ItCetas

Session Timout Fortigate Fortinet 4.0 mr3 (session-ttl)

2013-01-30T02:23:00.002-08:00

Solucionar problemas de timeout en sesiones que atraviesan un Fortigate en version 4.0 mr3

FG300CXXXXXX#config system session-ttl

FG300CXXXXXX (session-ttl) # show full-configuration
config port ---- entramos en configuracion del puerto
edit 1 ----- creamos una nueva entrada (el número es solo administrativo)
set protocol 6 ------ protocol 6 marca que es TCP
set timeout 43200 --- timeout que queremos en segundos
set end-port 1522 --- puerto final al que queremos aplicar el nuevo timeout
set start-port 1521 --- puerto inicial al que queremos aplicar el nuevo timeout
next
end
end

Si solo queremos aplicarlo a un puerto el start y el end sera el mismo y la config quedaría así:

FG300CXXXXXXX(session-ttl) # show full-configuration
config system session-ttl
set default 3600
config port
edit 1
set protocol 6
set timeout 43200
set end-port 1522
set start-port 1521
next
end
end

No es recomendable modificar el valor default ya que hará que quede una gran cantidad de conexiones abiertas en el equipo porque aplica a todas.

Espero que os sirva, para otras versiones anteriores podéis probar el siguiente método:

config system session-ttl
set default 3000
config port
edit 23
set timeout 7200
next
end
end

eBook Palo Alto for Dummies

2013-01-28T03:02:00.001-08:00

En el siguiente link se puede descargar un ebook para empezar a familiarizarse con este tipo de Firwalls:

http://connect.paloaltonetworks.com/ngfw-4dummies-EN

Fortigate Client Reputation 5.0

2013-01-27T12:24:00.003-08:00

Nuevo video resumen sobre el módulo de Client Reputation en los firewalls Fortigate que explica brevemente como modificar los valores de este perfil incluido en la version FortiOS 5

Fuente: https://www.youtube.com/watch?feature=player_embedded&v=dtJN9_nYaZg

Nuevos términos y condiciones en Instagram

2013-01-08T08:55:00.001-08:00

Comentario sobre Instagram y sus nuevos términos y condiciones

!!! Fuente - http://www.inteco.es/blogs/post/Seguridad/BlogSeguridad/Articulo_y_comentarios/Post_Instagram_JMorell

Nota importante -- "posible comercialización del contenido de los usuarios al mejor postor publicitario"

1. Novedades en cuanto a la Privacidad:

Se incorpora lo que podría llamarse "cláusula Facebook", que permite que la red de Mark Zuckerberg pueda acceder como empresa afiliada a la información y contenido de usuario (fotos y comentarios, entre otros datos) de Instagram. Este proceso también es a la inversa, de modo que Instagram puede ahora acceder a información de los usuarios de Facebook. Todo ello según dicen para mejorar así ambas entidades sus propios servicios y compartir conocimiento común de forma sencilla.
Se incorpora una especie de "cláusula antifraude", cuya finalidad es luchar más y mejor contra actividades ilegales en Instagram, aunque a cambio puede darse el caso que Instagram retenga por periodo de tiempo indeterminado pero extenso, información delicada del usuario y ajena al servicio que haya sido proporcionada por ejemplo por cuerpos de seguridad o agencias gubernamentales.
Las indeterminadas y vagas políticas de retención de datos de Instagram, que se ponen en marcha cuando alguien decide abandonar el servicio, se aplican ahora también a sus empresas afiliadas, es decir a Facebook. De modo que datos de Instagram compartidos en Facebook podrían regirse por las políticas de retención de la primera y no la segunda, a pesar de estar almacenados en Facebook.

2. Novedades en cuanto a la API:

Tras permanecer desaparecidas toda la semana durante la que se anunció el cambio, al fin esta semana reaparecieron las Condiciones de Uso específicas de la API de Instagram. Ha habido dos cambios, por un lado uno formal y no importante consistente en pasar de mayúsculas a minúsculas 3 cláusulas (hasta el punto de escribir Instagram con "i" minúscula).
Por otro lado y de acuerdo a las nuevas Instagram API trademark brand guidelines, ya no pueden usarse las partículas Insta o gram para dar nombre a la aplicación que haga uso de la API.

