Fortinet

Présentation Fortinet 2015
mardi 29 septembre 2015
Blaton Pieter-Jan
Ingénieur Avant-Vente
 [email protected]
Nouveau Slogan
2
FortiGate
L’approche Fortinet
Architecture traditionnelle
Architecture Fortinet
 Solutions autonomes et hétérogènes
 Boîtier temps réel tout en 1
 Mix appliances / softs
 Performances élevées grace aux ASICs
 Cout de possesion élévé
 Cout de possession réduit
 Difficile à intégrer / maintenir
4
 Facile à intégrer / maintenir
4
La technologie FortiGate
FortiASIC
• Les ASICs accélèrent les traitements
réseau et sécurité
• OS temps réel propriétaire
• Plusieurs ASICs (CP, NP, SoC) dédiés
par fonction
• Optimisé pour les appliances FortiGate
• Technologie propriétaire et éprouvée
5
FortiOS
• Conçu pour la sécurité et la performance
• OS mature : 5.0.12 et 5.2.3
5
FortiGate: Une Architecture Intégrée
FortiGuard™ Updates
Real-Time Protection
Fully Integrated
Security & Networking
Technologies
AV
IPS
Firewall
VPN
WLAN
VoIP
Web Filter Antispam
DLP
SSL Insp
App Ctrl
WAN Opt
HA
Hardened Platform
Specialized OS
High Performance
Purpose-Built Hardware
Support and Services
FortiCare™
VM
Traffic Shaping
Load Balancing
FortiGuard Labs
• Purpose-built to deliver overlapping, complementary security
• Provides both flexibility & defense-in-depth capabilities
7
Services, Licenses & Subscriptions
FortiGuard AV Subscription
•
•
•
Botnet IP reputation DB
FortiCloud Sandbox Service
Proxy & Flow based AV signatures
FortiGuard FortiSandbox Cloud Service
•
ATP : moteur AV, Code Emulator, Cloud query et Virtual
OS sandbox
FortiGuard Web Filter Subscription
•
•
DNS Based Web Categories Filtering
Proxy & Flow based Web Categories DB
FortiGuard NGFW Subscription
•
•
IPS Signature Updates
Application Control Signature Updates
FortiGuard Anti-spam Subscription
•
Anti-spam Services
9
La gamme FortiGate par segments
MSSP




















(Branch)
(Branch)
(Campus)
(Campus)




