Connector FortiGate (API)

El connector FortiGate (API) afegeix un tallafoc FortiGate com a actiu consultant l’API REST de FortiOS. No requereix SNMP, ni executar scripts, ni instal·lar cap agent.

Obté:

• la versió i la compilació (build) de FortiOS, que serveixen per calcular les vulnerabilitats;
• el nom, el model i el número de sèrie del FortiGate;
• el mode d’alta disponibilitat;
• la versió i la data de les bases de signatures antivirus i IPS;
• els venciments de les llicències FortiGuard i del suport FortiCare;
• la disponibilitat d’un pedaç de FortiOS;
• les adreces IP de les interfícies, incloses les obtingudes per DHCP;
• problemes de configuració de l’administració del FortiGate.

També permet avaluar la conformitat del FortiGate amb el CIS.

Totes les sol·licituds són de només lectura.

El connector es pot utilitzar de dues maneres:

• directament: Cyberwatch consulta l’API de cada FortiGate, amb una clau d’API pròpia del dispositiu;
• mitjançant un FortiManager: Cyberwatch consulta el FortiManager, que transmet les sol·licituds als FortiGate que gestiona. N’hi ha prou amb una sola clau d’API, la del FortiManager, per a tot el parc.

Requisits previs

Per crear connexions sense agent de tipus FortiGate (API), cal activar aquest tipus de connexions al menú Administració > Gestió de connectors.

Directament, l’escàner de Cyberwatch ha d’arribar a la interfície d’administració HTTPS del FortiGate. Mitjançant un FortiManager, ha d’arribar a l’API JSON del FortiManager.

Connexió directa

Preparar el FortiGate

1. Creeu un perfil d’administrador amb tots els permisos de només lectura (System > Admin Profiles). Si els VDOM estan activats, doneu al perfil un abast global.
2. Creeu un administrador REST API amb aquest perfil (System > Administrators > Create New > REST API Admin).
3. Als amfitrions de confiança (Trusted Hosts) d’aquest administrador, autoritzeu només l’adreça de l’escàner de Cyberwatch.
4. Anoteu la clau d’API generada: FortiOS només la mostra una vegada.

Configurar la credencial

Podeu configurar els accessos des del menú Credencials desades de la barra lateral, fent clic al botó Afegeix. Al formulari, seleccioneu el tipus Fortinet i, després, indiqueu:

• Clau d’API: la clau de l’administrador REST API;
• URL: opcional, només serveix per al descobriment FortiGate;
• Desactiva la verificació del certificat: marqueu aquesta casella si el FortiGate presenta un certificat autosignat;
• Ignora el servidor intermediari: marqueu aquesta casella si l’escàner arriba al FortiGate sense passar pel servidor intermediari configurat a Cyberwatch.

Afegir el FortiGate

A Cyberwatch, a la secció Actius:

1. Aneu al menú Actius i feu clic a Connexions sense agent
2. Seleccioneu el protocol d’accés FortiGate (API)
3. Al camp Adreça, indiqueu l’adreça IP o el nom del FortiGate
4. Al camp Port, indiqueu el port de la interfície d’administració HTTPS (443 per defecte)
5. Seleccioneu la credencial Fortinet, o creeu-ne una
6. Feu clic a Desa

Cyberwatch sempre crida el FortiGate a l’adreça i al port de la connexió, sigui quina sigui l’URL de la credencial.

Connexió mitjançant un FortiManager

Configurar la credencial

La credencial és la del descobriment FortiManager: tipus FortiManager, amb l’URL del FortiManager i la clau d’API d’un administrador de la seva API JSON.

Afegir un FortiGate

A Cyberwatch, a la secció Actius:

1. Aneu al menú Actius i feu clic a Connexions sense agent
2. Seleccioneu el protocol d’accés FortiGate (API)
3. Seleccioneu la credencial FortiManager: el camp Port desapareix
4. Al camp Adreça, indiqueu el nom del FortiGate al FortiManager
5. Feu clic a Desa

Afegir els FortiGate d’un descobriment FortiManager

Un descobriment FortiManager de tipus Descobreix els FortiGate anota el nom de cada FortiGate al FortiManager. Pot crear les connexions automàticament: al descobriment, seleccioneu la credencial FortiManager com a credencial de connexió sense agent, amb el tipus de connexió FortiGate (API).

