Seguridad en FortiGate: Evitar HTTP y Telnet en Interfaces WAN

En entornos de red empresariales, mantener una postura de seguridad adecuada es crucial para proteger la infraestructura y los sistemas ante posibles ataques. Una configuración común en dispositivos FortiGate refiere a restringir el acceso administrativo a través de protocolos inseguros como HTTP y Telnet en interfaces clasificadas como WAN, es decir, aquellas orientadas hacia redes externas o el internet. Esta configuración evita que usuarios no autorizados puedan acceder de forma remota por medios poco seguros, lo que reduce significativamente el riesgo de compromisos de dispositivo.

Campos principales

La configuración que evita el uso de HTTP y Telnet en interfaces WAN se basa en varios parámetros clave:

• Interfaz: Es el punto de acceso físico o lógico del FortiGate donde se aplica la restricción. Las interfaces WAN suelen estar conectadas a redes públicas y por tanto requieren mayor protección.
• Acceso administrativo mediante HTTP: Indica si el protocolo HTTP está habilitado para administración remota en dicha interfaz. Activarlo implica un riesgo alto, ya que HTTP no cifra los datos transmitidos.
• Acceso administrativo mediante Telnet: Similar al caso de HTTP, Telnet es un protocolo inseguro para administración debido a la ausencia de cifrado de la sesión.
• Estado de cumplimiento (Passed/Failed): Muestra el estado de la política, donde “Passed” indica que el protocolo inseguro no está permitido, mientras que “Failed” indicaría lo contrario, representando un riesgo importante.
• Puntuación y Grados: Cada control de seguridad se califica y evalúa para medir la postura de seguridad general del dispositivo y ayudar a priorizar correcciones.

Compatibilidad de versiones y modelos

Este tipo de restricciones está disponible en prácticamente todas las versiones modernas de FortiOS, comenzando desde FortiOS 5.x en adelante, con mejoras continuas en versiones 7.x y 7.x. Los parámetros para deshabilitar protocolos inseguros en interfaces WAN están presentes en unidades FortiGate de gama media y alta, así como en modelos destinados a sucursales y datacenters.

En modelos muy antiguos o versiones iniciales de FortiOS, algunas opciones de configuración podrían no estar presentes o encontrarse bajo diferentes nombres o módulos. Por ejemplo, la interfaz gráfica ha ido evolucionando, así como la integración con FortiSecurity Fabric para evaluación automatizada y reporte de cumplimiento. En equipos de gama baja, en ocasiones se limita la granularidad para restringir accesos a nivel interfaz, requiriéndose políticas globales más genéricas.

Escenarios de uso y recomendaciones

Implementar la deshabilitación de HTTP y Telnet en interfaces WAN es recomendable en escenarios donde el equipo FortiGate está expuesto a redes externas o públicas, para evitar accesos administrativos inseguros que puedan ser interceptados o explotados mediante ataques MITM (Man in the Middle).

Si esta configuración se omite o se realiza incorrectamente, el dispositivo podría quedar vulnerable a intentos de acceso con credenciales capturadas en texto plano, comprometiéndose la seguridad de toda la red protegida. El fabricante recomienda utilizar siempre HTTPS para accesos web administrativos y SSH para shell remoto, ambos cifrados y seguros.

Además, la gestión remota debería estar restringida mediante listas de control de acceso (ACL) o VPNs, limitando los orígenes desde donde se puede administrar el equipo.

Comandos de CLI útiles para diagnóstico

• show system interface: Permite visualizar la configuración actual de cada interfaz, incluyendo servicios administrativos habilitados (HTTP, HTTPS, Telnet, SSH).
• diagnose debug application fnbamd -1: Ayuda a depurar servicios de autenticación y administración.
• get system performance top: Para monitorear procesos y detectar posibles intentos de acceso inusuales.
• execute log filter field srctype event y execute log display: Para filtrar y visualizar logs relacionados con accesos administrativos.
• config system interface seguido de edit <nombre_interfaz> y unset allowaccess http telnet: Para deshabilitar los accesos HTTP y Telnet en la CLI.

Buenas prácticas de configuración

• Deshabilitar siempre HTTP y Telnet en interfaces WAN, habilitar solo HTTPS y SSH para management.
• Usar contraseñas robustas y autenticación multifactor para acceder a la administración del dispositivo.
• Limitar los accesos administrativos solo a direcciones IP confiables mediante políticas de acceso.
• Mantener el firmware actualizado para aprovechar correcciones de seguridad y mejoras en gestión.
• Revisar periódicamente los reportes de cumplimiento y auditorías de seguridad para detectar posibles configuraciones inseguras.
• Evitar exponer interfaces administrativas directamente en redes públicas sin protección adicional como VPN.
• Monitorear logs de acceso y habilitar alertas en caso de sucesos sospechosos o intentos de conexión fallidos.
• Implementar segmentación de red para separar la gestión de otros tráficos comunes, reforzando la capa administrativa.