Zentrales Management & Monitoring mit FortiGate

Einleitung: Die Herausforderung der Firewall-Verwaltung

Mit der zunehmenden Komplexität moderner Netzwerke und der steigenden Anzahl von Sicherheitsbedrohungen wird die effektive Verwaltung und Überwachung von Firewall-Infrastrukturen zu einer immer größeren Herausforderung. Besonders Unternehmen mit mehreren Standorten, zahlreichen FortiGate-Geräten oder komplexen Sicherheitsanforderungen stehen vor der Aufgabe, ihre Sicherheitsinfrastruktur konsistent, effizient und umfassend zu managen.

Eine dezentrale, manuelle Verwaltung einzelner Firewalls führt häufig zu Inkonsistenzen in den Sicherheitsrichtlinien, erhöhtem Verwaltungsaufwand und geringerer Sichtbarkeit über Sicherheitsereignisse im gesamten Netzwerk. Diese Probleme können die Effektivität der Sicherheitsmaßnahmen erheblich beeinträchtigen und gleichzeitig die Betriebskosten steigern.

Fortinet bietet mit seinen zentralen Management- und Monitoring-Lösungen einen strukturierten Ansatz, um diese Herausforderungen zu bewältigen. In diesem Artikel erfahren Sie, wie Sie mit FortiManager, FortiAnalyzer und weiteren Fortinet-Lösungen eine zentrale, konsistente und effiziente Verwaltung Ihrer FortiGate-Infrastruktur implementieren können.

1. Überblick: Zentrale Management-Komponenten

Das Fortinet Security Fabric bietet mehrere Komponenten für das zentrale Management und Monitoring von FortiGate-Firewalls.

Die wichtigsten Komponenten im Überblick

Ein häufiger Pain Point in der Netzwerksicherheit ist die Fragmentierung der Management-Tools, die zu Silos und ineffizienter Verwaltung führt. Fortinet adressiert dieses Problem durch eine integrierte Security Fabric, in der alle Komponenten nahtlos zusammenarbeiten.

Architektur einer zentralen Management-Lösung

Eine typische Architektur für das zentrale FortiGate-Management könnte wie folgt aussehen:

In diesem Setup werden alle FortiGate-Geräte zentral von FortiManager verwaltet, während FortiAnalyzer die Logging- und Reporting-Funktionen übernimmt. Für größere Umgebungen können zusätzliche Komponenten wie FortiSIEM integriert werden.

2. FortiManager: Zentrales Konfigurationsmanagement

FortiManager ist das Herzstück des zentralen Managements von FortiGate-Infrastrukturen und anderen Fortinet-Produkten.

Kernfunktionen von FortiManager

• Zentralisierte Konfigurationsverwaltung: Einheitliche Richtlinien für alle FortiGate-Geräte
• Vorlagenverwaltung: Wiederverwendbare Konfigurationsvorlagen
• Objektverwaltung: Zentrale Verwaltung von Adressen, Services und anderen Objekten
• Automatisierte Bereitstellung: Zero-Touch Provisioning für neue Geräte
• Policy-Pakete: Gruppierung von Richtlinien für bestimmte Gerätegruppen
• Änderungs-Workflow: Kontrollierte Implementierung von Konfigurationsänderungen
• Compliance-Management: Erzwingung von Compliance-Richtlinien

Ein verbreiteter Pain Point bei der Verwaltung mehrerer Firewalls ist die Schwierigkeit, konsistente Sicherheitsrichtlinien durchzusetzen. FortiManager löst dieses Problem durch zentralisierte Richtlinien und Vorlagen.

Implementierung von FortiManager

FortiManager ist als Hardware-Appliance, virtuelle Maschine oder Cloud-Service verfügbar. Die Größe der Lösung sollte anhand der Anzahl der verwalteten Geräte und dem Funktionsumfang dimensioniert werden.