Els FortiGate descoberts també es poden afegir des de la pàgina dels actius descoberts. Només s’accepten els que ha recuperat un descobriment Descobreix els FortiGate: després d’una actualització de Cyberwatch, torneu a executar el descobriment abans de crear les connexions.

1. Aneu al menú Descobriments
2. Al descobriment FortiManager, feu clic a Mostra els actius descoberts
3. Seleccioneu els FortiGate que vulgueu afegir
4. Feu clic a Accions en bloc i, després, a Escaneja amb connexions sense agent
5. A Credencials, seleccioneu la credencial FortiManager
6. Seleccioneu el tipus de connexió FortiGate (API)
7. Feu clic a Crea les connexions sense agent

Informació obtinguda

El connector descriu el FortiGate amb la mateixa informació que l’escaneig SNMP: el microprogramari FortiOS i les metadades següents. Aquestes metadades es poden consultar a la pestanya Informació de l’actiu.

Clau	Valor
system-manufacturer	Fortinet
system-product-name	Model, per exemple FortiGate-81F
system-serial-number	Número de sèrie
ha-state	Mode d’alta disponibilitat: standalone, active-active o active-passive, el mateix a cada membre del clúster
av-signature-version, av-signature-date	Versió i data de l’última actualització de la base de signatures antivirus
ips-signature-version, ips-signature-date	Versió i data de l’última actualització de la base de signatures IPS
license-expiration	Venciment més proper de les llicències FortiGuard (antivirus, IPS, filtratge web…), vigents o caducades
support-expiration	Venciment més proper dels contractes de suport FortiCare (maquinari, 24x7…), vigents o caducats, si no, el de les actualitzacions (Firmware & General Updates)
firmware-update-available	true si FortiGuard publica un pedaç més recent de la branca de FortiOS instal·lada, si no, false. Una branca nova, per exemple la 7.6 per a un FortiGate en 7.4, no compta. Cap valor quan el FortiGate no arriba a FortiGuard.

Les dates tenen el format AAAA-MM-JJ.

Problemes de seguretat

El connector llegeix l’accés d’administració de les interfícies i la configuració global del FortiGate, i indica els problemes següents. Les interfícies desactivades s’ignoren.

Problema	Condició
FortiGate administration over a cleartext protocol	Una interfície accepta l’administració en Telnet, tret que Telnet estigui desactivat globalment (admin-telnet), o en HTTP sense redirecció cap a HTTPS (admin-https-redirect)
FortiGate administration open on a WAN interface	Una interfície de rol WAN accepta l’administració en HTTPS, SSH, HTTP o Telnet
FortiGate administration with weak TLS	L’administració HTTPS accepta una versió anterior a TLS 1.2 (admin-https-ssl-versions), o la criptografia forta està desactivada (strong-crypto)

Els dos primers problemes s’indiquen per interfície, i el tercer per paràmetre en qüestió: així es pot ignorar-ne un sense amagar els altres.

Si el perfil de la clau d’API no permet llegir la configuració global, el problema de TLS no s’avalua, Telnet s’indica fins i tot si està desactivat globalment, i HTTP no s’indica.

Resolució de problemes

Només la lectura de l’estat del FortiGate és imprescindible per a l’escaneig. Quan el perfil de la clau d’API denega una altra lectura, l’escaneig continua sense la informació corresponent, i la sortida de l’script ho indica amb una línia de comentari, per exemple # /api/v2/monitor/license/status: HTTP 403.

Un error temporal (temps d’espera esgotat, error 5xx) en la lectura de les adreces o de la configuració fa fallar l’escaneig: l’actiu conserva llavors les adreces i els problemes de l’escaneig anterior.

Error	Causa probable
HTTP 401	Clau d’API no vàlida, o adreça de l’escàner absent dels amfitrions de confiança de l’administrador REST API
HTTP 403	Perfil de l’administrador REST API sense accés de lectura
Error de certificat	Certificat autosignat: marqueu Desactiva la verificació del certificat a la credencial
HTTP <code>: not a FortiOS API response	El port de la connexió no és el de la interfície d’administració HTTPS, per exemple el del portal VPN SSL
<nom>: …	Mitjançant un FortiManager: el FortiManager no ha pogut transmetre la sol·licitud al FortiGate <nom>