3. Novedades en cuanto al Uso:

Se elimina la posibilidad de demandas colectivas (aunque no se indica, tal previsión no resultaría aplicable a usuarios residentes en países de la Unión Europea) y se impone el arbitraje como método de resolución de conflictos en casi todos los casos.
Se establecen las Community Guidelines, de obligada aceptación; se amplía el número de tipos de fotos que no pueden colgarse en el servicio; se prohíbe la transferencia o venta de la cuenta o lo que lleve aparejado y; se deniega expresamente la posibilidad de publicar números de tarjetas de créditos, documentos de identificación o teléfonos y correos electrónicos no-públicos.
Se regula con mucho detalle la relación entre enlaces y apps de terceros, Instagram y el usuario, asumiendo éste último la gran mayoría de la responsabilidad en caso de conflicto.
Instagram requiere su autorización expresa para que un buscador pueda indexar el contenido del servicio. Por tanto el contenido subido al servicio sigue "público" por defecto y sin posibilidad de cambiar tal configuración, pero si un buscador quisiera indexarlo y poder así mostrarlo en sus resultados, necesitaría del consentimiento expreso de Instagram.
Cabe plantear la posibilidad que la licencia que el usuario otorga sobre su contenido (sus fotos por ejemplo) en favor de Instagram, pueda tener carácter indefinido. No así las licencias de Instagram hacia el usuario, donde expresamente se indica que finalizan una vez la cuenta haya sido eliminada.
Se establece un período de 1 año, desde el momento que lo motivara, para poder ejercer una acción judicial contra Instagram. Pasado ese tiempo tal posibilidad habrá prescrito.
Instagram se reserva ahora el derecho a la limitación territorial de su servicio, total o parcialmente, por entidad, área geográfica o jurisdicción.
Se incluyen los Actos de Dios entre las causas de fuerza mayor que pueden ocasionar daños a los usuarios y de las que Instagram no respondería.

FortiOS 5 in Five Minutes

2012-11-22T09:01:00.002-08:00

Interesting video on the new features of this new version of FortiOS.

Notas Curso Fortinet FCNSA & FCNSP

2012-10-14T12:18:00.001-07:00

CURSO FORTINET 4.3

------------------

RECOMENDACIONES

---------------

No utilizar la última versión de Forti

Versiones recomendadas -- EN la web de soporte

Si tienes el interfaz wan con dhcp y coge automáticamente el gw es recomendable igualmente generar la ruta estática 0.0.0.0 0.0.0.0 next-hop x.x.x.x

USB-AUTOINSTALL

----------------

Para cargar configs y soft via USB

System>config>Advanced y defines el nombre de los ficheros que estarán el USB.

Si luego pones un USB (Forti apagado) con un fichero de conf y una imagen lo enciendes y cargará esta version y config. Tienen que coincidir los nombres de los ficheros con los antes definidos

UPDATES Fortios

---------------

Desde el dashboard

Normalmente guarda como mínimo dos versiones en dos particiones diferentes.

cada una con su última config con su respectivo sistema operativo.

LOGGING y BACKUP

-------------------------

FAMS - Logging y análisis forense en la nube(de pago), pasará a llamarse FORTICLOUD

- Recomendado Forti OS 4.3.7+

- se pueden enviar los logs en tiempo real o programado cuando estos tengan disco duro

- Se pueden hacer backups de las configs de los FortiGates

- alertas

- graficas

- reporting

-***Solo puede recibir información de Fortigate, y no otros productos de Fortinet

FAZ - Fortianalyzer - logs e informes de todos los productos de Fortinet y terceros

- Puede ser en maquina virtual incluso sobre vm player

LOCAL - Local en el FW

FORTIGUARD

----------

IPS - Estos tres funcionan a nivel de proxy, cuidado con el dimensionamiento.

APP CONTROL

Web Filter y AntiSpam - NO se usa proxy.

Web Filter cache y AntiSpam cache -- guarda en memoria una web categorizada o una reputación de ip para ahorrar consultas

a Fortiguard, se puede modificar el tiempo que estarán las entradas en cache

PASSWORD RECOVERY FORTIGATE

---------------------------

Físicamente desde la consola

Nada más salir el login poner user: maintainer y password: bcpb<nºde serie>

Ya estaremos en modo admin FORTIGATE#

INTERFACES

----------

Varios ip con el mismo direccionamiento en interfaces, por ejemplo para hacer de proxy arp para varias ip publicas en la wan

Config system settings --- set allow subnet overlaps

Si tienes HA no puedes tener interfaces en dhcp o ppoe.