Grundlegende Einrichtung von FortiManager

Der typische Einrichtungsprozess umfasst:

1. Initialisierung des FortiManager: Grundlegende Netzwerk- und Zugriffskonfiguration
2. Hinzufügen von FortiGate-Geräten: Manuell oder über Auto-Discovery
3. Erstellung von Administratorkonten: Mit rollenbasierten Zugriffsrechten
4. Definition von ADOM (Administrative Domains): Logische Segmentierung der verwalteten Geräte
5. Erstellung von Policy-Paketen: Für unterschiedliche Gerätegruppen

# Beispiel: FortiGate zum FortiManager hinzufügen (auf der FortiGate)
config system central-management
    set type fortimanager
    set fmg "fortimanager.example.com"
    set allow-push-configuration enable
    set allow-push-firmware enable
    set allow-remote-firmware-upgrade enable
end

Arbeiten mit Policy-Paketen und Vorlagen

Policy-Pakete sind ein zentrales Konzept in FortiManager und erlauben die Gruppierung von Firewall-Richtlinien für bestimmte Szenarien oder Standorte:

1. Global Policies: Gelten für alle Geräte, z.B. grundlegende Sicherheitsrichtlinien
2. ADOM-spezifische Policies: Gelten für Geräte innerhalb einer administrativen Domain
3. Device-spezifische Policies: Gelten nur für einzelne Geräte

Durch die hierarchische Struktur können allgemeine Richtlinien zentral definiert und spezifische Anpassungen auf niedrigeren Ebenen vorgenommen werden.

Konfigurationsvorlagen (Templates) erleichtern die konsistente Konfiguration häufig verwendeter Einstellungen:

# Beispiel einer CLI-Template in FortiManager
config system template
    edit "Standard-Security-Profile"
        config template-setting
            edit 1
                set category "firewall"
                set key "profile-status"
                set value "enable"
            next
            edit 2
                set category "ips"
                set key "ips-status"
                set value "enable"
            next
        end
    next
end

3. FortiAnalyzer: Umfassendes Logging und Reporting

Während FortiManager sich auf die Konfigurationsverwaltung konzentriert, übernimmt FortiAnalyzer die Aufgaben des zentralen Loggings, der Analyse und des Reportings.

Kernfunktionen von FortiAnalyzer

• Zentrales Logging: Sammlung und Speicherung aller Sicherheitslogs
• Echtzeit-Monitoring: Überwachung von Sicherheitsereignissen in Echtzeit
• Vordefinierte Reports: Umfangreiche Berichtsvorlagen für verschiedene Anforderungen
• Benutzerdefinierte Reports: Erstellung individueller Berichte nach spezifischen Bedürfnissen
• Automatische Berichtsverteilung: Zeitgesteuerte Bereitstellung von Reports
• Security Analytics: Erweiterte Analyse von Sicherheitsdaten
• Forensische Untersuchungstools: Detaillierte Analysen für Incident Response

Ein häufiger Pain Point bei der Sicherheitsüberwachung ist die Schwierigkeit, relevante Informationen aus der Masse an Logdaten zu extrahieren. FortiAnalyzer adressiert dieses Problem durch leistungsfähige Filterfunktionen und vordefinierte Dashboards.

Einrichtung von FortiAnalyzer

FortiAnalyzer ist wie FortiManager in verschiedenen Formfaktoren verfügbar. Die Einrichtung umfasst:

1. Grundkonfiguration: Netzwerk, Zugriff, Zeitzone
2. Verbindung mit FortiGate-Geräten: Konfiguration der Log-Weiterleitung
3. Einrichtung von Log-Retention-Policies: Definition der Aufbewahrungsfristen
4. Konfiguration von Reports: Auswahl und Anpassung von Reportvorlagen
5. Einrichtung von Dashboards: Anpassung der Überwachungsansichten

# Beispiel: FortiGate für FortiAnalyzer-Logging konfigurieren
config log fortianalyzer setting
    set status enable
    set server "fortianalyzer.example.com"
    set upload-option realtime
    set reliable enable
end

config log fortianalyzer filter
    set severity information warning error critical alert emergency
    set forward-traffic enable
    set local-traffic enable
    set multicast-traffic enable
    set sniffer-traffic enable
    set anomaly enable
    set voip enable
    set dlp-archive enable
    set dns enable
    set ssh enable
    set ssl enable
end

Effektives Security Reporting

FortiAnalyzer bietet zahlreiche vordefinierte Reports, die wichtige Sicherheitsaspekte abdecken:

