アカウント名:
パスワード:
ランサムにやられた系のニュースの99割がFortiGateの脆弱性突かれてんだけど何なの知らないところでVPN鯖市場を独占でもしてんの？
しかもやられたニュースの大半が「パッチを当てていなかった」だよね。いい加減これでやられる方がどうかと思ってくるわ。
＃ 弊社もFortiClient VPNとか使ってるからたぶんこれ。
ファームの自動更新機能無いのかな？デフォルトONで出荷すればいいのに。
そんな自動障害発生装置のついた機器なんか怖くて使えない。
更新時刻をずらして多重化すればいいじゃん。
Fortigate製品を知らない人なんですが、適当に検索した感じたと製品のHigh Availability構成を記事にしてくれてる人がいて、https://www.secuavail.com/kb/practical-post/fortigate-high-availability/ [secuavail.com]
HA構成はWeb情報では同機種同OSバージョンでないといけないとよく書かれるが、公式ドキュメントにはそんなこと別に書かれていないみたいなことが書いてあって、OSバージョン多重化のために製品のHA構成を利用していいのかどうか迷うな。
そりゃ同一機種同一バージョンにするのは「暗黙の了解なので、書かんでもわかるやろ」ってやつ。なお、基本的にハードウェアアプライアンスのHA構成は同一機種/異バージョンは"ある程度"考慮されている。(x.y.zのyまでは一緒であればOKとか、xやyが変わる時もzが特定のバージョン以上であればOK 等、じゃないとローリングアップデートができない)件のサイトは異機種/同一バージョンなのでサイトにも書いてあるが、ハードウェア構成の違いから予期しない不具合が発生しやすいので、実質使えない。(異機種/異バージョンなんか言わずもがな)どうしてもやりたければバーチャルアプライアンスにして、その下のハイパーバイザレイヤで異機種HAにするのが一般的かと。それでもハイパーバイザのバージョンは合わせる必要があるけど。
オープンなプロトコルで構成すれば、そんな必要ないだろ
オープンなプロトコル、クローズドな実装なのがネットワーク機器業界でして。オープンなプロトコルでも、メーカーの解釈の違いや元からある機能の流用とかするから、異メーカーや異機種、異バージョンだと単なる博打になる。で、商売だとそんな博打打てないのよ。
自分が遭遇した具体例だと、IPSec VPNのトンネルとか、鍵交換の時間とかのパラメータ違い(しかも調整不可)みたいなので、直後は繋がるのに数時間後に切れるみたいな不具合とかね。ファームのバージョンアップで互換性が無くなったりするとかも稀に起きる。
結局ベンダとか機種の世代とか色々揃える羽目に。
ランサムウェアを食らうのと天秤にかけて、そっちを選ぶのか？経営判断がおかし過ぎる。
Windowsディスってんの?# 同感。
どっちかというとディスってるのはchromeじゃない。攻撃防げない奴は「怖くて使えない」なんて言う資格ないけどね。社会の迷惑でしかない。自動更新するか機器そのものを使わないの二択だよ。
なら、そもそも顧客にサービスを提供しない一択だな。廃業廃業！
ver7.2からできます（まあつい最近のファームバージョンってことです）。デフォルト無効だし、お察しくださいませ。https://docs.fortinet.com/document/fortigate/7.2.0/new-features/369092... [fortinet.com]
パッチを当ててないにしても、そんな容易に突破可能な脆弱性があるんだろうか・・NVDとかを調べてもそんなに致命的なものは無さそうだし、いったいなぜ・・・
All-in-oneの機器で、機能がてんこ盛り。ゆえに、少しでも更新を怠ると、セキュリティーホールもてんこ盛り。
マジこれ。UTMとしてのIPS以外にルータ機能、普通のFW機能、VPN機能(IPSec/SSL/拠点間トンネル可)、SD-WAN、無線APコントローラー(場合によっては無線LAN AP自体内蔵)、二要素認証トークン管理機能、spamフィルタetc...と色々てんこ盛り。中小拠点ならこれ1台で全部済むから便利だけど、その分気を付けないとヤバイし、古くても表面化しにくい。。
確か、下位の40F位は中身はAtom(今はArmの何かかもしれない)+SSDなPCにLinux入れて、パケット処理用にASICかFPGAを組み合わせたような構成だったような。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
人生の大半の問題はスルー力で解決する -- スルー力研究専門家
ランサム=FortiGate (スコア:0)
ランサムにやられた系のニュースの99割がFortiGateの脆弱性突かれてんだけど何なの
知らないところでVPN鯖市場を独占でもしてんの？
Re:ランサム=FortiGate (スコア:1)