ZONAS

-----

Si agrupas interfaces en una zona para administrar reglas luego no podrás crear reglas a interfaces individuales de esta zona

REPLACEMENT MESSAGES

--------------------

Cambiar los mensajes de notificación del FW como alerta de virus o pagina no permitida, login ssl vpn, etc...

config system replace messages

ADMIN PROFILES

--------------

Generar perfiles de administración dando permisos a diferentes apartados de configuración que luego asignaras a usuarios

BALANCEO EN SALIDA

------------------

En router settings

Hay varios métodos (un único método global)

Source IP

Peso (Weight) - esta se asigna dentro de la config del interfaz

Spillover - Balanceo por ancho de banda - se asigna dentro del interfaz

***ojo con las métricas y prioridades ya que puede aplicar a routing asimétrico

Dead gateway detection - métodos para detectar la caída de uno de nuestros routers balanceados

Tiempo de vida (TTL) de las conexiones 3600 segundos por ip origen

POLICY ROUTING

--------------

Prioritario sobre cualquier otro tipo de routing

Se puede hace por red/host origen, tipo de tráfico, etc...

OBJETOS

-------

De zona geográfica - objeto de país para utilizarlo en las reglas

TRAFIC SHAPPING

---------------

SHARED

Por defecto el Forti pone el tráfico en categoría alta

Hay 3 niveles

Alta - 10

Media - 3

Baja - 1

Ejemplo, por cada diez conexiones categorizadas como altas envía 3 medias y 1 baja

A parte está el garantizar o limitar por ancho de banda.

Se puede hacer de dos modos

Per policy - se aplica por política sumando todas las conexiones de esa política

all policies - suma todas las políticas que tengan aplicadas el objeto de traffic Shapping

Per-ip

Se aplica por cada dirección ip, por ejemplo limitar a 1MB de internet a un usuario

VIP

---

Así se realizan los nats en fortigate

Virtual IP - nat estatico que luego aplicas en las políticas por puerto o por ip completa

ip pool - se utiliza para hacer pat con una ip que no es la del interface, por ejemplo para salir a internet con una

Publica concreta

LOAD BALANCE

------------

Creamos el Healt Check (monitor) que puede ser ping, tcp o http

Creamos el virtual Server y le asociamos el Healt Check creado. Le configuramos la IP que responderá, el puerto,

Tipo de balanceo, persistencia, etc...

- SSL offloading - puedes poner un certificado para que el Forti cierre el https y hacia dentro vaya por http por ejemplo.

Creamos el Real Server en el que asociamos el virtual server, marcamos el puerto real del servicio, el peso, y otras opciones

Mode- active - está activo

- standby - solo se activa si otro servidor real asociado no está activo

Como no hace PAT el servidor real siempre tendrá que tener como GW el Fortigate.

Tipos de balanceo

- first alive - elige el servidor real que se ha creado primero y el siguiente entrará cuando el primero caiga

- Least RTT - por ping calcula el tiempo de respuesta y elige el más rápido (no vale si el Healt es HTTP)

- Least sessions - el que tenga el menor número de sesiones

- https host - te balancea en función del http host (búsqueda en la cabecera http) y que está asociado a un campo en el real server

VDOMS

-----

Dominios virtuales o Fortigate's Virtuales

Como mínimo hay que tener un puerto físico o lógico dedicado a un vdom

A partir de la versión 4 además de que se reparten los recursos a nivel hardware se puede asignar recursos de configuración

Como que un VDOM no pueda crear más de 10 políticas.

Vdom link, te crea interfaces entre VDOMs para dar conectividad entre VDOMs. Hay que crear políticas en los VDOMs links de un vdom y de otro, como

Por ejemplo dar salida a internet al vdom 3 a través de un puerto del Vdom 1.

Para crear un vdom no puede haber ninguna regla ni ruta u otra config que haga referencia a un interface.

***No se recomienda repetir direccionamientos entre interfaces de diferentes VDOMs aunque puede hacerse con:

Config system settings --- set allow subnet overlaps "en el Vdom global"

Para crear un usuario de admin de un único vdom hay que crearlo como prof_admin y asociarlo al vdom concreto

***Switch management - hay que marcarle el que tenga acceso a internet para que se actualice el Fortiguard, por defecto es el root y no puede ser el global.