Ein besonderer Vorteil von FortiAnalyzer ist die Möglichkeit, Reports automatisch zu generieren und zu verteilen:

# Beispiel eines Berichtsplans in FortiAnalyzer
config report schedule
    edit "Weekly-Security-Report"
        set schedule-type weekly
        set day-of-week sunday
        set time "23:00"
        set output-format pdf
        set email-send enable
        set email-recipients "security-team@example.com" "management@example.com"
    next
end

4. FortiSOAR: Security Orchestration und Automation

Für Unternehmen mit fortgeschrittenen Sicherheitsanforderungen bietet FortiSOAR (Security Orchestration, Automation and Response) die Möglichkeit, Sicherheitsprozesse zu automatisieren und zu orchestrieren.

Kernfunktionen von FortiSOAR

• Incident Response Automatisierung: Standardisierte Reaktionen auf Sicherheitsvorfälle
• Playbooks: Vordefinierte Abläufe für häufige Sicherheitsszenarien
• Fallmanagement: Strukturierte Bearbeitung von Sicherheitsvorfällen
• Integration mit Security Tools: Anbindung an zahlreiche Sicherheitsprodukte
• Metriken und KPIs: Messung der Effektivität der Sicherheitsprozesse

FortiSOAR adressiert den Pain Point der manuellen und zeitaufwändigen Bearbeitung von Sicherheitsvorfällen, der in vielen Unternehmen zu Verzögerungen bei der Reaktion auf Bedrohungen führt.

Automatisierung der Incident Response

Mit FortiSOAR können Sicherheitsteams Playbooks erstellen, die automatisch auf bestimmte Ereignisse reagieren:

1. Erkennung eines Sicherheitsereignisses (z.B. durch FortiAnalyzer)
2. Automatische Kategorisierung des Vorfalls
3. Durchführung erster Untersuchungsschritte (z.B. Sammlung zusätzlicher Informationen)
4. Ausführung von Eindämmungsmaßnahmen (z.B. Isolierung eines infizierten Systems)
5. Benachrichtigung der zuständigen Mitarbeiter

Ein einfaches Playbook könnte beispielsweise so ablaufen:

Bei Erkennung von Malware auf einem Endgerät:
1. Extrahiere Informationen über das betroffene Gerät
2. Korreliere mit anderen Sicherheitsinformationen
3. Isoliere das Gerät im Netzwerk via FortiGate-API
4. Scanne benachbarte Systeme nach ähnlichen Indikatoren
5. Erstelle einen Incident-Ticket im ITSM-System
6. Benachrichtige das Security-Team per E-Mail und SMS

Die Integration von FortiSOAR mit FortiGate erfolgt über APIs und ermöglicht die automatische Ausführung von Aktionen wie das Blockieren von IP-Adressen, die Aktualisierung von Richtlinien oder die Isolation von Netzwerksegmenten.

5. Cloud-Management mit FortiCloud

Für kleinere Umgebungen oder Unternehmen, die keine dedizierte Management-Infrastruktur betreiben möchten, bietet Fortinet mit FortiCloud eine Cloud-basierte Management-Lösung.

Vorteile von FortiCloud

• Keine lokale Management-Hardware erforderlich
• Automatische Updates der Management-Plattform
• Zugriff von überall mit Internetverbindung
• Skalierbare Lizenzmodelle je nach Bedarf
• Reduzierter Administrationsaufwand für die Management-Infrastruktur

FortiCloud adressiert den Pain Point der hohen Anfangsinvestitionen und des Wartungsaufwands für lokale Management-Lösungen, insbesondere für kleinere Unternehmen.

FortiCloud-Funktionen

FortiCloud bietet viele der Funktionen von FortiManager und FortiAnalyzer in einer Cloud-Plattform:

• Gerätemanagement: Konfiguration und Überwachung von FortiGate-Geräten
• Logging und Reporting: Zentrale Sammlung und Analyse von Logs
• Security Fabric-Verwaltung: Integration mit anderen Fortinet-Produkten
• Automatisierte Backups: Regelmäßige Sicherung von Gerätekonfigurationen
• Firmware-Management: Zentrale Verwaltung von Firmware-Updates

Die Aktivierung von FortiCloud auf einem FortiGate-Gerät ist einfach:

# FortiCloud auf FortiGate aktivieren
config system fortiguard
    set fortimanager-cloud-service enable
    set fortiguard-anycast enable
    set update-server-location automatic
end

6. Integration von FortiManager und FortiAnalyzer

Obwohl FortiManager und FortiAnalyzer unterschiedliche Funktionen bieten, ergänzen sie sich perfekt und können eng integriert werden.

