FortiGate фиксирует подключение VPN.
- Почтовый сервер регистрирует получение подозрительного письма.
- Антивирус фиксирует запуск вредоносного файла.
Отдельно эти события выглядят безобидно.
При комплексном их анализе SIEM может определить начало сложной целевой атаки (APT). Такая корреляция существенно сокращает время обнаружения инцидентов.
Интеграция с почтовыми системами
Несмотря на то, что специализированную защиту электронной почты обычно обеспечивает FortiMail или другие Secure Email Gateway, FortiGate также играет важную роль. Он способен фильтровать SMTP-трафик, а также:
- ограничивать доступ к почтовым сервисам;
- применять IPS к почтовому трафику;
- обнаруживать попытки эксплуатации уязвимостей;
- анализировать SSL-соединения;
- контролировать передачу вложений.
Кроме того, FortiGate может защищать:
- Outlook Web Access;
- Exchange Server;
- Exchange Online;
- Microsoft 365.
Для этого используются Reverse Proxy, SSL Inspection, Web Application Firewall, IPS. Это особенно актуально при публикации почтовых сервисов в Интернете.
Интеграция с FortiMail
При использовании Fortinet FortiGate и FortiMail обмениваются информацией об угрозах практически в режиме реального времени. Если FortiMail выявляет новую вредоносную рассылку, то FortiGate может автоматически усилить правила фильтрации сетевого трафика.
Интеграция с веб-шлюзами
Сегодня большая часть корпоративного трафика проходит через браузер. Через него сотрудники получают доступ к CRM, ERP, а также:
- облачным сервисам;
- банковским системам;
- корпоративным порталам;
- файловым хранилищам.
Соответственно, веб-трафик становится основным каналом проникновения вредоносного ПО.
Какие существуют варианты интеграции
FortiGate может работать совместно:
- с корпоративными Proxy Server;
- Secure Web Gateway;
- CASB;
- системами фильтрации контента;
- DLP-платформами.
Кроме того, поддерживаются ICAP, Explicit Proxy, Transparent Proxy, SSL Inspection, Web Filtering. В зависимости от архитектуры организации FortiGate может стать основным веб-шлюзом и работать совместно с уже существующим.
Какие преимущества от интеграции получает бизнес
Интеграция позволяет централизованно фильтровать Интернет-трафик, ограничивать доступ к опасным ресурсам. Она дает возможность применять единые политики безопасности, контролировать загрузку файлов, анализировать HTTPS-трафик, предотвращать утечки данных.
FortiGate – не только межсетевым экраном. Это универсальная платформа безопасности, которая легко интегрируется практически со всеми ключевыми компонентами корпоративной инфраструктуры – от Active Directory и SIEM до почтовых систем, веб-шлюзов, облачных платформ и средств мониторинга. Благодаря поддержке открытых стандартов, API и собственной экосистемы Fortinet устройство становится частью единой системы защиты, а не изолированным элементом сети.