Fortigate（及びFortinet製品）の管理構成
こんにちは。ネットワークソリューション特集 編集部です。
今回は、Fortigateの管理構成についてご紹介します。
セキュリティソリューションは導入して終わりではなく、導入してからが重要になっていきます。
Fortigateの管理構成
Fortigateの管理構成は4パターンあります。
単独管理
単独管理の場合は古いログが無くなっていくので外部保存（シスログサーバ等）が必要です。
オンボードストレージ付きのモデル（101や201等）であれば長期間のログも保存（ログ量が多い場合は古いものから削除）できますが故障の際はロストする可能性があります。
ログ分析やファームウェア管理の対応は手動になります。
FortiManager管理
複数のFortiGate、FortiExtender、FortiSwitch、FortiAPを一元管理することが出来ます。
ログ解析は出来ないのでFortiAnalyzerが必要です。
利用可能な機能は下記となります。
- ファームウェア管理
- ポリシー管理
- 監視機能
- 自動化機能
物理アプライアンスと仮想アプライアンス（管理デバイス数ライセンス）のラインナップになります。
FortiAnalyzer管理
Fotinet機器及び通常のログサーバとして利用できるログ分析アプライアンスです。
- 各プラットフォームでの対応機能
| プラットフォーム | Log View | FortiView | イベント管理 | レポート |
|---|---|---|---|---|
| FortiGate | ○ | ○ | ○ | ○ |
| FortiAnalyzer | ○ | ○ | ||
| FortiManager | ○ | ○ | ||
| FortiClient (EMS管理) | ○ | ○ | ○ | |
| FortiMail | ○ | ○ | ○ | |
| FortiSandbox | ○ | ○ | ○ | |
| FortiWeb | ○ | ○ | ○ | |
| FortiProxy | ○ | ○ | ○ | |
| Syslog | ○ | ○ |
- FortiView
各機器から収集したログ情報をカテゴリ毎にまとめ、視覚的に分かりやすいウィジェット形式で一覧表示する機能 - Log View
各機器から収集したログ情報を一覧表示する機能 - レポート
各機器から収集したログ情報からレポート (pdf/http/xml/csv)作成する機能。テンプレートをカスタマイズ出来ます。
物理アプライアンスと仮想アプライアンス（1日のログ処理量ライセンス）のラインナップになります。
FortiGate Cloud管理
FortiGateのログ管理、アクセス情報の可視化、レポート生成やFortiLink配下の FortiSwitch や FortiAP を含めたデバイス管理をクラウド上で提供するサービスです。
| 機能 | トライアル版 | 製品版 |
|---|---|---|
| デバイス管理 | X | ◯ |
| 最大ストレージサイズ | 7日間 | 1年間 |
| 日毎のログ転送サイズ制限(デバイス単位) | 20GB | |
| レポート生成 | ◯ | ◯ |
| レポートスケジュール | X | ◯ |
| カスタムレポート | X | ◯ |
| クラウド型サンドボックス | 7,000-144,000ファイル/日(要AMPライセンス) | |
| FGT管理下のFortiAP運用 | △ | ◯ |
| FGT管理下のFortiSwitch運用 | △ | ◯ |
| 問い合わせ、サポート | X | ◯ |
- FortiGate CloudとFortiManagerの違い
| 項目 | FortiGate Cloud | FortiManager |
|---|---|---|
| 規模 | 小規模、中規模 | 中規模、エンタープライズ、MSSP （統合管理） |
| 概要 | Fortinetホステッド クラウドベースの管理とレポート サンドボックスサービスの提供 | FortiGate デバイスの一括管理、ステータス監視、機器構成の正規化、VPNやSD-WANの統合設定/管理、FortiGuard機能やゼロタッチプロビジョニングを提供 |
| ライセンス | 登録する FortiGate デバイス単位（HA構成では両方に必要） | FortiManagerのHW準拠/FortiManager-VMでは規模準拠 最大デバイス数はモデルに依存 |
| 設定方法 | FortiGate GUIに似た機器毎の設定画面 | 大規模運用を前提とした正規化、テンプレート、 設定ウィザード、デプロイツールの提供 |
| VPN管理 | 個別に設定が必要 | ウィザードによるメッシュ、スターの自動構築 |
| SD-WAN管理 | 個別に設定が必要 | テンプレートによる設定、オーバーレイネットワークの 構築が可能（要追加ライセンス） |
| Config管理 | 自動バックアップ、世代管理、 比較（単体） | 複数機器に同期出来る集中管理（FortiManagerへ収容後はFortiGate のGUIは使用しません）で設定の世代管理も管理単位毎に可能 |
| アップグレード | 機器単体に提供 | 任意の管理単位に対して一括適用が可能 |
| ログ保存機能 | 可能 | FortiAnalyzer相当の機能を限定的に利用可能（取得するログの選別が必要） |
- FortiGate CloudとFortiAnalyzerの違い
| 項目 | FortiGate Cloud | FortiAnalyzer |
|---|---|---|
| 規模 | 小規模、中規模 | 中規模、エンタープライズ、MSSP |
| 概要 | Fortinetホステッド クラウドベースの管理とレポート サンドボックスサービスの提供 | オンプレミスベース ログ収集、レポート アラート |
| ライセンス | 登録する FortiGate デバイス単位（HA構成では両方に必要） | FortiAnalyzerのHW準拠/FortiAnalyzer-VMでは規模準拠 最大デバイス数はモデルに依存 |
| サンドボックス | Fortinetホステッドクラウドベースで提供 | なし（別途、FortiSandbox が必要） |
| 管理者アクセスの 外部認証連携 | 不可 | 可 |
| ストレージサイズ | 1年分のログ保存 容量 ~20GB/day × 365日 | モデル依存 HWアプライアンスは最大96TB（RAID0時、24×4TB） VM版は無制限（ライセンスは1日ログ処理量） |
| ログの集中管理 | リアルタイム、スケジュールアップロード | リアルタイム、スケジュールアップロード ログの統合、CEF準拠ロギング |
| レポートの統合 | 不可（デバイス毎のみ） | 可 |
| Config管理 | 自動バックアップ、世代管理、比較 | 不可（FortiManagerが該当） |
管理しないリスク
- OS脆弱性の放置
話題なっていましたがSSL-VPNの不具合も2019年5月に公表されたもので悪用が多発（ダークウェブに対象デバイスリストが流出）したのは1年以上経ってからでした。
- 攻撃、侵入の未自覚
ログの分析をしなければ攻撃や侵入されていることに気づきません。ログ分析ツールを入れるかSOCをご検討ください。
今回は、Fortigateの管理構成についてご紹介しました。