Vorteile der Integration

• Einheitliche Benutzeroberfläche: Zugriff auf beide Systeme über ein Portal
• Korrelation von Konfigurationen und Ereignissen: Verknüpfung von Policy-Änderungen mit Sicherheitsereignissen
• Vereinfachte Bereitstellung: Gemeinsame Installation und Wartung
• Konsistente Benutzerverwaltung: Einheitliche Zugriffsrechte für beide Systeme

Die Integration adressiert den Pain Point der fragmentierten Management-Tools, der in vielen Sicherheitsumgebungen zu Ineffizienzen führt.

Implementierungsoptionen

FortiManager und FortiAnalyzer können auf verschiedene Arten integriert werden:

1. Physische oder virtuelle Appliances: Separate Geräte mit integrierter Benutzeroberfläche
2. Kombinierte Appliance: FortiManager mit integrierter FortiAnalyzer-Funktionalität
3. Cloud-basierte Lösung: Integration über FortiCloud

Für mittelgroße bis große Umgebungen empfehlen wir separate Appliances, um die Performance bei hohem Log-Volumen zu optimieren.

# Beispiel: FortiManager-FortiAnalyzer-Integration aktivieren
config system admin setting
    set show-fct-manager enable
    set show-log-forwarding enable
    set show-fgt-manager enable
end

7. RBAC: Rollenbasierte Zugriffskontrolle

Die effektive Verwaltung von Administratorzugriffsrechten ist entscheidend für die Sicherheit und Compliance in komplexen Umgebungen.

RBAC-Grundprinzipien

FortiManager und FortiAnalyzer unterstützen umfassende rollenbasierte Zugriffskontrolle (RBAC):

• Benutzerrollen: Vordefinierte oder benutzerdefinierte Rollen mit spezifischen Berechtigungen
• Administrative Domains (ADOMs): Logische Trennung von Verwaltungsbereichen
• Zugriffsrichtlinien: Detaillierte Kontrolle darüber, welche Aktionen Benutzer ausführen können
• Audit-Trails: Umfassende Protokollierung aller administrativen Aktivitäten

RBAC adressiert den Pain Point der zu weitreichenden Administratorrechte, der in vielen Organisationen zu Sicherheitsrisiken führt.

Implementierung von RBAC in FortiManager

Ein typisches RBAC-Setup in FortiManager könnte wie folgt aussehen:

1. Definition von ADOMs für verschiedene Abteilungen oder Kunden
2. Erstellung von Benutzerrollen mit spezifischen Berechtigungen:
   • Super-Admin: Vollzugriff auf alle Funktionen
   • Policy-Admin: Verwaltung von Firewall-Policies
   • Auditor: Nur-Lese-Zugriff für Compliance-Prüfungen
   • SOC-Analyst: Zugriff auf Sicherheitsereignisse und Alarme
3. Zuweisung von Benutzern zu Rollen und ADOMs

# Beispiel: Benutzerdefinierte Rolle in FortiManager
config system admin profile
    edit "policy-admin"
        set scope global
        set system-setting read
        set adom-policy read-write
        set device-manager read
        set global-policy-packages read-write
        set policy-objects read-write
        set log-viewer read
        set fortiview-setting read
    next
end

Workspaces und Workflow-Management

Für kontrollierte Änderungen in größeren Teams bietet FortiManager Workflow-Funktionen:

1. Workspace-Modus: Änderungen werden in einem privaten Arbeitsbereich vorbereitet
2. Review-Prozess: Änderungen werden zur Überprüfung vorgelegt
3. Genehmigungsprozess: Autorisierte Benutzer müssen Änderungen genehmigen
4. Implementierung: Genehmigte Änderungen werden auf die Geräte angewendet

Diese Funktionen adressieren den Pain Point der unkontrollierten Konfigurationsänderungen, der in vielen Organisationen zu Sicherheitsproblemen führt.