Para cambiarlo se hace desde el global y en VDOMs

RESOURCE LIMITS - Editando o creando un VDOM puedes asignar por ejemplo nº de reglas configurables en ese VDOM o limite de VPN's, etc...

AUTENTICACIÓN

-------------

¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡SE DEBEN PONER LAS POLITICAS DE RED POR ENCIMA DE LAS DE GRUPOS DE USUARIOS YA QUE A PARTIR DE ESTAS NO MIRA LAS DE RED!!!!!!!!!!

¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡OTRA SOLUCION ES PONER UNA REGLA CON GRUPO GUEST QUE SERIA SIN VALIDACION!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

LOCAL

REMOTE

LDAP

RADIUS --- En estas 3 hay que validarse manualmente por http,telnet,

TACACS+

FSSO

WINDOWS

eDirectory novell

+collector en ADirectory - es un soft que se integra en el ADirectory para que la info entre este y el Forti sea a tiempo real

Este puede estar en el mismo AD o no. El collector con el AD trabaja por el puerto 8002 y el collector con el Forti por el 8000.

Para crear una regla de FW con autenticación en local:

1ºCrear un usuario en user > user

2ºCrear un grupo que incluya este usuario

3ºEditar o crear política marcando en esta el check identity based policy

4ºAñadir los grupos de usuarios

Para crear un objeto LDAP ir a user > remote > LDAP

1ºcreate new e introducir los campos

name

Port

cn --- también puede ser SamAccountName y con este en user vale con que pongas DN=usuario@dominio y su password

DN ej. DC=xxxxxx,DC=local

Type regular

User DN ej. cn=administrator,cn=users,dc=xxxxxxx,dc=local ---- recomendado NO USAR Administrator si no mejor uno que tenga permisos de lectura

password ej. xxxxxxxxx

SOFTWARE FSSO - SE INSTALA EN UN SERVIDOR O EN EL MISMO ACTIVE DIRECTORY Y SIRVE PARA CORRELAR EN TIEMPO REAL LOS EVENTOS DEL AD CON EL FORTIGATE

OJO, HAY QUE REINICIAR EL SERVIDOR PARA INSTALAR

una vez instalado el agente en el servidor ir al fortigate > users > Single sign-on > FFSO agent

ponerle un nombre una ip y el password (por defecto - fortinetcanada)

cuidado a veces falla una vez creado debería aparecer la flechita azul de desplegable en el objeto FSSO si no es así, hacer check en esta y darle a refresh un par de veces

Luego tendremos que crear un grupo de users de Fortinet SSO y elegir los grupos de nuestro active Directory

Una vez hecho ir la política correspondiente y asignarle el grupo de FFSO dentro del identity based policy

VPN SSL

-------

Iremos a VPN > SSL > CONFIG

Desde aquí podemos configurar:

ip pools - pools de ip "dhcp" para los clientes que se conecten con el cliente vpn, no requerido para tipo portal

Server certificate - Certificado que utilizaremos para realizar la conexión/encriptación, se pueden añadir otros.

Require client certificate - esto es para realizar la conexión forzando a un cliente tener certificado concreto, se aplica de forma global y es para todos los perfiles

TIPO PORTAL

Vamos a portal

settings

Desde aquí configuraremos distintos parámetros de configuración del portal vpn

Clean cache -- limpia la cache de tu navegador antes de entrar

Después crearíamos un grupo de usuarios local o remoto

Users > group > crear uno y marcar que es para SSL VPN y marcarle a este el portal que queremos

Después hay que crear la política

ej., source wan any, dest lan any, service any, action ssl-vpn

después de marcar action ssl-vpn añadiremos el grupo de usuarios a autenticar

Una vez hecho todo esto ya tendremos el portal creado para dar servicio

Por ejemplo para smb/cifs pondremos \\ip_Servidor\loquesea

TIPO TUNEL

Se puede hacer que todo el tráfico, incluido internet, pase por el fortigate remoto o con split tunneling para que solo

te enrute por el túnel vpn el tráfico deseado

Para empezar crearemos un objeto de pool de ip's genérico por ejemplo un /24 y lo elegiremos desde la config global de SSLVPN

Crearemos otros pools más concretos dentro de este rango global para luego discriminar.

