Hosts comprometidos y gestión de amenazas en FortiGate

En entornos empresariales y de redes complejas, la detección y gestión oportuna de hosts comprometidos es fundamental para mantener la seguridad y continuidad operativa. La configuración que se analiza se enfoca en la identificación de dispositivos infectados mediante análisis y correlación de eventos en FortiGate, permitiendo mitigar amenazas como malware y conexiones a sitios web maliciosos que ponen en riesgo la infraestructura de red.

Campos principales

• Detected Pattern: Indica la dirección IP detectada con actividad sospechosa o comprometida. Es la primera referencia para el análisis y monitoreo continuo del host.
• Threat Type: Clasifica el tipo de amenaza detectada, por ejemplo, malware, botnet, phishing, etc. En este caso, se muestra «Malware» como el tipo predominante asociado a la IP afectada.
• Threat Name: El nombre específico o familia de la amenaza detectada. Aquí aparece «CnC» (Command and Control), lo que indica que el host puede estar controlado desde una locación remota para realizar actividades maliciosas.
• Threat Category: Agrupa la amenaza dentro de categorías amplias, para entender mejor el riesgo. Se relaciona directamente con políticas de bloqueo y seguimiento.
• Detect method: Método utilizado para identificar la amenaza. «infected-ip» indica que la detección se basa en la reputación y actividad observada por FortiGuard y/o análisis heurístico.
• Events: Número de eventos o incidentes reportados relacionados con la IP comprometida. Esta métrica ayuda a priorizar la atención para hosts con actividad sospechosa recurrente.
• Security Action: Acción aplicada por el FortiGate para mitigar la amenaza. Ejemplos incluyen «timeout» para interrumpir sesiones o «dropped» para bloquear paquetes.
• Web Category: Clasificación web relacionada con el tráfico sospechoso emitido o recibido por el host, como «Malicious Websites», que es una alerta clara sobre el tipo de sitios implicados en la infección.

Compatibilidad de versiones y modelos

Las funcionalidades de detección de hosts comprometidos y análisis granular de amenazas suelen estar presentes a partir de FortiOS 7.4.x,7.7.x en adelante, con mejoras notables desde FortiOS 6.0 y versiones superiores. Las versiones más recientes, como 7.4.x,7.6.x, 7.0 y 7.2, amplían capacidades de integración con Security Fabric y mejoran la precisión en la identificación de patrones maliciosos.

Esta configuración es típica en dispositivos FortiGate de gama media y alta, utilizados en oficinas centrales, centros de datos y sucursales grandes. Modelos de gama baja o firewalls virtuales de pequeña escala pueden no soportar al 100% estas funciones avanzadas o muestran limitaciones en el volumen de eventos procesados. Además, versiones antiguas de firmware pueden carecer de algunas categorías de amenazas o métodos de detección más actuales, lo que obliga a actualizar para maximizar la protección.

Entre las limitaciones comunes cabe destacar cambios en el nombre y ubicación de los campos dentro de la interfaz gráfica o CLI, dependiendo de la versión y modelo. Por ejemplo, la integración con FortiView y FortiAnalyzer puede presentar variaciones que el administrador debe tener en cuenta.

Escenarios de uso y recomendaciones

Este tipo de configuración es esencial en escenarios donde la red empresarial requiere monitorear en tiempo real la actividad maliciosa originada desde hosts internos, especialmente para detectar infecciones tipo botnet o conexiones a servidores CnC. También es útil para entornos regulados que deben cumplir con normativas de seguridad estrictas, permitiendo identificar rápidos vectores de ataque.

Si se configura incorrectamente, por ejemplo, no activando acciones automáticas o ignorando alertas, la red puede quedar vulnerable a amenazas persistentes que se extienden desde un equipo comprometido hacia otros recursos críticos. El fabricante recomienda habilitar políticas de bloqueo y generación de logs detallados, además de integrar estos incidentes con soluciones SIEM para un análisis integral.

La actualización continua de las definiciones de amenazas y la configuración detallada de las respuestas automáticas son claves para optimizar el desempeño de esta funcionalidad. Del mismo modo, segmentar adecuadamente la red para contener dispositivos afectados minimiza riesgos globales.

Comandos de CLI útiles para diagnóstico

• diagnose firewall iprope lookup 103.226.154.43: Consulta el estado actual y la política aplicada a la IP sospechosa.
• get sys session list | grep 103.226.154.43: Lista sesiones activas asociadas con la IP comprometida para análisis de tráfico.
• diagnose debug application ipsmonitor -1: Activa el monitoreo detallado del IPS para detectar patrones maliciosos en tiempo real.
• show log eventfilter: Visualiza la configuración del filtro de eventos relacionados con detección de amenazas.
• execute log filter category malware y execute log display: Filtra y muestra eventos de malware registrados en los logs.

Buenas prácticas de configuración

• Mantener actualizado el firmware y las firmas de amenazas para asegurar la detección precisa.
• Configurar alertas y reportes periódicos para revisión programada de hosts comprometidos.
• Asegurar que las acciones automáticas (bloqueo, cuarentena, timeout) estén habilitadas para reducir el tiempo de exposición.
• Segmentar la red para minimizar el impacto de un equipo comprometido en activos críticos.
• Utilizar integración con FortiAnalyzer y Security Fabric para correlacionar eventos y optimizar la respuesta.
• Realizar auditorías regulares de las políticas de seguridad y ajustar parámetros según comportamiento detectado.
• Evitar ignorar alertas o desactivar funciones críticas sin evaluación previa del impacto.