しかもやられたニュースの大半が「パッチを当てていなかった」だよね。
いい加減これでやられる方がどうかと思ってくるわ。
＃ 弊社もFortiClient VPNとか使ってるからたぶんこれ。
Re: (スコア:0)
ファームの自動更新機能無いのかな？
デフォルトONで出荷すればいいのに。
Re:ランサム=FortiGate (スコア:1)
そんな自動障害発生装置のついた機器なんか怖くて使えない。
Re: (スコア:0)
更新時刻をずらして多重化すればいいじゃん。
Re:ランサム=FortiGate (スコア:1)
Fortigate製品を知らない人なんですが、適当に検索した感じたと製品のHigh Availability構成を記事にしてくれてる人がいて、
https://www.secuavail.com/kb/practical-post/fortigate-high-availability/ [secuavail.com]
HA構成はWeb情報では同機種同OSバージョンでないといけないとよく書かれるが、公式ドキュメントにはそんなこと別に書かれていない
みたいなことが書いてあって、OSバージョン多重化のために製品のHA構成を利用していいのかどうか迷うな。
Re: (スコア:0)
そりゃ同一機種同一バージョンにするのは「暗黙の了解なので、書かんでもわかるやろ」ってやつ。
なお、基本的にハードウェアアプライアンスのHA構成は同一機種/異バージョンは"ある程度"考慮されている。(x.y.zのyまでは一緒であればOKとか、xやyが変わる時もzが特定のバージョン以上であればOK 等、じゃないとローリングアップデートができない)
件のサイトは異機種/同一バージョンなのでサイトにも書いてあるが、ハードウェア構成の違いから予期しない不具合が発生しやすいので、実質使えない。(異機種/異バージョンなんか言わずもがな)
どうしてもやりたければバーチャルアプライアンスにして、その下のハイパーバイザレイヤで異機種HAにするのが一般的かと。それでもハイパーバイザのバージョンは合わせる必要があるけど。
Re: (スコア:0)
オープンなプロトコルで構成すれば、そんな必要ないだろ
Re:ランサム=FortiGate (スコア:1)
オープンなプロトコル、クローズドな実装なのがネットワーク機器業界でして。
オープンなプロトコルでも、メーカーの解釈の違いや元からある機能の流用とかするから、
異メーカーや異機種、異バージョンだと単なる博打になる。で、商売だとそんな博打打てないのよ。
Re: (スコア:0)
自分が遭遇した具体例だと、IPSec VPNのトンネルとか、鍵交換の時間とかのパラメータ違い(しかも調整不可)みたいなので、直後は繋がるのに数時間後に切れるみたいな不具合とかね。
ファームのバージョンアップで互換性が無くなったりするとかも稀に起きる。
結局ベンダとか機種の世代とか色々揃える羽目に。
Re: (スコア:0)
ランサムウェアを食らうのと天秤にかけて、そっちを選ぶのか？
経営判断がおかし過ぎる。
Re: (スコア:0)
Windowsディスってんの?
# 同感。
Re: (スコア:0)
どっちかというとディスってるのはchromeじゃない。
攻撃防げない奴は「怖くて使えない」なんて言う資格ないけどね。社会の迷惑でしかない。
自動更新するか機器そのものを使わないの二択だよ。
Re: (スコア:0)
なら、そもそも顧客にサービスを提供しない一択だな。廃業廃業！
Re: (スコア:0)
ver7.2からできます（まあつい最近のファームバージョンってことです）。
デフォルト無効だし、お察しくださいませ。
https://docs.fortinet.com/document/fortigate/7.2.0/new-features/369092... [fortinet.com]
Re: (スコア:0)
パッチを当ててないにしても、そんな容易に突破可能な脆弱性があるんだろうか・・
NVDとかを調べてもそんなに致命的なものは無さそうだし、いったいなぜ・・・
Re: (スコア:0)
All-in-oneの機器で、機能がてんこ盛り。
ゆえに、少しでも更新を怠ると、セキュリティーホールもてんこ盛り。
Re:ランサム=FortiGate (スコア:1)
マジこれ。
UTMとしてのIPS以外にルータ機能、普通のFW機能、VPN機能(IPSec/SSL/拠点間トンネル可)、SD-WAN、無線APコントローラー(場合によっては無線LAN AP自体内蔵)、二要素認証トークン管理機能、spamフィルタetc...と色々てんこ盛り。
中小拠点ならこれ1台で全部済むから便利だけど、その分気を付けないとヤバイし、古くても表面化しにくい。。
確か、下位の40F位は中身はAtom(今はArmの何かかもしれない)+SSDなPCにLinux入れて、
パケット処理用にASICかFPGAを組み合わせたような構成だったような。