Después hay que crear un portal con el Widget Tunnel mode

En este editamos el widget de tunnel y le marcamos split tunnel si es el caso y asignamos el pool que corresponda para este portal concreto marcando

la opción user group y así poder tener diferentes grupos de usuarios dentro de una misma política

Ahora tendremos que crear las políticas

1º la de wan a la red que deseamos llegar, una regla por cada segmento interno que queramos permitir y action vpn-ssl

a esta regla hay que añadirle los grupos de usuarios

2º otra regla o reglas con origen ssl.root con los diferentes pools de ip's remotos y destino deseado, la acción ya no será SSL_VPN

3º (opcional) si interesa habría que crear una política desde una red interna del Forti a ssl.root

Después necesitaremos crear rutas correspondientes a los pools de ip's que asigna a los clientes remotos a través del interface ssl.root

VPN IPSEC

---------

Se pueden hacer en modo tunnel o con políticas y ambas site-to-site o client-to-fortigate

Doble encapsulación

Phase 1

Negociación de la preshared key, en un primer momento se conocen ambas preshared key pero pasado el keylife se regenera una nueva clave

que solo saben los peers. Cuanto menos keylife más segura será la Phase 1

Phase 2

Se encripta el tráfico que circula por el túnel y es la fase que se encarga de enrutar las redes de extremo a extremo

Pueden haber dos entornos

Que el router por delante del Forti tenga la ip publica

En este caso hay que redirigir los puertos 4500 (NAT-T) y 500 (IKE), ambos UDP, a nuestra "wan" en el Forti

El nat-t nos sirve para decir en la encapsulación que la red contra la que se monta el túnel no es el primer segmento si no el que está detrás del nat.

!!!Nota - si uno de los extremos no tiene ip estática se puede configurar con el DYN-DNS

!!!Para VoIP sobre vpn recomendado subir el keylife para evitar posibles cortes en la voz cuando se regenera la clave.

Para empezar iremos a VPN > IPSec > auto key >

new Phase 1

nombre

remote gateway - elegimos entre ip estática, dyndns, o dialup-user que es para los clientes vpn ipsec (forticlient)

ip address - ip del peer remoto para el caso site-to-site

local interface - interfaz en el que se montará el túnel, normalmente wanX.

Mode - agressive - va sin encriptar el primer paquete de autenticación , recomendado para clientes remotos

- main - va encriptado el primer paquete de autenticación, recomendado para site-to-site

Authentication method - preshared key o RSA signature (Certificado)

Enable ipsec interface mode - sin habilitar es modo políticas, y habilitado modo túnel

P1 Proposal

encriptación - si conocemos el otro extremos recomendado dejar solo un tipo

DH group - si lo soportan ambos extremos cuanto más alto mejor

keylife - comprobar que ambos extremos es lo mismo

Dead peer detection - comprueba si el túnel esta caido o no

new Phase 2

nombre y phase1 asociada

encriptación

pfs - reenvío de la generación de claves

Quick mode selector (split tunnel) - De Forti a Forti no es necesario ya que se hace con las políticas

- De Forti a otro fabricante si habría que marcarlo

Si queremos establecer el túnel contra un equipo de terceros necesitaremos una Phase 2 por cada red que

queramos enrutar por el túnel con estos definidos en el quick mode selector, además de hacerlo también en la política

Modo política

Nueva política

Hay que hacer una política de Internal a wan (solo en un sentido no hace falta la vuelta)

Recomendado poner las políticas de vpn al principio de todo, no afectan al demás tráfico.

Modo túnel

Se crean la Phase 1 y 2 igual excepto en la Phase 1 que hay que marcar Enable IPSEC interface mode

después las reglas se harán entre el interfaz interno y el nuevo Int virtual que se habrá creado dentro del wan y también otra con la vuelta del tráfico, no tendrás que poner action vpn-ipsec

Además habrá que poner las rutas correspondientes a las redes remotas a través del interface virtual

MODO CONCENTRADOR

Sirve para interconectar las site-to-site que tengas configuradas, pero solo pueden hacerse con las que son modo policy

VPN > IPSEC > CONCENTRATOR

FORTIGUARD UTM

--------------------------------------------------------------

ANTIVIRUS

---------

Para hacer la inspección por defecto utiliza el modo proxy, y según el equipo tendrá un límite mayor o menor de conexiones, así que hay que ir

con cuidado en el dimensionamiento.

