Perfil AntiVirus Proxy-Based en FortiGate

En entornos de seguridad perimetral, proteger contra malware es fundamental para mantener la integridad de las redes corporativas. La configuración de un perfil AntiVirus en dispositivos FortiGate permite detectar y bloquear virus en tráfico inspeccionado. Entre los métodos de escaneo disponibles, el modo proxy–based ofrece una inspección profunda y efectiva, especialmente útil para protocolos vulnerables a malware como HTTP, FTP o correo electrónico. Este perfil específico está orientado a la protección avanzada contra amenazas persistentes y la ejecución segura de contenido en la red.

Campos principales

• Name: Es el nombre del perfil AntiVirus, utilizado para identificar la configuración dentro de políticas de seguridad.
• Comments: Campo para anotaciones o descripción breve del perfil, útil para administración y mantenimiento.
• Detect Viruses: Define la acción frente a virus detectados. Las opciones posibles son Block (bloquear el archivo o correo infectado) o Monitor (solo registrar el evento sin bloquear). La selección Block es recomendada para prevenir infecciones activas.
• Feature Set: Permite seleccionar entre Flow-based (menos intensivo, inspección por flujo) y Proxy-based (inspección profunda de contenido). La modalidad proxy-based habilita análisis detallados pero solo es compatible con políticas basadas en proxy.
• Inspected Protocols: Son los protocolos que el perfil inspeccionará para detectar virus. Opciones comunes son HTTP, SMTP, POP3, IMAP, MAPI, FTP y CIFS. Activar protocolos relevantes según uso reduce riesgos específicos. El protocolo MAPI aquí aparece condicionado por un ícono de advertencia, lo que sugiere requisitos adicionales o limitaciones.
• APT Protection Options – Content Disarm and Reconstruction (CDR): Funcionalidad para limpiar archivos potencialmente maliciosos, eliminando componentes inseguros. Activar CDR aumenta la seguridad pero puede afectar la integridad o usabilidad de ciertos archivos.
• Original File Destination: Define el tratamiento del archivo original que ha sido limpiado. Puede enviarse a FortiSandbox para análisis, cuarentena, o descartarse directamente. La opción Discard elimina automáticamente archivos peligrosos sin almacenamiento adicional.
• Treat Windows Executables in Email Attachments as Viruses: Al activar este interruptor, todos los ejecutables Windows recibidos como adjuntos son tratados de forma estricta como virus, incrementando la protección ante malware transmitido por correo, aunque puede elevar falsos positivos.
• Include Mobile Malware Protection: Permite extender el análisis para incluir amenazas específicas de dispositivos móviles, reforzando la seguridad en entornos BYOD y móviles.

Compatibilidad de versiones y modelos

La funcionalidad de perfil AntiVirus proxy-based se encuentra disponible desde FortiOS 7.4.x,7.6.x en adelante, habiéndose optimizado continuamente en versiones recientes como la 7.0 y 7.2. Esta característica está enfocada para FortiGate de gamas medias a altas, que cuentan con suficiente capacidad para manejar la sobrecarga que implica la inspección basada en proxy. En modelos de gama baja o muy antiguos, la modalidad flow-based suele ser la única disponible debido a limitaciones de CPU y memoria.

Entre las limitaciones típicas, en versiones anteriores a 7.4.x,7.6.x el proxy-based no incluye la función Content Disarm and Reconstruction (CDR), siendo esta una funcionalidad añadida a partir de FortiOS 7.0. Algunos parámetros o nombres pueden variar ligeramente entre versiones, por ejemplo, la opción de cuarentena o descarte del archivo original podría aparecer con términos distintos o ubicaciones diferentes en la interfaz gráfica.

Adicionalmente, protocolos específicos como MAPI pueden requerir configuraciones complementarias o tener soporte limitado en versiones anteriores. Las diferencias de interfaz entre FortiOS 7.x y 7.x son significativas en cuanto a navegación y agrupación de opciones, por lo que se recomienda revisar la documentación oficial al actualizar.

Escenarios de uso y recomendaciones

Esta configuración es ideal para organizaciones que necesitan un control exhaustivo del tráfico con riesgo elevado de malware, como redes que procesan correo corporativo intensamente o exponen servicios web internos. También se utiliza para cumplir con políticas estrictas de seguridad que exigen eliminación o cuarentena automática de amenazas.

Si la configuración proxy-based se activa en un ambiente donde las políticas no soportan este modo, el perfil no funcionará correctamente, dejando la red vulnerable. Además, no activar protocolos relevantes para el negocio puede generar brechas en la protección. Por ejemplo, si el correo electrónico se transmite por SMTP e IMAP, es fundamental habilitarlos en inspección antivirus.

Para un uso seguro, el fabricante recomienda emplear bloqueos (block) y aplicar CDR en archivos entrantes críticos, así como realizar monitoreo continuo de logs para detección temprana de incidentes. También es aconsejable combinar esta configuración con otras capas de seguridad como Web Filter y Application Control para una defensa en profundidad.

Comandos de CLI útiles para diagnóstico

• show antivirus profile: Visualiza los perfiles antivirus configurados y sus parámetros.
• diagnose debug enable y diagnose debug application antivirus -1: Activa el modo debug para seguir en tiempo real eventos relacionados al análisis antivirus.
• get log antivirus: Permite revisar los registros (logs) específicos del motor antivirus por si hay detecciones o bloqueos recientes.
• diagnose test application malware 1: Ejecuta pruebas de diagnóstico para el motor de detección de malware.
• config firewall policy seguido de show: Verifica que las políticas asociadas admitan perfiles proxy-based correctamente.

Buenas prácticas de configuración

• Asignar nombres claros y descriptivos a los perfiles para facilitar administración.
• Priorizar la acción Block para evitar infecciones activas en la red.
• Activar solo protocolos que efectivamente se usan en la red para optimizar recursos.
• Usar Content Disarm and Reconstruction para minimizar riesgos en archivos adjuntos y descargas.
• Monitorear periódicamente los logs para detectar anomalías o falsos positivos.
• Aplicar actualizaciones de firmware para mantener soporte a últimas funciones y firmas antivirus.
• Evitar el uso de perfiles proxy-based en políticas basadas en flujo para no generar incompatibilidades.
• Complementar con otras funciones de seguridad FortiGate como IPS, Web Filtering y Sandboxing para una defensa integral.
• Configurar alertas y cuarentena para responder rápidamente a amenazas detectadas.