Verificar la conformitat d’un FortiGate amb el CIS
Cyberwatch avalua la conformitat dels tallafocs FortiGate amb el CIS FortiGate 7.4.x Benchmark v1.0.1, publicat pel CIS el gener del 2026.
Les 64 recomanacions del benchmark estan disponibles en forma de regles de conformitat. 61 d’aquestes es verifiquen automàticament a partir de la configuració del FortiGate, llegida per la seva API REST. Les tres restants depenen de la vostra organització i s’han de verificar manualment.
Afegir el FortiGate
La conformitat s’avalua en un FortiGate afegit amb el connector FortiGate (API), directament o mitjançant un FortiManager. Després del primer escaneig, l’actiu té el sistema operatiu FortiOS, al qual s’apliquen les regles del benchmark.
Un FortiGate escanejat per SNMP també té el sistema FortiOS, però les seves regles no s’avaluen: l’SNMP no dona accés a la configuració.
El perfil de només lectura preparat per al connector és suficient, excepte per als comptes d’administrador, que no sempre permet llegir: les regles 2.4.1 i 2.4.2 estan llavors en l’estat Omesa, amb el motiu.
Associar els marcs de conformitat
Un FortiGate (API) nou rep automàticament el marc de conformitat CIS_Benchmark_level_1, que agrupa les 39 recomanacions de nivell 1.
Per avaluar també les 25 recomanacions de nivell 2, afegiu el marc de conformitat CIS_Benchmark_level_2, o bé CIS_Benchmark, que agrupa els dos nivells. Aquests marcs de conformitat són presents per defecte a Cyberwatch.
Funcionament de l’avaluació
A cada avaluació, Cyberwatch llegeix la configuració del FortiGate per la seva API, en mode de només lectura, i després avalua les regles. La configuració no es conserva. L’avaluació es fa cada 30 dies per defecte, segons la política de l’actiu.
Les taules pròpies d’un VDOM, com les regles de tallafoc o els perfils de seguretat, es llegeixen per a tots els VDOM. Quan n’hi ha diversos, cada constatació indica el seu VDOM.
Si el FortiGate no respon, o rebutja la clau d’API, l’avaluació falla i les regles conserven el resultat de l’avaluació anterior. Si una taula de configuració no es pot llegir (lectura denegada pel perfil, absent en aquesta versió de FortiOS, o incompleta), només les regles que en depenen estan en l’estat Omesa, amb el motiu.
Les regles que tracten sobre objectes donen una constatació per objecte, visible a la pestanya «Conformitat» de l’actiu: per regla de tallafoc, interfície, zona, perfil de seguretat, compte d’administrador o usuari SNMPv3. Les altres donen el valor llegit de cada paràmetre, seguit del valor esperat quan és diferent.
Regles de tallafoc i perfils de seguretat
Les recomanacions sobre els perfils de seguretat només tenen en compte les regles de tallafoc actives que accepten el trànsit i l’inspeccionen: un perfil només es té en compte si la regla activa els perfils de seguretat (utm-status enable), directament o mitjançant un grup de perfils. Els perfils que no aplica cap regla no s’avaluen.
Sense cap regla de tallafoc dins del seu perímetre, aquestes recomanacions estan en Èxit. Si hi ha regles però cap no aplica un perfil del tipus esperat, la recomanació està en Fallada. Un perfil aplicat però que no es troba al seu VDOM dona una constatació no avaluada.
Una regla de tallafoc porta a Internet quan la seva destinació és una interfície de rol WAN, una zona o una zona SD-WAN que en conté una, o any. Sense cap interfície de rol WAN, les recomanacions sobre les regles cap a Internet (4.1.1 i 4.3.3) estan en l’estat Omesa.
Només es llegeixen les regles de tallafoc (Firewall Policy): les polítiques de seguretat del mode NGFW basat en polítiques no s’avaluen.
