La configuración de exclusiones en la inspección SSL de FortiGate es fundamental para optimizar el rendimiento de la red y garantizar la compatibilidad con servicios críticos. Este tipo de configuración permite indicar qué sitios web o direcciones IP deben quedar exentos de ser inspeccionados mediante Deep SSL Inspection, evitando interferencias en aplicaciones sensibles o confiables, y reduciendo la carga en el sistema de seguridad.
Campos principales
- Reputable websites (Sitios web reputados): Esta opción permite activar o desactivar la exclusión automática de la inspección SSL para categorías de sitios web consideradas confiables o de buena reputación. Al activar esta opción, las categorías seleccionadas no serán inspeccionadas, facilitando el acceso rápido y seguro a servicios ampliamente utilizados.
- Web categories (Categorías web): Aquí se especifican las categorías de sitios que se excluirán de la inspección SSL. Por ejemplo, finance and banking (finanzas y banca) o health and wellness (salud y bienestar). Las categorías son definidas por Fortinet y se actualizan regularmente para asegurar una clasificación certera y actualizada.
- Addresses (Direcciones): Esta lista contiene dominios o URLs específicas que el administrador desea excluir manualmente de la inspección SSL. Pueden incluir servicios en la nube, aplicaciones corporativas o plataformas de comunicación como dropbox, citrix, microsoft o skype. Añadir estos dominios puede evitar problemas de compatibilidad o demoras en la carga de estas plataformas.
Escenarios de uso y recomendaciones
Esta configuración es útil en entornos donde se requiere un equilibrio entre seguridad y funcionamiento fluido de aplicaciones críticas. Por ejemplo, en una empresa que utiliza plataformas de colaboración en nube (como Dropbox o Google Drive), es posible que la inspección SSL provoque fallos o ralentizaciones. Excluir estos servicios asegura que los usuarios puedan acceder sin problemas, manteniendo al mismo tiempo inspección estricta sobre otros sitios menos confiables.
Un error común es excluir en exceso, lo que puede disminuir la visibilidad y protección ante amenazas en sitios legítimos pero comprometidos. Por ello, se recomienda que sólo se excluyan categorías o direcciones verificados como seguros y que las exclusiones se revisen periódicamente.
El fabricante Fortinet aconseja mantener actualizadas las categorías web para aprovechar las definiciones más recientes y asegurar que la política de exclusiones siga siendo efectiva y segura.
Comandos de CLI útiles para diagnóstico
show webfilter ssl-exempt-list: Permite ver las listas actuales de exclusión de inspección SSL configuradas en FortiGate.diagnose debug application ssl 255: Habilita el debug para procesos relacionados con inspección SSL, útil para identificar por qué una conexión puede estar siendo inspeccionada o exenta.get firewall policy: Visualiza las políticas de firewall que podrían estar relacionándose con la configuración SSL y su inspección.execute log filter category 85yexecute log display: Filtra y muestra logs relacionados con la inspección SSL para análisis de tráfico y eventos.
Buenas prácticas de configuración
- Limitar las exclusiones solo a categorías y direcciones absolutamente necesarias para evitar crear puntos ciegos en la inspección SSL.
- Actualizar regularmente las definiciones de categorías y listas de exclusión para mantener la protección frente a nuevas amenazas.
- Documentar y revisar los cambios en la lista de exclusiones para mantener control y auditoría sobre las políticas implementadas.
- Realizar pruebas de funcionalidad después de aplicar exclusiones para verificar que las aplicaciones críticas no sufren interrupciones.
- Evitar la exclusión de sitios financieros o de alta criticidad sin un análisis exhaustivo, ya que podrían ser vectores de phishing o malware.
- Combinar esta configuración con otras políticas de seguridad para asegurar una protección integral, como listas de bloqueo, filtrado web y análisis antivirus.