Se recomienda en equipos pequeños ponerlo en modo flow-based que

el modo en que trabaja es analizar en tiempo real sin parar

la conexión mirando únicamente las firmas. Ganas en ancho de

banda pero por ejemplo si hay un virus dentro de varios niveles

de un .Zip no lo detecta

La base de antivirus es propietaria de Fortinet

UTM> antivirus > profile

Podemos crear varios perfiles para poder asignar a diferentes segmentos de red

Podemos marcar que los virus se vayan a la cuarentena

WEB-FILTER

----------

Cada petición que haga el usuario se pregunta a Fortiguard

Puede trabajar en modo proxy o en modo flow

UTM> WEB FILTER> PROFILE

Categorías de Fortiguard

Elegiremos el modo de operación, proxy o flow

Marcaremos Fortiguard Categories y elegiremos y aplicaremos acciones correspondientes sobre estas categorías

Enable safe search - nos bloqueara resultados en búsquedas de categorías o palabras bloqueadas

HTTPS Scaning - habilita el escaneo https

Advanced Filter

Web url Filter - aquí elegiremos la lista de url manual que hayamos creado

web content Filter - lista para declarar palabras que queremos bloquear o permitir dentro del contenido de una web

UTM> WEB FILTER> URL FILTER

Desde aquí podemos crear listas customizadas

Creamos una lista y dentro de esta vamos dando de alta diferentes url manualmente y asignándole una acción

Podemos hacerlo con tipo:

Simple: www.mundodeportivo.com -- tiene que contener exactamente esta url, por ejemplo www.mundodeportivo.com/barça no lo bloquearía

Regex: con expresiones regulares de Perl --- mirar documento de referencia

Wildcard: www.mundodeportivo.com/* bloquearía o permitiría todos los dominios

ACCIONES: block

Permit

Exempt - realiza una excepción si por otra regla, por ejemplo de Fortiguard web Filter, lo está bloqueando

RATING OVERRIDES

Podemos categorizar url's concretas para sacarlas de una categorización automática

!!!!Podemos pedir que nos valoren de nuevo una url determinada si creemos que es incorrecta desde la parte de Fortiguard > web Filter

APP CONTROL

-----------

Va con la licencia de IPS

UTM>Application control

Con esto podemos crear perfiles para controlar mediante policy que aplicaciones podemos usar o no, trabaja con unas 4000 firmas

Se puede filtrar por Application o por filtro

Por Application lo haces con la App concreta

Por Filter puedes generalizar y por ejemplo bloquear todo el p2p

Podemos aplicar el traffic Shapping por aplicación para no bloquear pero si limitar

Con Session TTL - prevalece este sobre otro configurado para por ejemplo el ftp en otro apartado del Firewall

Una vez hecho aplicaremos este perfil en la política de navegación por ejemplo

IPS

---

Podemos crear diferentes sensores para aplicar a diferentes flujos de tráfico

UTM> IPS SENSOR

Cuando creamos/editamos un sensor podemos:

Hacemos un filtro o añadimos por aplicación concreta

action -- de las aplicaciones filtradas podemos aceptar, monitorizar o bloquear

Debajo de action la línea semejante a la superior habilitamos todas las firmas, las deshabilitamos o las dejamos por defecto y entonces algunas estarán activas y otras no

ej. si ponemos Disable all la action superior no valdrá de nada excepto para monitorizar

packet Logging te analiza a nivel de paquete - puedes sacar por scp este fichero para analizarlo (wireshark)

Quarantine - mete en la Banned list a la sesión, usuario, etc...

Hay tres tipos:

atacker ip - te banea la ip para el servicio bloqueado los demás seguirán funcionando

atacker and victim ip por ejemplo si hay un ataque HTTP el ftp dejaría pasarlo para esa ip.

attack incoming interface - Te bloquea todo el interface cuidado!