1000
Series
3000
Series
5000
Series
VM
Series
Carrier
Data Center /
Cloud / SDN
Enterprise

Distributed
Enterprise



SMB



30-90
Series
100- 200
Series
300-800
Series
Model
Product Range
Entry Level
(2 Digits)
*Key Hardware
Features
PoE, WiFi
Mid Range
(3 digits)
PoE, High
Density GE
High Density
GE
High End
(4 digits)
High Density
GE, 10 GE
10 GE,
40 GE, 100 GE
* May be available as hardware variants
Virtual &
Cloud
H/W
Dependent
10
FortiGate en résumé
 Appliance de sécurité prête à l’emploi
 Hautes performances grâce aux ASICs
embarqués
 Solution la plus complète du marché
 Licensing très simple et illimité
 Gamme de boîtiers très large
− De la TPE aux opérateurs
11
11
Le parefeu classique sait il contrer les menaces?
Les applications ont changé
• N’ouvrir qu’une porte ne suffit plus !
− HTTP : une seule porte (80/tcp) mais plusieurs applications
− Une application web : plusieurs sous applications
Je bloque
• Fermer une porte ne suffit plus !
Facebook...
− Skype !
− Certaines applications sont indispensables
Proxy SSL
Instantanée
• Le canal SSL permet deMessagerie
contourner
le contrôle applicatif
HTTP
Tunnel SSL (HTTPS)
Utilisateur
http://www.facebook.com
RH
12
•Tchat
•Communication Vidéo
•Échange de fichier
http://www.facebook.com
Mais
je ne
vois rien...
12
Bilan des comportements actuels
Les utilisateurs font plus ou moins ce qu’ils veulent
Consommation de la Bande
Passante
Flash,
proxy,
P2P,
Web
Vidéo
+browser
plugin
Audio
Web
applications
tunnel
HTTP
HTTP
Jeux et réseaux sociaux
4%
25%
71%
• Les activités extraprofessionnelles consomment
énormément de BP
− Certains évènements épuisent
les ressources (Coupe du
monde de football, funérailles
de M. Jackson)
− Baisse de la productivité
TOP 10 applications
Source IPSOS 2011
13
− Sécurité des systèmes
menacée
− Couts inutiles en Bande
Passante
13
Le parefeu classique contrôle t-il l’accès au réseau?
Les rôles clients-serveurs ont changé
Serveur
Où est la plus Emule
grande
densité des serveurs ?
14
Non…Seulement
10% des serveurs
sont ici
90% des serveurs
sont hébergés par
les postes clients
14
Pourquoi ne pas bloquer les flux avec
l’IPS?
Les solutions classiques restent incomplètes
 L’IPS ne suffit pas à répondre à tous les besoins
» Identifier les utilisateurs et contrôler les flux
» Contrôler le contenu des informations véhiculées par les applications
autorisées
» Prioriser les flux par applications (gestion de la BP, wan optimisation…)
Je tolère
Twitter...
Mais le
qui
est
Seul
chef
le chef
?
(A)
passera...
IP.S
A
Adresse IP
IP.A
S
B
Utilisateur
IP.B
IP.S
IP.C
Application
C
15
IP.S
15
Actions des nouveaux parefeux
Le parefeu doit faire ce pour quoi il a été conçu
1. Identifier les applications sans notion de ports,
d’IP, de protocole ou de chiffrement
2. Identifier les utilisateurs puis et les relier à ces
applications
3. Contrôler le contenu véhiculé en temps réel et
le sécuriser
4. Visualiser les applications et toutes leurs
fonctionnalités
5. Gérer les ressources par application (QOS,
traffic shaping) et accélérer les flux grâce à
l’ASIC
16
16
16
NEW!!! Fortiview
 New Dashboard increase visibility
 Selection can be real time or historical (depends the model)
 Gives network admin statistical information based on source,
destination, application
 Drill down to give more granular filtering capabilities.
17
17
Fortiview (Sources)
18
18
Fortiview (Application)
19
19
Fortiview Web Sites
20
20
Fortiview Threads
22
22
FortiView – Example Use Case
 3 easy steps to locate the answer
» Select “Threats” view
» Search for “Threat Type” = P2P
» Choose “Source”
1
Is there anyone
abusing the Internet
Access with P2P
applications ?
2
3
23
New Session table Lookup
24
24
Fortiview (Cloud Application)
What V5.2 offers:
 Deeper visibility to popular online
applications
 Visibility:
» On “Cloud Applications” Viewer
» “Application Control” Logs
» Cloud-based file storage and video
sites
» Logins to popular apps/sites
» Via web browsers
 Info extracted includes
» (upload/download) filenames
» video titles played,
» user ID when login is detected
25
25
Fortiview (Cloud Application)
26
26
LEADERSHIP INCONTESTE
Magic Quadrant for Unified
Threat Management
Magic Quadrant for Enterprise
Firewall
27
27
LEADERSHIP INCONTESTE
Next Generation Intrusion
Prevention System Test
Report
28
28
Wireless
29
FortiAP Product Matrix
802.11ac
FAP-320C
3x3:3
FAP-321C
Dual Radio
Dual Band
Resiliency and
Versatility
FAP-320B
FAP-222C
FAP-224D
FAP-222B
FAP-221/223C
FAP-221/223B
FAP-28C
Single Radio
1x1:1
Value
802.11ac
802.11ac
2x2:2
Performance
802.11ac
FAP-25D
FAP-24D
FAP-21D
FAP-210B
FAP-14C
FAP-11C
Remote
FAP-112D
FAP-112B
Outdoor
Indoor
30
Token
31
Introducing FortiToken
Oath Compliant Time Based Hardware One Time Password
Token
Supports Strong Authentication
•
•
•
•
•
•
•
IPSEC VPN
SSL VPN
Administrative Login
Captive Web Portal
802.1x Authentication
Web Application Access
SSO
Authentication Platforms
• FortiGate (FOS4.3 and later)
• FortiAuthenticator (FAC 1.4 and later)
Secure Seed Delivery Options
• Online Via FortiGuard
• Encrypted file on CD (FTK-200S)
• In-house Seed Provisioning Tool (special order)
32
FortiClient
38
Introducing FortiClient
Comprehensive end-point protection & security
enforcement
Multifunctional Host Security
• Flexibility in deployment
• Fully integrated features, reduce needs for
multiple client solutions
End Point Control
• Enforce compliance and security policies on
mobile hosts
Centralized Logging and Reporting
• Via FortiGate for enterprise requirements
39
FortiClient V5.2
Windows
New
in 4.0 MR3 iOS
Mac OSX
Android
IPSec VPN


-

SSL VPN


Web Mode Only

2FA




Anti-Virus


-
-
Web Filtering




-
-
-
WAN Optimization
Registered for Central Management
Config Provisioning




Logging (to FMGR/FAZ)


-
-
Windows AD SSO Agent


-
-
Application Firewall


-
-
Vulnerability Scanning &
Reporting


-
-
Custom Install


-
-
40
FortiSandbox / Cloud
41
Introducing FortiSandbox
Solution Advanced Threat Protection faite pour identifier et
bloquer les attaques ciblées, sophisitiquées
Advanced Threat Protection
• Inspection multi-niveaux : Code Emulator,
moteur AV, Cloud query et Virtual OS sandbox
• Analyse de différents types de fichiers sur de
multiples protocoles, y compris encapsulés
dans SSL
4 Latest AV Signature Update
Flexible Operation Modes
• Analyze des fichiers reçus via le
FortiGate/FortiMail, le mode sniffer ou upload
manuelle de fichier.
• Peut recuperer des fichiers de FortiGates
distants
3 Malicious
Analysis
output
Monitoring and Reporting
?
• Rapports d’analyse détaillés, monitoring et
alerting temps rééel
1
File Submission
2
Centralized File Analysis
42
Q&A