fortigate 外部惡意存取設備如何阻擋

firewall fortigate deny

allen1975 2024-01-18 18:17:49 ‧ 2014 瀏覽

分享至

各位大大好
最近防火牆不斷跳出log 如下
Message meets Alert condition
The following critical firewall event was detected: Admin login failed.
date=2024-01-18 time=17:29:53 devname=xxx-FG201E devid=FG201xxxxxx eventtime=1705570193166892693 tz="+0800" logid="0100032002" type="event" subtype="system" level="alert" vd="root" logdesc="Admin login failed" sn="0" user="esx" ui="https(94.232.47.214)" method="https" srcip=94.232.47.214 dstip=11.11.11.11 action="login" status="failed" reason="name_invalid" msg="Administrator esx login failed from https(94.232.47.214) because of invalid user name"
該ip對我的設備不斷的嘗試帳號密碼
當然我知道對方目前是猜錯了帳號.但總覺得風險很大,最近來源都是這個俄羅斯ip
我查了下是否要使用 local in policy 去設定. 或是用一般的policy 即可
是否方便告知下比較如何設定比較妥當
請大大指導下

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

4 個回答

mathewkl

iT邦高手 1 級 ‧ 2024-01-18 20:53:55

最佳解答

把防火牆對外IP介面的HTTPS之類的存取服務都關掉
要進防火牆就請先VPN進內網

都關了就沒人可以從外部測你的密碼，直接被deny

回應 6
分享
檢舉

看更多先前的回應...收起先前的回應...

allen1975 iT邦新手 2 級 ‧ 2024-01-19 08:53:43 檢舉

謝謝分享.我想也應該直接關掉這服務好了

bluegrass iT邦高手 1 級 ‧ 2024-01-19 09:17:30 檢舉

你在administrator那邊設TRUST HOST就可以了其實.

allen1975 iT邦新手 2 級 ‧ 2024-01-19 09:58:04 檢舉

因為有時候可能需要使用手機連回公司網路. 所以比較沒辦法固定ip

sd3388 iT邦好手 1 級 ‧ 2024-01-19 11:56:23 檢舉

進防火牆就請先VPN進內網

結果換VPN入口被try ???

mathewkl iT邦高手 1 級 ‧ 2024-01-19 14:28:40 檢舉

公司有狀況你是能排除萬難最速殺進公司解決嗎= =
try VPN總比直接try防火牆登入好吧?

sd3388 iT邦好手 1 級 ‧ 2024-01-19 15:13:13 檢舉

顯然有人是根本不懂Fortigate防火牆的實際運作
看看2023/07在TWcert有關的報導
三十萬台以上 Fortinet 防火牆仍未修補嚴重漏洞 CVE-2023-27997
講的就是SSL VPN登入的漏洞
業界去年為此吵了有好多回

事實上防火牆原本就是有開放對外的IP
要想完全避免有心人一直嘗試搞你的防火牆根本就很難
因為主動權在有心人手上
不然FortiOS也不用在7.2版以後搞Virtual patching
防火牆本機自身的防護也是目前資安重點之一

回應mathewkl大的說法
防護搞VPN進或直接搞Fortigate事實上是一樣的風險
對本機而言並不是比較好的解決方案
而進到內網主機的存取是另一種情況
同時Fortigate作為知名防火牆
根本很少聽過被外部直接攻入防火牆本機
反倒是SSLVPN有過不少災情
如果你公司願意實做看看實際的攻防
或是找紅隊來演練一下
就會發現實際狀況仍然會有相關log