***Para ver los baneos y poder eliminarlos ir a USERS> Banned User

Después aplicaremos este profile a una policy

DoS Sensor

Con esto creamos perfiles de denegación de servicio

aplicamos la política sobre policy> DoS policy

Se crean políticas separadas que se asignan al interfaz por donde llega el ataque

!!!!!!!!!!!!!!!!!!Recomendado, empezar con un sensor en modo Monitor y después de un tiempo analizar el tráfico y a partir de ahí empezar a bloquear

EMAIL FILTER

------------

Perfiles para bloquear el spam en el correo

Analiza, IMAP,POP3,SMTP y seguros, pero recomendado no utilizar los seguros sin certificado firmado (hace man in the middle)

Casi todos los chequeos son en base a listas de reputación de ip o dominios

Banned word

Con esto marcamos palabras para poder realizar acciones sobre mails que las contengan

Por ejemplo porno score 10

Marcamos un peso a esta palabra y luego en el profile de e-mail

marcamos el threshold para bloquear si por ejemplo es igual o

supera el valor de 20 ( en este caso con que porno saliese dos veces la bloquearía)

DLP

---

Data leak prevention

Protección de fuga de datos

Te protege por ejemplo para que no puedas enviar un email con un número de cuenta o palabras clave que tú quieras

Por ejemplo también podemos etiquetar documentos con [confidential] y que estos no puedan salir de la compañía

UTM> DLP

Rules: Reglas con expresiones regulares para marcar lo que nos interese

Compound: Sería un grupo de las rules anteriores

Sensor: En este aplicaremos las rules y compounds que me interese

Document Finguerprint (solo windows-share de momento)

Podemos analizar un directorio de un servidor de ficheros para que

después en función de los patrones podamos saber si un fichero de

ese directorio está saliendo de la red

Pondremos la Ip, servidor y un user y password con permiso de lectura

También el pattern que tendrá que coincidir con el nombre del fichero que buscamos

Rules

action

block, none, exempt

Quarantine user - bloquea al user solo en ese servicio, por ejemplo un correo de pepito@xxx.com

Quarantine ip - bloquea la ip

Quarantine interface - bloquea toda la interface

Ban - bloquea la ip y solo al servicio concreto

Help me!

2011-12-18T10:08:00.001-08:00

Help me, What is the best firewalls manufacturer, for secure your enterprise network with UTM functionalities?

Fortinet
Cisco Systems
Palo alto

Chrome News Fixes

2011-12-17T16:59:00.000-08:00

Security updates for Google Chrome / Actualizaciones de seguridad para Google Chrome

http://googlechromereleases.blogspot.com/2011/12/stable-channel-update.html

Cisco Support Community Security

2011-12-15T11:24:00.001-08:00

En este link se encuentran muchas soluciones a problemas relacionados con temas de seguridad en Cisco!

https://supportforums.cisco.com/community/netpro/security

Cisco AnyConnect Secure Mobility Client for Mobile Platforms

2011-12-14T16:01:00.000-08:00

The new Cisco Any Connect Secure Mobility client supports diferent mobile platforms such:

Android
Apple IOS 4
Cisco Cius
Symbian Anna

Source: http://www.cisco.com/en/US/prod/collateral/vpndevc/ps5743/ps5699/ps10884/datasheet_c78-678242.html

Fortiguard Threat Monitor

2011-12-14T15:50:00.000-08:00

Interesting web portal where we can find the diferent sources of malwalre, spyware, spam and other threats.

Source: http://www.fortiguard.com/fortiguard_labs/threat_monitor.html

Microsoft announces more security bulletins for the next 13 of december / Microsoft publicará mas boletines de seguridad el próximo dia 13

2011-12-12T07:04:00.000-08:00

Microsoft announces more security bulletins for the next 13 of december related with Microsoft Windows, Microsoft Windows Explorer y Microsoft Office.

On the following link you can check which operating systems are affected.

Source: http://technet.microsoft.com/en-us/security/bulletin/ms11-dec

--------------

Microsoft publicará mañana martes 13 de diciembre relacionados con Microsoft Windows, Microsoft Windows Explorer y Microsoft Office.

En el siguiente link se puede comprobar cuales son los sistemas operativos afectados.

Fuente: http://technet.microsoft.com/en-us/security/bulletin/ms11-dec

Inauguracion!!!!

2011-12-04T09:27:00.000-08:00

Hoy se inaugura este blog donde iremos colgando soluciones a problemas relacionados en el área TI que nos encontramos en el día a día en nuestro trabajo, así como casos de éxito y otra información de interés!!!!