Recomanacions verificades automàticament
| Regla | Nivell | Control |
|---|---|---|
| CIS-FortiGate-1.1 | 1 | Hi ha configurat un servidor DNS primari o secundari |
| CIS-FortiGate-1.2 | 1 | Cada zona bloqueja el trànsit entre les seves interfícies (intrazone deny) |
| CIS-FortiGate-1.3 | 1 | Cap interfície activa de rol WAN no autoritza l’administració en PING, HTTPS, HTTP, SSH, SNMP, RADIUS accounting o Telnet, tant en IPv4 com en IPv6. L’accés d’un FortiManager (fgfm) continua permès |
| CIS-FortiGate-2.1.1 | 1 | pre-login-banner està activat |
| CIS-FortiGate-2.1.2 | 1 | post-login-banner està activat |
| CIS-FortiGate-2.1.4 | 1 | La sincronització NTP està activada i hi ha seleccionat un servidor NTP accessible |
| CIS-FortiGate-2.1.5 | 1 | El nom d’amfitrió no és ni el número de sèrie ni el nom del model |
| CIS-FortiGate-2.1.6 | 2 | FortiGuard no ofereix cap pedaç més recent de la branca de FortiOS instal·lada |
| CIS-FortiGate-2.1.7 | 2 | auto-install-config i auto-install-image estan desactivats |
| CIS-FortiGate-2.1.8 | 2 | ssl-static-key-ciphers està desactivat |
| CIS-FortiGate-2.1.9 | 2 | strong-crypto està activat |
| CIS-FortiGate-2.1.10 | 1 | L’administració HTTPS només accepta TLS 1.3 (admin-https-ssl-versions tlsv1-3) |
| CIS-FortiGate-2.1.11 | 2 | gui-cdn-usage està activat |
| CIS-FortiGate-2.1.12 | 1 | log-single-cpu-high està activat |
| CIS-FortiGate-2.1.13 | 2 | gui-display-hostname està desactivat |
| CIS-FortiGate-2.2.1 | 1 | La política de contrasenyes està activada, cobreix les contrasenyes dels administradors i les claus IPsec, i exigeix com a mínim 14 caràcters |
| CIS-FortiGate-2.2.2 | 1 | admin-lockout-threshold val com a màxim 3, i admin-lockout-duration com a màxim 900 segons |
| CIS-FortiGate-2.3.1 | 1 | L’agent SNMP està activat, sense comunitat SNMPv1/v2c, amb almenys un usuari SNMPv3 actiu |
| CIS-FortiGate-2.3.2 | 2 | Cada usuari SNMPv3 actiu està limitat a uns amfitrions concrets (notify-hosts) |
| CIS-FortiGate-2.3.3 | 2 | Cap usuari SNMPv3 actiu no pot consultar l’agent (queries disable) |
| CIS-FortiGate-2.3.4 | 1 | L’agent SNMP està activat, trap-free-memory-threshold val com a mínim 20 i trap-freeable-memory-threshold com a màxim 50 |
| CIS-FortiGate-2.4.1 | 1 | Cap compte d’administrador no es diu admin |
| CIS-FortiGate-2.4.2 | 1 | Cada compte d’administrador està limitat a uns amfitrions de confiança. Quan només ho estan els seus amfitrions IPv4, la constatació convida a verificar l’accés en IPv6 |
| CIS-FortiGate-2.4.4 | 1 | admintimeout val com a màxim 5 minuts |
| CIS-FortiGate-2.4.5 | 1 | Cap interfície activa no autoritza l’administració en HTTP o en Telnet |
| CIS-FortiGate-2.4.6 | 1 | Cada VDOM té almenys una política local-in activa |
| CIS-FortiGate-2.4.7 | 1 | Els ports d’administració no són el 443 i el 80, i admin-https-redirect està desactivat |
| CIS-FortiGate-2.4.8 | 1 | Cada política local-in activa que accepta trànsit aplica el virtual patching |
| CIS-FortiGate-2.5.1 | 2 | L’alta disponibilitat està activada |
| CIS-FortiGate-2.5.2 | 1 | L’HA supervisa almenys una interfície (monitor) |
| CIS-FortiGate-2.5.3 | 1 | L’HA reserva una interfície de gestió, amb la seva passarel·la |
| CIS-FortiGate-2.5.4 | 2 | El group-id de l’HA no és 0 |
| CIS-FortiGate-3.2 | 1 | Cap regla de tallafoc activa que accepta trànsit no utilitza el servei ALL |
| CIS-FortiGate-3.3 | 1 | Hi ha regles de tallafoc actives que deneguen el trànsit entrant, en tots els serveis, i el sortint dels serveis de risc de l’ISDB enumerats pel benchmark. Les regles invertides (negate) no compten |
| CIS-FortiGate-3.4 | 1 | Cada regla de tallafoc activa que accepta trànsit registra totes les seves sessions (logtraffic all), cada regla de denegació registra el trànsit denegat, i la regla de denegació implícita de cada VDOM també (fwpolicy-implicit-log) |
| CIS-FortiGate-4.1.1 | 2 | Els perfils IPS de les regles cap a Internet bloquegen les connexions a les botnets |
| CIS-FortiGate-4.1.2 | 1 | Cada regla que accepta trànsit aplica un perfil IPS |
| CIS-FortiGate-4.2.1 | 2 | Les actualitzacions de FortiGuard estan activades en mode automàtic |
| CIS-FortiGate-4.2.2 | 2 | Cada regla que accepta trànsit aplica un perfil antivirus |
| CIS-FortiGate-4.2.3 | 2 | Els perfils antivirus aplicats bloquegen els brots (outbreaks) en cada protocol que escanegen (outbreak-prevention block) |