8. Automatisierung und Programmierbarkeit

Die Automatisierung von wiederkehrenden Aufgaben ist ein wesentlicher Aspekt moderner Sicherheitsverwaltung.

API-basierte Automatisierung

FortiManager und FortiAnalyzer bieten umfangreiche APIs für die Automatisierung:

• REST API: Für programmatischen Zugriff auf alle Funktionen
• JSON-RPC API: Für skriptbasierte Automatisierung
• CLI-Skripte: Für die Ausführung von Befehlen auf verwalteten Geräten

Diese APIs adressieren den Pain Point der zeitaufwändigen manuellen Konfiguration, der in komplexen Umgebungen zu Ineffizienzen führt.

Automatisierungsbeispiele

Typische Automatisierungsszenarien umfassen:

1. Automatisierte Bereitstellung neuer FortiGate-Geräte
2. Regelmäßige Compliance-Checks gegen definierte Standards
3. Batch-Änderungen an mehreren Geräten gleichzeitig
4. Integration mit CI/CD-Pipelines für automatisierte Sicherheitskonfiguration
5. Automatisierte Berichterstellung und -verteilung

Ein einfaches Python-Skript zur Automatisierung könnte so aussehen:

import requests
import json

# FortiManager API-Zugriff
base_url = "https://fortimanager.example.com/jsonrpc"
session = requests.Session()
session.verify = False  # Für produktive Umgebungen: Zertifikatsvalidierung aktivieren

# Login
login_data = {
    "id": 1,
    "method": "exec",
    "params": [
        {
            "url": "/sys/login/user",
            "data": {
                "user": "api-user",
                "passwd": "api-password"
            }
        }
    ]
}

response = session.post(base_url, json=login_data)
session_info = json.loads(response.text)
session_id = session_info["session"]

# Abrufen aller verwalteten Geräte
devices_data = {
    "id": 2,
    "method": "get",
    "params": [
        {
            "url": "/dvmdb/device"
        }
    ],
    "session": session_id
}

response = session.post(base_url, json=devices_data)
devices = json.loads(response.text)
print(json.dumps(devices, indent=4))

# Logout
logout_data = {
    "id": 3,
    "method": "exec",
    "params": [
        {
            "url": "/sys/logout"
        }
    ],
    "session": session_id
}

session.post(base_url, json=logout_data)

Integration mit DevOps-Tools

Für fortgeschrittene Automatisierung unterstützt FortiManager die Integration mit DevOps-Tools:

• Ansible: Für Infrastructure-as-Code-Management
• Terraform: Für deklarative Infrastrukturverwaltung
• Jenkins: Für automatisierte Deployment-Pipelines
• GitLab/GitHub: Für Version Control und CI/CD

Diese Integrationen adressieren den Pain Point der Lücke zwischen Security- und DevOps-Teams, der in vielen Organisationen zu Verzögerungen führt.

9. Hochverfügbarkeit und Skalierbarkeit

Für kritische Umgebungen ist die Hochverfügbarkeit des Management-Systems ebenso wichtig wie die der verwalteten Firewalls.

HA-Konfiguration für Management-Systeme

FortiManager und FortiAnalyzer unterstützen verschiedene HA-Modi:

• High Availability: Aktiv/Passiv-Konfiguration für Ausfallsicherheit
• Clustering: Aktiv/Aktiv-Konfiguration für Load-Balancing (FortiAnalyzer)
• Geografische Redundanz: Verteilte Systeme an verschiedenen Standorten

Ein grundlegendes HA-Setup für FortiManager könnte so aussehen:

# FortiManager HA-Konfiguration
config system ha
    set mode a-p
    set group-id 1
    set password "secure-ha-password"
    config peer
        edit 1
            set ip 192.168.1.100
            set serial-number "FMG-VM1234567890"
        next
    end
end

Skalierungsstrategien

Für wachsende Umgebungen sind verschiedene Skalierungsstrategien verfügbar:

• Vertikale Skalierung: Leistungsfähigere Hardware oder VM-Ressourcen
• Horizontale Skalierung: Hinzufügen weiterer Collector-Knoten (FortiAnalyzer)
• Hierarchisches Management: Mehrschichtiges FortiManager-Deployment für sehr große Umgebungen
• Selective Forwarding: Gezielte Weiterleitung von Logs basierend auf Wichtigkeit oder Typ

Diese Strategien adressieren den Pain Point der begrenzten Skalierbarkeit, der in wachsenden Umgebungen zu Performance-Problemen führen kann.

