Aller au contenu
Hermes Codex

Analyse d'architecture : L'écosystème de Sécurité Fortinet

1. Les composants de la “Security Fabric”

Section intitulée « 1. Les composants de la “Security Fabric” »

Pour investiguer une intrusion au sein d’un environnement Fortinet, les analystes doivent comprendre le rôle de chaque composant architectural.

FortiOS (Le Cerveau)

Le système d’exploitation propriétaire et durci (hardened) propulsant la plupart des équipements Fortinet. Il est basé sur un noyau Linux fortement personnalisé et allégé (utilisant BusyBox). S’agissant d’un système fermé, les agents EDR traditionnels ne peuvent pas y être installés, ce qui en fait une cachette attrayante pour les adversaires sophistiqués.

FortiGate (Le Cœur)

Le produit phare. Il s’agit d’un pare-feu de nouvelle génération (NGFW) qui intègre des passerelles VPN, des systèmes de prévention d’intrusion (IPS), du filtrage web et du routage. C’est la défense périmétrique principale et la surface d’attaque la plus exposée.

FortiManager (Le Chef d'Orchestre)

La console de gestion centralisée utilisée pour administrer des flottes de FortiGates. Implication DFIR : si un attaquant compromet FortiManager, il peut pousser des modifications de configuration malveillantes, altérer les tables de routage ou désactiver les politiques IPS sur l’ensemble de l’infrastructure mondiale simultanément.

FortiAnalyzer (La Boîte Noire)

La plateforme centralisée de journalisation et d’analyse. Tous les équipements de la Fabric y envoient leurs journaux. Lors d’un incident, FortiAnalyzer est la Source de Vérité Absolue. Il fonctionne comme un SIEM spécialisé pour l’écosystème.

2. La surface d’attaque : le paradoxe du périmètre

Section intitulée « 2. La surface d’attaque : le paradoxe du périmètre »

Le paradoxe des équipements de sécurité périmétrique est que, pour protéger le réseau, ils doivent être exposés à l’Internet hostile. Cela en fait des cibles de choix pour les acteurs étatiques (comme Volt Typhoon) et les affiliés de ransomwares.

Vulnérabilités d’accès distant (Le vecteur principal)

Section intitulée « Vulnérabilités d’accès distant (Le vecteur principal) »

Le portail VPN SSL est le composant le plus fréquemment exploité de l’écosystème Fortinet. Des vulnérabilités critiques (telles que CVE-2023-27997, CVE-2024-21762, et des variantes plus récentes) ciblent régulièrement le démon VPN SSL de FortiOS (sslvpnd). Ces vulnérabilités permettent souvent une exécution de code à distance (RCE) non authentifiée. Une fois exploitées, l’attaquant obtient une tête de pont hautement privilégiée et furtive directement sur le réseau interne, contournant ainsi tous les contrôles d’accès externes.

3. Triage DFIR : chasse dans les logs FortiAnalyzer

Section intitulée « 3. Triage DFIR : chasse dans les logs FortiAnalyzer »

Lorsqu’une compromission est suspectée, les analystes doivent immédiatement pivoter vers FortiAnalyzer pour examiner les journaux historiques, car les journaux locaux sur le FortiGate peuvent avoir subi une rotation (écrasement) ou avoir été falsifiés.

  1. Journaux d’événements VPN : traquez les connexions réussies depuis des géolocalisations inhabituelles, les anomalies de voyage impossible, ou un pic massif d’échecs d’authentification suivi d’un succès (Force brute / Password Spraying).
  2. Journaux d’événements système : surveillez les changements de configuration. Recherchez la création de nouveaux comptes administratifs inattendus (ex: Fortimanager_Access ou admin_temp) ou la modification suspecte de politiques de pare-feu autorisant le trafic entrant.
  3. Journaux de trafic de transfert (Forward Traffic) : cherchez des connexions sortantes provenant de l’adresse IP du FortiGate lui-même vers des destinations externes suspectes. Cela indique que l’équipement lui-même communique (beaconing) vers un serveur C2.
  4. Journaux de crash : une augmentation des plantages de services (ex: le processus sslvpnd redémarrant fréquemment) est un indicateur de haute fidélité d’une tentative d’exploitation active de débordement de tampon.

4. Forensique de l’équipement (Chasse en CLI)

Section intitulée « 4. Forensique de l’équipement (Chasse en CLI) »

Si les journaux ne sont pas concluants, les analystes doivent se connecter directement en SSH au FortiGate pour traquer une compromission active. Les outils forensiques Linux standards étant indisponibles, les analystes doivent s’appuyer sur des commandes CLI spécifiques à FortiOS.

fortios_integrity_check.cli
# Les acteurs de la menace avancés modifient les fichiers de l'OS sous-jacent pour maintenir leur persistance.
# Cette commande compare les hashs du système de fichiers actuel avec le manifeste officiel de Fortinet.
execute integrity verify
# Tout fichier modifié signalé ici (particulièrement dans /bin ou /sbin) indique une compromission sévère par rootkit.

5. Atténuation et stratégie

Section intitulée « 5. Atténuation et stratégie »
  1. Le premier réflexe (Audit de version) : dès qu’une alerte est levée concernant un équipement Fortinet, vérifiez la version de FortiOS. Croisez-la avec le catalogue des vulnérabilités connues exploitées (KEV) de la CISA. Les vulnérabilités non corrigées expliquent 90 % des brèches périmétriques.
  2. Désactiver les interfaces inutilisées : si le VPN SSL ou l’interface d’administration web n’est pas strictement requis sur le port WAN (exposé à Internet), désactivez-le immédiatement. L’accès administrateur ne doit être disponible que via des VLAN de management internes dédiés.
  3. Imposer la MFA partout : des identifiants compromis sont aussi dangereux que des zero-days. Imposez l’authentification multifacteur (MFA) pour tous les utilisateurs VPN et tous les comptes administratifs.

Sources et références

Section intitulée « Sources et références »