NÚKIB upozorňuje na dvě kritické zranitelnosti v operačním systému FortiOS (diskuse)

[RealJ]

fortigate je totalni sracka

[Max]

Vycházejí na to dost často drsné zranitelnosti. Podobně je to s produkty od Zyxelu (ZyWALL USG, VPN apod.). Fortinet jsme měli v PL, ale už tam myslím není. V ČR jsme měli Zyxely a trága. Support dobrý, i cz, ale jinak trága. Tuhlo to i jen klikáním ve web ksichtu. Jeli jsme jejich produkty 10 let a vždy tam byl nějaký problém, poslední 5 let horší a horší. Všechno udělali jako komunikaci backend vs frontend, i konzoli (ssh apod.). Ve web ksichtu stačilo rychleji poklikat a za nějakých konstelací to sundalo backned api. Nešel pak web ani ssh. Totální cihla ve vzdálené lokalitě, která postupně umírala, jak přestávaly fungovat jednotlivé komponenty, co volaly backend. Upgrade fw také peklo, bylo to na kostku, zda to naběhne, nebo ne. Největší šanci měl člověk tak, že to před upgradem preventivně restartnul.

Všude tedy Mikrotik s vlastními skripty a celkem spokojenost. Jen se stoupající náročností začnu přecházet do HA load balanceru (obě internetové linky aktivní, přes obě ipsec tunel s routingem, tedy GRE apod.) a né do režimu active-pasive (využití backup linky jen v případě pádu primáru, tj. hloupý p2p).
Zdar Max

[MP]

No, kolega ze sitove firmy presel z Watchguard na Fortigate. My nyni planujeme stejny prechod. Tak to asi nebude tak horke

[Max]

No, každý rok mají jednu, nebo dvě kritické zranitelnosti. Záleží samozřejmě na nastavení, aby na kritická rozhraní nebyl přístup odnikud. Nicméně u nás je třeba i problém to, že je zranitelný interface dostupný z IT sítě. Musíme procházet penetračními testy i z pohledu mgmt rozhraní.
Další problém je nastavení failoveru, kdy při nevhodném nastavení musí člověk řešit nějakou odstávku, což bývá případ u menších nasazení.
Zdar Max

[RealJ]

ja bych to shrnul tak, ze tvuj kolega vi o bezpecnosti kulovy a nic jineho nez pruser si nezaslouzi. Kdokoliv chce mit alespon nejakou bezpecnost tak fortigate ma na seznamu "nebrat" stejne jako zyxel nebo nejake random cinske sracky.

[MP]

Tak schvalne, co byste doporucil? Na Palo Alto nejsou penize. Watchguard stale neumi spoustu veci v ipv6. Apod...

[Max]

Mě teda Fortinet přijde celkem drahý. Každopádně také by mě zajímalo, co Realj navrhuje. Možná předražený a zabugovaný Cisco, které vyžaduje licenci na každý prd? Každopádně je otázkou, jaký má být použití. Třeba na SDWAN řešení existuje třeba Versa, nebo možná RealJ myslí i na Juniper?
Zdar Max

[MP]

No prekvapive naceneni noveho HA stacku (planuje se active-active) nas momentalne vychazi levneji, nez cena WG (nyni active-passive), i kdyz by to znamenalo obmenu HW. Pokukujeme po tom novem FG-120G.

Use-case je klasicky, primarni firewall 10 Gbps, HA, multiwan (to castecne resi bgp), ipv6 ve vsem, podpora klient vpn v nejen win (wg treba nepodporuje linux ipsec etc), atd atd.

[RealJ]

jo, fortinet tlaci v cesku nizke ceny, k tomu si muzes pripocist vsimne pro lidi co o tom rozhoduji takze se jim docela dari. Kdyz se ale zeptas lidi co se pohybuji v security tak ti kazdy rekne ze fortinet nebrat.

[RealJ]

Cisco ma navrzeny hw a sw pred xx lety a furt tam maji bugy nebo omezeni vychazejici z dizajnu. Je cisco bezpecnejsi nez fortinet? Podle me je. Doporucil bych v dnesni dobe cisco treba misto palo alto? Ne. Na SDWAN existuje vicero reseni a nevim o tom ze by byli tak srackove jako fortinet. Vys jsem napsal treba Palo Alto, Checkpoint nebo klidne Barracuda dle toho co potrebujes. Fortinet podle me pisou retardovane deti ve francii a fortinet na ne bere dotace jinak si neumim vysvetlit to co z toho leze. Vic k tomu nechci kvuli NDA napsat.

[RealJ]

Chces poradit ohledne HW nebo ti mam vyresit problem s penezi? Pokud nemas penize na bezpecnost tak proste bezpecnost nebudes mit. A kdyz ti na bezpecnosti nezalezi tak si misto fortinetu muze koupit rovnou na ali jakoukoliv cinskou sracku, rozdil mezi tim jestli ti srackovou bezpecnost napisou soudruzi z ciny nebo z francie je nulova... Palo Alto je jedna ze slusnejsich znacek, pak klidne Checkpoint nebo Barracuda. Zalezi co potrebujes.

[ntw]

Pamatuju jeden switch Zyxel, který vytuhl vždy přesně po 400 dnech provozu. Bylo ho pak možné restarovat přes sériovou konzoli příkazem atgo, ale raději jsem ho jednou ročně restartoval preventivně.

[Max]

My jsme kdysi měli APéčka od zyxelu a ty postupně začali do různých portů dávat větší napětí. Bylo to náhodné. Prostě se jeden, nebo dva porty časem propálily :D.
Tenkrát jsme to řešili nízkonákladově, tj. přelepili jsme inkriminovaný port páskou s nápisem ohledně přepětí, ať se nepoužívá :D.
Ale to se bavíme o roku 2010.
Zdar Max

[X]

Take je to levne a vyhrava to vyberova rizeni..l

[..... Izak .....]

Vsak pokud to dobre funguje, proc ne, Treba Ivanti, alias SecurePulse ma ted malem kazdy tyden vaznou zranitelnost se vzdalenym pristupem a sec. tem neustale emergency upgraduje jak divy.

[RealJ]

Ivanti je firma u ktere bych si ani kolo neoprel o zed protoze mi ho ukradnou...