Logs FSSO en FortiGate

La configuración de Fortinet Single Sign-On (FSSO) representa una solución crucial para la integración de autenticación en entornos empresariales que cuentan con dispositivos FortiGate. Este mecanismo permite la identificación automática y centralizada de usuarios a través de la captura del inicio de sesión en sistemas Windows, vinculando las sesiones de red con los usuarios sin necesidad de autenticar manualmente en el firewall. La implementación de FSSO resuelve problemas comunes en redes corporativas, como la gestión granular de políticas basadas en usuario, auditorías de accesos, y control de tráfico según grupos de Active Directory.

Campos principales

Analizando los detalles de los logs y configuración implicada en FSSO, podemos destacar campos relevantes para comprender cómo funciona y cómo impacta en la seguridad y gestión de la red:

• Date/Time: Representa la fecha y hora exacta de registración del evento, crítico para auditorías y correlación de incidentes.
• Source (IP y Hostname): Indica la dirección IP y el nombre del equipo Windows que se autentica o genera tráfico. Esto facilita identificar la máquina concreta dentro de la red.
• Device: Normalmente refleja el nombre del equipo o dominio asociado, útil para vincular usuario y equipo.
• Destination: IP y host de destino del tráfico saliente, permitiendo evaluar accesos permitidos y bloqueados.
• Application Name: Nombre de la aplicación o servicio, fundamental para control avanzado basado en aplicaciones.
• Result: Estado o resultado del evento, por ejemplo, éxito en la autenticación o bloqueo.
• Session ID: Identificador único de cada sesión para trazabilidad en logs.
• Virtual Domain (Vdom): Define el dominio virtual del firewall donde ocurre la sesión, útil en entornos multiusuario o multicliente.
• NAT Translation: Indica el tipo de traducción NAT aplicada, pertinente para el análisis de conexiones públicas o privadas.
• MAC Address: Dirección física de origen que ayuda en políticas basadas en identidad de dispositivo.
• Group: Asociado al usuario en AD, define los permisos y políticas aplicadas según grupos configurados en FSSO.
• Protocol y Service: Tipo de protocolo y servicios (por ejemplo, TCP/HTTPS) que permiten un filtrado y monitoreo granular del tráfico.
• Action: Acción tomada por el firewall, como permitir, bloquear, o resetear la conexión en casos específicos.

Compatibilidad de versiones y modelos

La funcionalidad FSSO está disponible a partir de FortiOS 7.4.x,7.7.x en adelante, con mejoras sustanciales en las versiones 7.x y 7.x. En FortiOS 7.0 se ampliaron las opciones de integración con múltiples controladores de dominio y soporte para FSSO agente remoto, permitiendo mejor escalabilidad en redes distribuidas.

Esta configuración es común en FortiGate de gama media y alta, ya que requiere de recursos para procesar sesiones activas y analizar grupos de AD en tiempo real. Los modelos de gama baja pueden presentar limitaciones en cuanto al número máximo de usuarios concurrentes y eventos de autenticación procesados. Además, las versiones muy antiguas (anteriores a FortiOS 7.4.x,7.7.x) carecen del soporte nativo para FSSO y requieren métodos alternativos.

Es importante destacar que, con los cambios de versión, algunos parámetros de configuración han cambiado de nombre o han sido agrupados en menús diferentes dentro de la interfaz gráfica. Por ejemplo, el soporte para FSSO agente remoto o integración con FortiAuthenticator se ha mencionado por separado desde FortiOS 7.4.x,7.6.x, mejorando la flexibilidad. En modelos muy antiguos, la configuración es más rígida y menos intuitiva.

Escenarios de uso y recomendaciones

FSSO se emplea principalmente para:

• Control de acceso basado en usuario, donde las políticas de firewall permiten o deniegan tráfico según grupos de Active Directory.
• Monitorización y auditoría de accesos a internet y aplicaciones corporativas, con registro detallado por usuario y equipo.
• Aplicación de perfiles de seguridad personalizada según perfiles de usuario o departamento.

Si la configuración de FSSO es incorrecta, como una mala integración con controladores de dominio o sincronización errónea, se pueden producir falsos positivos o la imposibilidad de identificar usuarios, lo que genera políticas genéricas y potencialmente inseguras. Además, la saturación del agente FSSO o mala configuración de puertos puede provocar fallos de autenticación masivos.

Por ello, el fabricante recomienda validar la comunicación del agente FSSO con los controladores de dominio, configurar adecuadamente grupos y nombres de host, y realizar pruebas de sincronización antes de su despliegue en producción. También sugieren mantener actualizado el firmware para aprovechar mejoras y corrección de vulnerabilidades.

Comandos de CLI útiles para diagnóstico

• diag debug enable y diag debug application fsso -1: para monitorear la actividad del agente FSSO y detectar errores de autenticación.
• get user fsso status: muestra el estado actual y estadísticas de sincronización del FSSO.
• diag user fsso-server list: verifica la lista de servidores FSSO configurados y su estado.
• execute log filter category 0 y execute log display: para buscar eventos relacionados con accesos y problemas de usuario.
• config user fsso seguido de show: para revisar la configuración actual del FSSO.

Buenas prácticas de configuración

• Sincronizar siempre los servidores FSSO con al menos dos controladores de dominio para redundancia.
• Utilizar grupos de Active Directory bien definidos para segmentar usuarios de forma clara y efectiva.
• Monitorizar periódicamente los logs y estado del servicio FSSO para detectar fallos tempranos.
• Evitar usar el agente FSSO en equipos con alta latencia o mala conectividad con el FortiGate.
• Actualizar el firmware del FortiGate para contar con las últimas mejoras de rendimiento y seguridad en FSSO.
• Probar siempre las políticas basadas en usuario en entornos de prueba antes de aplicarlas en producción.
• Documentar la configuración y cambios realizados para facilitar auditorías y mantenimiento.