Grundkonfiguration: Unterschied zwischen den Versionen
4Tinu (Diskussion | Beiträge) |
4Tinu (Diskussion | Beiträge) |
||
| Zeile 26: | Zeile 26: | ||
</pre> | </pre> | ||
{| class="wikitable" style="width:100%" | |||
|- | |||
| style="width:100px;background-color: #f2f79d;vertical-align:top"| <span style="color:#ffbb98">[[File:vulnerability.svg|100px|link=]]</span> | |||
| | |||
{| class="wikitable" style="width:100%" | {| class="wikitable" style="width:100%" | ||
| Zeile 34: | Zeile 39: | ||
[[Datei:new.svg|40px|link=]] | [[Datei:new.svg|40px|link=]] | ||
---- | ---- | ||
''' | <big>'''Problembeschreibung:'''</big><br> | ||
Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager <code> fgfmd Daemon </CODE> kann es einem entfernten, | Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager <code> fgfmd Daemon </CODE> kann es einem entfernten, | ||
nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat, | nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat, | ||
das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen | das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen | ||
auszuführen. | auszuführen.</br> | ||
'''Auswirkung:'''</br> Unautorisierte Ausführung von Code oder Befehlen | |||
'''Details:'''</br> Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte. | |||
FG-IR: FG-IR-24-423</br> | FG-IR: FG-IR-24-423</br> | ||
<big>'''Bedrohungslevel:'''</big><br> | |||
* Severity '''High''' | |||
* Die Bedrohung wird mit einem CVssv3 Score von '''9.8''' eingestuft! | |||
<big>'''Betroffene Systeme:'''</big><br> | |||
'''Betroffene | |||
* FortiManager Versionen 7.6.0 und älter | * FortiManager Versionen 7.6.0 und älter | ||
* FortiManager Versionen 7.4.4 und älter | * FortiManager Versionen 7.4.4 und älter | ||
| Zeile 53: | Zeile 58: | ||
* FortiManager Versionen 6.4.14 und älter | * FortiManager Versionen 6.4.14 und älter | ||
''' | <big>'''Lösung:'''</big> | ||
Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird: | |||
* Upgraden auf die FortiManager Version 7.6.1 oder höher | * Upgraden auf die FortiManager Version 7.6.1 oder höher | ||
* Upgraden auf die FortiManager Version 7.4.5 oder höher | * Upgraden auf die FortiManager Version 7.4.5 oder höher | ||
| Zeile 62: | Zeile 69: | ||
Diese Versionen werden in den kommenden Tagen veröffentlicht. | Diese Versionen werden in den kommenden Tagen veröffentlicht. | ||
Workarounds: | <big>'''Workarounds:</big></br> | ||
Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren: | |||
Für FortiManager-Versionen 7.0.12 oder höher, 7.2.5 oder höher, 7.4.3 oder höher (ausser 7.6.0), | Für FortiManager-Versionen 7.0.12 oder höher, 7.2.5 oder höher, 7.4.3 oder höher (ausser 7.6.0), | ||
{| class="wikitable" style="width:550px" | |||
<pre> | |- style="background:#89E871" | ||
| [[file:config_cli.png|25px|link=]] '''Konfiguration über die CLI:''' | |||
|- | |||
| | |||
<pre style="background-color:#252269;color: #FFFFFF"> | |||
config system global | config system global | ||
set fgfm-deny-unknown enable | set fgfm-deny-unknown enable | ||
end | end | ||
</pre> | </pre> | ||
|} | |||
{| class="wikitable" style="width:850px" | |||
|- | |||
| style="width:50px;background-color: #FF7730;"| <span>[[File:wichtig.svg|50px|link=]]</span> | |||
| style="background-color: #FFB991"| | |||
Wenn du diese Einstellung aktivierst, verhindert FortiManager, dass sich ein FortiGate-Gerät registriert, falls dessen Seriennummer nicht in der Geräteliste hinterlegt ist, selbst wenn das Modellgerät und der vorab geteilte Schlüssel (PSK) übereinstimmen. | |||
|} | |||
Für alle FortiManager-Versionen kannst du Abhilfemaßnahmen ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst, um die IP-Adressen der FortiGate-Geräte, die eine Verbindung herstellen dürfen, auf eine Whitelist zu setzen. Alternativ kann dies auch über eine externe Firewall erfolgen. | |||
Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk), | |||
sowie der spezifischen IP-Adresse 10.109.16.99 (FortiGate-Gerät) zulässt, verwende folgende Regeln: | |||
{| class="wikitable" style="width:550px" | |||
|- style="background:#89E871" | |||
| [[file:config_cli.png|25px|link=]] '''Konfiguration über die CLI:''' | |||
|- | |||
| | |||
config system local-in-policy | config system local-in-policy | ||
edit 1 | edit 1 | ||
set action accept | set action accept | ||
set src | set src 198.18.250.0/24 | ||
set dport 443 | set dport 443 | ||
next | next | ||
edit 2 | edit 2 | ||
set action accept | set action accept | ||
set src | set src 198.18.250.0/24 | ||
set dport 22 | set dport 22 | ||
next | next | ||
| Zeile 93: | Zeile 113: | ||
set action accept | set action accept | ||
set src 10.109.16.99/32 | set src 10.109.16.99/32 | ||
set dport 541 | set dport 541 <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen. | ||
next | next | ||
edit 4 | edit 4 | ||
| Zeile 99: | Zeile 119: | ||
end | end | ||
</pre> | </pre> | ||
{| class="wikitable" style="width:550px" | |||
|- | |||
| style="width:50px;background-color: #276ef1;"| <span>[[File:info.svg|50px|link=]]</span> | |||
| style="background-color: #A9C5F9"| | |||
Es ist wichtig zu beachten, dass die Regel '''4''' im Beispiel alle Einstellungen auf "Standard" hat. | |||