10. Best Practices für zentrales Management

Basierend auf unserer Erfahrung mit zahlreichen FortiGate-Implementierungen empfehlen wir folgende Best Practices für das zentrale Management:

Organisatorische Best Practices

1. Klare Governance-Struktur: Definieren Sie Rollen, Verantwortlichkeiten und Prozesse für das Sicherheitsmanagement
2. Standardisierte Verfahren: Entwickeln Sie Standardverfahren für häufige Änderungen und Aufgaben
3. Change Management: Implementieren Sie einen strukturierten Prozess für Konfigurationsänderungen
4. Dokumentation: Halten Sie Konfigurationen, Architekturen und Prozesse aktuell dokumentiert
5. Training: Stellen Sie sicher, dass Administratoren angemessen geschult sind

Technische Best Practices

1. Konsistente Namenskonventionen: Verwenden Sie einheitliche Benennungsschemas für Objekte und Policies
2. Vorlagenbasiertes Management: Nutzen Sie Templates für wiederkehrende Konfigurationen
3. Regelmäßige Backups: Sichern Sie Konfigurationen und Management-Systeme regelmäßig
4. Proaktives Monitoring: Überwachen Sie die Leistung und Kapazität der Management-Systeme
5. Regelmäßige Updates: Halten Sie Management-Systeme und verwaltete Geräte aktuell

Diese Best Practices adressieren den Pain Point der unzureichenden Prozesse und Standards, der in vielen Organisationen zu ineffizienter Verwaltung führt.

Performance-Optimierung

Für optimale Performance sollten Sie:

• Logging-Strategien optimieren: Nur relevante Logs an zentrale Systeme senden
• Retention-Policies definieren: Aufbewahrungsfristen basierend auf Anforderungen festlegen
• Hardware dimensionieren: Management-Systeme entsprechend der Umgebungsgröße planen
• Indizes und Summarization nutzen: FortiAnalyzer-Logs für schnellere Abfragen optimieren
• Regelmäßige Wartung durchführen: Log-Datenbanken regelmäßig bereinigen

Fazit: Mehrwert durch zentrales Management

Ein zentrales Management von FortiGate-Firewalls bietet zahlreiche Vorteile gegenüber dezentralen Ansätzen:

• Erhöhte Effizienz: Reduzierter Verwaltungsaufwand durch zentrale Konfiguration
• Verbesserte Sicherheit: Konsistente Durchsetzung von Sicherheitsrichtlinien
• Umfassende Sichtbarkeit: Ganzheitliche Übersicht über Sicherheitsereignisse
• Schnellere Reaktion: Zentralisierte Erkennung und Reaktion auf Bedrohungen
• Vereinfachte Compliance: Automatisierte Berichterstellung für Compliance-Anforderungen

Die Kombination aus FortiManager, FortiAnalyzer und weiteren Fortinet-Security-Fabric-Komponenten ermöglicht einen ganzheitlichen Ansatz für das Management und Monitoring Ihrer Sicherheitsinfrastruktur.

Für eine erfolgreiche Implementierung empfehlen wir:

1. Eine sorgfältige Planung der Management-Architektur basierend auf Ihren spezifischen Anforderungen
2. Die schrittweise Einführung von Management-Funktionen, beginnend mit den grundlegenden Aspekten
3. Eine kontinuierliche Optimierung der Prozesse und Konfigurationen basierend auf operativen Erfahrungen

Mit einem gut implementierten zentralen Management können Sie die Vorteile Ihrer FortiGate-Infrastruktur voll ausschöpfen und gleichzeitig den Verwaltungsaufwand reduzieren.

Weitere Informationen zu FortiGate-Funktionen finden Sie in unserem Artikel FortiGate im Überblick: Funktionen & Vorteile oder bei Fragen zur optimalen Konfiguration in Installation & Grundkonfiguration einer FortiGate.