Végre megvan az új NGFW a cégben, megvettétek 3 vagy 5 éves enterprise vagy utp bundle-ben és biztonságban érzitek magatok (Szárazabb, magabiztosabb érzés nem?), hiszen van IPS , webfilter, antivirus stb... security profile, ami megvédhet az ismert támadásokkal szemben. Nyugodtan "hátradőltök" és készítitek az auditokhoz szükséges riportokat a FortiAnalyzerből... biztonságban eltelik az 5 év és "váratlanul ér" előfizetés megújítása, nincs budget, pánikolva néztek valamilyen alternatív alsópolcos megoldást, amit még be tudtok szerezni és kidobnátok a jó hardvert, ami éveken keresztül stabilan szolgált titeket...
Ne tegyétek! Mutatom milyen feature-ket használhattok tovább ingyen:
Persze az alábbi megoldások nem minden végfelhasználónak jelentenek megoldást a problémákra és kihívásokra, de KKV szektorbnan vagy olyan esetekben, ahol nem szükséges IPS, anitvirus, webfilter, még jól használhatók tovább ezek a hardverek/szoftverek előfizetések nélkül.
Fontos, ha egyébként van vagy beruháztok FortiCare (Premium, Elite) licenceket, akkor az alap platform és OS, karbantartásra (ticket nyitásra) még jogosultak lesztek, és az nem egy Enterprise protection, vagy egy UTP árába kerül.
Hogyan védjük meg magunkat az ismert támadók ellen ha nincs IPS adatbázis update, meg webfilter és társai?
Menjetek alacsonyabb OSI modell szintre L4+-L7-ről és használjátok, ami van (Szegény ember vízzel főz.)... rengeteg ingyenes adatbázis áll már rendelkezésre, ami alapján a perimeter eszközön IP vagy domain alapon meg tudjátok védeni magatok kintről vagy akár bentről is. A FortiOS-nek van egy csodálatos régóta (talán 5.6 vagy 6.0-s verzió óta) ismert external-resources / external connector funkciója aminek a segítségével külső threat feed-eket tudtok becsatornázni, amit alkalom adtán a tűzfal szabályokon is tudtok használni.
External connectors menüpont nagyon sok integrációs lehetőséget kínál fel nemcsak más IT rendszerekkel, hanem külső, vagy akár belső feedereket is felvehettek, amik megkönnyítik az ismert vagy tanult támadó IP, domain vagy malware has attribútumainak felismerését.
IP esetén rengeteg ingyenes feed lista létezik már, amit használhatsz arra, hogy az Internet ismert sötétebb bugyrait előszűrd magatok számára, ezek megbízhatóságát pedig nem tisztem eldönteni, érdemes párhuzamosan többet használni.
Hogy szedd össze ezeket egy csokorba?
Google khm... perplexity, vagy gemini a barátod :) , nekem az alábbi listát dobta vissza, amit azért kellett optimalizálni, mert FIRE_HOL_L1 listában benne van az RFC1918 is.... 🤯
| Forrás | Közvetlen feed URL | Mire való / javasolt irány |
|---|---|---|
| abuse.ch Feodo Tracker | Ajánlott aktív C2 IP-lista | Botnet C2; elsősorban LAN → WAN cél-IP. A szolgáltató ezt ajánlja a kisebb téves találati kockázat miatt. feodotracker.abuse+1 |
| blocklist.de – összes | all.txt | Az elmúlt 48 órában jelentett támadó IP-k; elsősorban WAN → szolgáltatás forrás-IP. blocklist |
| blocklist.de – SSH | ssh.txt | SSH-t érintő támadók; SSH-kitettséghez célzottabb választás. blocklist |
| blocklist.de – web | apache.txt | Webszervereket érintő támadók. blocklist |
| blocklist.de – levelezés | mail.txt | Levelezőszervereket érintő támadók. blocklist |
| blocklist.de – egyéb szolgáltatások | imap · ftp · sip · bots · bruteforcelogin | Csak a ténylegesen publikált szolgáltatásokhoz érdemes felvenni; az üres listákat kezeld normál állapotként. blocklist |
| Emerging Threats | Compromised IPs | Kompromittált vagy ellenséges hosztok; két irányban is mérlegelhető. github+1 |
| CINS Army | ci-badguys.txt | Rosszindulatúként értékelt IP-k; először monitorozva vagy szűk szabályban próbálnám. github |
| Binary Defense | banlist.txt | Támadó IP-k listája; főként bejövő forgalomhoz. github |
| DigitalSide OSINT | latestips.txt | Malware-hez kötött IP-k; főként kimenő cél-IP. github |
| Cisco Talos | IP blacklist | Talos IP-blokklista; a válasz aktuális formátumát ellenőrizd a FortiGate-ben. github |
| FireHOL | Level 1 · Level 2· Level 3 | Aggregált listák; jelentős az átfedés és a hatókörük eltér. A Level 1 bogon tartalma miatt nem jó általános LAN → WAN cél-IP-blokklistának. github+1 |
| FireHOL – Cybercrime Tracker | cybercrime.ipset | Külön, tematikus IP-lista. github |
| IPsum | 3 vagy több forrásban szereplő IP-k | Aggregált, küszöbölt lista. A fő ipsum.txt fájl IP + pontszámformátumú; közvetlen FortiGate-importhoz inkább a levels/ alatti nyers IP-fájlt használd. github |
| bitwire-it | inbound.txt · outbound.txt | Külön bejövő forrás- és kimenő cél-IP aggregáció; közösségi forrásként fokozottan tesztelendő. github |
| Malware-Filter | Phishing IP-k · URLhaus-hoz kötött IP-k | Kimenő cél-IP-khez; IP-szintű tiltásnál a megosztott tárhelyek miatt különösen fontos a téves találatok figyelése. github |
Minekután megvan a működő listád, csak össze kell állítani egy értelmes konfigurációt és ripsz ropsz már használhatod is a threat feed-eket arra, hogy az ismert fekete listás IP címek alapján tiltsd a forgalmat valahogy így:
Ha egy IP cím vagy tartomány hibásan van fenn ezek feed-ek valamelyikén, akkor érdemes ez elé szabályok elé egy kivételt képző engedélyező szabályt vagy szabályokat készítened, ami specifikusan engedélyezi a forgalmat adott irányba, de gyárthatsz saját feed-et is, aminek nem része az elérni kívánt cím....
Mit tudsz még tenni akkor, ha bentről kifelé megy a forgalom ezekre a címekre, és nem vagy meggyőződve arról, hogy ez legitim.
Nos további nagy előnye a FortiOS-nek, hogy az automation funkció, a NAC lite valamint FortiSwtich segítségével karanténozhatod azokat a host-okat amik, a fenti tűzfalszabályok valamelyikén igyekezett kommunikálni az Interneten. Így meg tudod előzni, hogy a már bejutott kártékony szoftver tova terjedjen a hálózaton.
Szóval inkább strukturáld át a hálózatod, gondold újra tűzfal szabályaid, mielőtt a jó hardvert száműzöd a rendszeredből azért, mert nincs már előfizetés az extended security feature-ökre, a FortiGate rengeteg olyan built-in megoldást tartalmaz, amiért nem kell külön fizetni, csak jól kell használni őket.
Természetesen a jó IT stratégia része a megfelelő budget tervezés, szóval ha használtok SEC előfizetéseket, ne hagyjátok lejárni őket az n-ik év végén hanem tervezzetek előre.
Még jelentkezek FortiOS tippekkel a jövőben, addig is csákány.