| CIS-FortiGate-4.2.4 | 2 | La detecció per aprenentatge automàtic (machine-learning-detection) està activada |
| CIS-FortiGate-4.2.5 | 2 | La detecció del grayware està activada |
| CIS-FortiGate-4.2.6 | 1 | L’escaneig en línia de l’entorn aïllat (sandbox) de FortiGuard està activat, i els perfils antivirus aplicats l’utilitzen en mode de bloqueig en cada protocol que escanegen |
| CIS-FortiGate-4.2.7 | 2 | Els perfils antivirus aplicats estan en mode servidor intermediari (proxy) i desarmen el contingut (CDR) |
| CIS-FortiGate-4.3.1 | 2 | Els filtres DNS aplicats bloquegen els dominis de les botnets |
| CIS-FortiGate-4.3.2 | 1 | Els filtres DNS aplicats registren totes les consultes (log-all-domain) |
| CIS-FortiGate-4.3.3 | 1 | Cada regla cap a Internet aplica un filtre DNS |
| CIS-FortiGate-4.4.1 | 1 | Els filtres web aplicats bloquegen les categories Malicious Websites, Phishing i Spam URLs |
| CIS-FortiGate-4.5.1 | 1 | Els perfils de control d’aplicacions aplicats bloquegen les categories P2P i Proxy: la primera entrada que s’aplica a cadascuna la bloqueja completament, sense filtre |
| CIS-FortiGate-4.5.2 | 2 | Els perfils de control d’aplicacions aplicats bloquegen les aplicacions en un port no habitual |
| CIS-FortiGate-4.5.3 | 1 | Els perfils de control d’aplicacions aplicats no deixen passar cap categoria sense registrar-la |
| CIS-FortiGate-4.5.4 | 1 | Cada regla que accepta trànsit aplica un perfil de control d’aplicacions |
| CIS-FortiGate-5.1.1 | 1 | Una automatització activa posa en quarantena els amfitrions compromesos |
| CIS-FortiGate-5.2.1.1 | 2 | La Security Fabric està activada i té nom, i els registres s’envien a FortiAnalyzer. La sortida indica el rol del FortiGate, arrel o descendent (downstream) |
| CIS-FortiGate-6.1.1 | 2 | La VPN SSL presenta un certificat diferent dels de Fortinet |
| CIS-FortiGate-6.1.2 | 2 | La VPN SSL només accepta TLS 1.2 i 1.3, amb xifratge fort |
| CIS-FortiGate-7.1.1 | 2 | Es registren tots els tipus d’esdeveniments |
| CIS-FortiGate-7.2.1 | 2 | Els registres s’envien a un dels servidors syslog (de syslogd a syslogd4), a un dels FortiAnalyzer (de fortianalyzer a fortianalyzer3) o a FortiAnalyzer Cloud |
| CIS-FortiGate-7.3.1 | 1 | Els registres enviats a cada FortiAnalyzer actiu estan xifrats (enc-algorithm high) i són fiables (reliable enable) |
| CIS-FortiGate-7.3.2 | 1 | Els registres enviats a cada servidor syslog actiu estan xifrats (enc-algorithm high) i són fiables (mode reliable) |
| CIS-FortiGate-7.3.3 | 1 | Idèntic a 7.3.2, que el benchmark repeteix |
Els controls reprenen el procediment d’auditoria del benchmark, fins i tot quan és estricte: la regla 2.1.10 exigeix només TLS 1.3, i la regla 2.2.2, una durada de bloqueig de com a màxim 900 segons.
La sortida de la regla 5.2.1.1 recorda què queda per verificar manualment: els paràmetres de FortiAnalyzer i les interfícies que fan servir els dispositius de la Security Fabric. La regla 6.1.1 no verifica que el certificat estigui signat per una autoritat de confiança.
Recomanacions que no s’apliquen
Algunes recomanacions estan en l’estat Omesa quan no s’apliquen al FortiGate:
- 1.3, sense cap interfície activa de rol WAN: els ports WAN s’han d’identificar manualment;
- 2.1.6, quan el FortiGate no té la llista de les versions de FortiOS, perquè no arriba a FortiGuard;
- de 2.5.2 a 2.5.4, en un FortiGate sense alta disponibilitat;
- 4.1.1 i 4.3.3, sense cap interfície de rol WAN: no es poden identificar les regles cap a Internet;
- 6.1.1 i 6.1.2, sense cap VPN SSL activa;
- 7.3.1, quan els registres no s’envien a cap FortiAnalyzer, i 7.3.2 i 7.3.3, quan no s’envien a cap servidor syslog. No es llegeix la sobreescriptura del registre per part d’un VDOM.
Recomanacions que cal verificar manualment
Tres recomanacions depenen de la vostra organització:
- 2.1.3, el fus horari: la seva sortida indica el fus configurat;
- 2.4.3, els perfils dels comptes d’administrador;
- 3.1, la revisió periòdica de les regles de tallafoc no utilitzades.
Aquestes regles estan en l’estat Omesa, amb la menció «Manual verification required» seguida de la raó. La fitxa de cada regla reprèn el procediment d’auditoria del CIS.
Un cop verificada una recomanació, podeu ignorar la regla i comentar aquesta decisió.