|} | |||
|} | |||
Dadurch wird sie zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen verweigert. | Dadurch wird sie zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen verweigert. | ||
---- | ---- | ||
Version vom 23. Oktober 2024, 07:39 Uhr
Checkpoint FAQ
Vorwort
Datenschutz
*********************************************************************
* *
* THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY *
* PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING, *
* DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM *
* ALSO SCHWEIZ SWITZERLAND. *
* *
*********************************************************************
"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht
bekannt gemacht werden"
|
--> Checkpoint FAQVPNWie kann ich den Port für das SSL-VPN ändern?Default mässig ist für das SSL VPN der Port TCP 443 von der Checkpoint vor konfiguriert. Wenn man nur eine Public IP Adresse hat und ein eingehendes NAT auf einen HTTPS Dienst konfigurieren will, kommt man natürlich vor ein Problem, da wir den TCP Port 443 bereits für das SSL-VPN benutzen. Wir können dieses Problem folgendermassen lösen. Wir müssen in den SSL- VPN Settings den Listen Port auf einen anderen Wert setzen:
Jetzt kann in der Übersicht die Konfigurationsänderung angeschaut werden: Wir sehen, der Port ist nun für 10443 konfiguriert, und das VPN wird über diesen Port verbinden. Dafür müssen wir aber noch den VPN Client entsprechend anpassen: Wie kann ich auf einer Check Point ein Remote Client VPN einrichten?
Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall?Ausgangslage:
Konfiguration Checkpoint 1550
Konfiguration FortiGate 60F:
ErfolgskontrolleFortiGate Monitor: Checkpoint Monitor: Traffic generieren und im Debug auf den beiden Geräten prüfen:
Im Flow sieht das so aus: # diag debug flow filter clear
# diag debug flow filter sadd 10.10.161.2
# diag debug flow filter dadd 10.10.151.2
# diag debug flow trace start 9000
# diag debug enable
# id=20085 trace_id=6 func=print_pkt_detail line=5639 msg="vd-root:0 received a packet(proto=1, 10.10.161.2:3584->10.10.151.2:2048) from local. type=8, code=0, id=3584, seq=0."
id=20085 trace_id=6 func=init_ip_session_common line=5810 msg="allocate a new session-00087e78"
id=20085 trace_id=6 func=ipd_post_route_handler line=439 msg="out vpn_to_CP_151 vwl_zone_id 0, state2 0x0, quality 0.
"
id=20085 trace_id=6 func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-vpn_to_CP_151"
id=20085 trace_id=6 func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-vpn_to_CP_151"
id=20085 trace_id=6 func=esp_output4 line=907 msg="IPsec encrypt/auth"
id=20085 trace_id=6 func=ipsec_output_finish line=622 msg="send to 198.18.0.151 via intf-wan1"
id=20085 trace_id=7 func=print_pkt_detail line=5639 msg="vd-root:0 received a packet(proto=1, 10.10.161.2:3584->10.10.151.2:2048) from local. type=8, code=0, id=3584, seq=1."
id=20085 trace_id=7 func=resolve_ip_tuple_fast line=5720 msg="Find an existing session, id-00087e78, original direction"
id=20085 trace_id=7 func=ipd_post_route_handler line=439 msg="out vpn_to_CP_151 vwl_zone_id 0, state2 0x0, quality 0.
# diag debug reset
# diag debug disable
fw monitor auf der Checkpoint: fwalem-lab-0151> expert in den Expert Modus wechseln Enter expert password: You are in expert mode now. FW Monitor: [Expert@fwalem-lab-0151]# fw monitor -e 'accept host(10.10.161.2);' fw: getting filter (from command line) fw: compiling monitorfilter: Compiled OK. fw: loading fw: monitoring (control-C to stop) [vs_0][fw_2] WAN:id[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53344 ICMP: type=8 code=0 echo request id=3840 seq=1 [vs_0][fw_2] WAN:ID[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53344 ICMP: type=8 code=0 echo request id=3840 seq=1 [vs_0][fw_2] WAN:o[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498 ICMP: type=0 code=0 echo reply id=3840 seq=1 [vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498 ICMP: type=0 code=0 echo reply id=3840 seq=1 [vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498 ICMP: type=0 code=0 echo reply id=3840 seq=1 [vs_0][fw_2] WAN:id[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53345 ICMP: type=8 code=0 echo request id=3840 seq=2 [vs_0][fw_2] WAN:ID[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53345 ICMP: type=8 code=0 echo request id=3840 seq=2 [vs_0][fw_2] WAN:o[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720 ICMP: type=0 code=0 echo reply id=3840 seq=2 [vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720 ICMP: type=0 code=0 echo reply id=3840 seq=2 [vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720 …… Mit ctrl+c kann der Output abgebrochen werden Guide als PDF Herunterladen: Q/A R81 GA» Hier finden Sie die Präsentation zum Webinar als PDF: https://pages.checkpoint.com/rs/750-DQH-528/images/2020.11.13_Webinar_R81-overview.pdf » Weiterführende Webinare zum Thema:
Fragen aus dem R81 Webinar inkl. Antworten & weiterführenden Links:
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||
Konfiguration über die CLI:
Konfiguration über das WebGUI:
das Objekt erstellen
kann das Adress-Objekt zu der Encryption Domain hinzugefügt werden.
