Test del Next Generation FireWall Fortigate 1500D Massimo Pistoni WS CCR maggio 2016

Specifiche tecniche 17 maggio 2016La Biodola - Isola D'Elba2 Hardware specifications, Performances porte 10Gb/s SFP+8 16 porte 1Gb/s SFP16 16 porte 1Gb/s RJ4516 IP F/W Throughput (1512,512,64 Byte) 80/80/55 Gbps IPS Throughput13 Gbps NGFW Throughput5,5 Gbps

Appliances Router di frontiera 17 maggio 2016La Biodola - Isola D'Elba3 WLAN controller VPN Concentrator Captive Portal Load Balancer / Traffic Shaper Next Generation FireWall Fortigate 1500D

NGFW / WLC Partizionabile in 10 domini Installabile in configurazione HA Configurazione LNF 17 maggio 2016La Biodola - Isola D'Elba4 GARR WLC Bridge/Firewall FAP-221C-E

NGFW Filtri abilitati in ingresso (Garr  LNF): –Application Control –Intrusion Prevention System –Antivirus Filtri abilitati in uscita (Garr  LNF): –Application Control –Intrusion Prevention System –Antivirus –Web filtering 17 maggio 2016La Biodola - Isola D'Elba5

Application Control Applicazioni gia’ suddivise in categorie, ma selezionabili anche singolarmente: Filtrati i botnet Abilitate tutte le altre applicazioni Monitorate categorie Proxy e Remote.Access 17 maggio 2016La Biodola - Isola D'Elba7

Intrusion Protection Signatures gia’ categorizzate secondo severity, ma selezionabili anche singolarmente Predefinito comportamento di default Pass o Block per ciascuna signature: Block per Critical e High severity Default per Medium e Low Block di SIPVicious.SIP.Scanner 17 maggio 2016La Biodola - Isola D'Elba9

Anti Virus Signatures predefinite Detect Virus impostato su Block Controllo su tutti i protocolli (previsti) Blocco del codice eseguibile via smtp impostato su disable Scan di Mobile malware abilitato 17 maggio 2016La Biodola - Isola D'Elba11

Web Filter (solo out) Siti gia’ categorizzati secondo rischio e/o contenuto, ma selezionabili anche singolarmente (o con uso di wildchar) Block della categoria “security risk” –Con eccezione per Dynamic DNS Abilitate tutte le altre categorie Block di siti specifici puntati nei mail di phishing ricevuti dagli utenti LNF 17 maggio 2016La Biodola - Isola D'Elba13

Monitor Funzionalita’ di monitoring attraverso la voce Fortiview –Now, 5 minutes, 1 hour, 24 hours Filtri di ricerca e di selezione anche in combinazione (AND) –Sources, Destinations, Interfaces, Policies, Countries, Sessions, Applications, Cloud Applications, Web sites, Threats, etc. Rappresentazione in tabella o in bolle 17 maggio 2016La Biodola - Isola D'Elba16

Log & Report Vengono raccolti i log su RAM o su HD Possono essere inoltrati anche: –log server esterno (syslogd) –FortiAnalyzer (apposita VM), consigliato! I log sono generati in quantita’ esagerata (varie centinaia di record/s) Il Fortigate e’ comunque in grado di visualizzare un po’ di log (7 gg.) Gestione degli alert via 17 maggio 2016La Biodola - Isola D'Elba33

WLAN controller Creato apposito dominio per la gestione degli Access Point (WLC) –Definizione di interfaccia di connessione con protocollo CAPWAP abilitato –Definiti i radius server dei LNF Definiti 3 SSID in local bridge mode –INFN-dot1y  131 (la stessa di INFN-dot1x) –eduroma  202 (la stessa di eduroam) –INFN-WWW  400 (dietro al nuovo captive portal tino-SAML) 17 maggio 2016La Biodola - Isola D'Elba43

AP Profiles Creato apposito profilo per gli access point dei LNF –Abilitati tutti i canali di entrambe le radio interface (2,4 GHz n/g/b e 5 GHz ac/n/a) –Deploy di tutti e 3 i SSID su entrambe le radio interface Configurato il Wireless Intrusion Detection System –Impostazioni di default con il rogue AP detection disabilitato 17 maggio 2016La Biodola - Isola D'Elba45

Managed APs Connessione di AP alla rete (su porta trunk) L’AP configura un proprio IP via DHCP Il WLC effettua un autodiscovery dell’AP Il WLC prende il controllo dell’AP (Authorize) Il WLC effettua il deploy del profilo LNF sull’AP 17 maggio 2016La Biodola - Isola D'Elba48

Tino SAML Installato nuovo Captive Portal tino-SAML che permette l’autenticazione tramite portale AAI-INFN L’IDP restituisce la uid del’utente che si autentica sul portale e un entitlement che permette l’accesso alla rete wifi Godiva e’ stato modificato per gestire i visitatori e attribuire tale entitlement 17 maggio 2016La Biodola - Isola D'Elba50

Conclusioni Fatti salvi alcuni piccoli problemi riscontrati, in parte sanati durante la demo, il fortigate sembra un valido strumento per aumentare la sicurezza dei sistemi informatici connessi sulla LAN Anche come WLC svolge egregiamente il suo lavoro L’interfaccia di gestione appare semplice ed abbastanza intuitiva 17 maggio 2016La Biodola - Isola D'Elba52

Ringraziamenti demo F/W Ditta Fortinet ed in particolar modo: –Fabrizio Amato –Alessandro Fontana Partner Ikran Services ed in particolare –Olga Levun –Marco Novelli Staff del Servizio di Calcolo LNF –Dario Spigone 17 maggio 2016La Biodola - Isola D'Elba53

Ulteriori ringraziamenti Update Godiva: Bisegni, Serafini Tino-Saml: Veraldi (update a cura di Maselli e Pistoni) Form di auto-registrazione: Serafini, Orru’, Tota Membri del WG AAI-INFN Servizio Sistema Informativo di AC Servizio di Calcolo LNF 17 maggio 2016La Biodola - Isola D'Elba54

Discussione e domande 17 maggio La Biodola - Isola D'Elba