「名古屋港のシステム停止、VPNの脆弱性を突かれたか」記事へのコメント

ランサム=FortiGate

[Anonymous Coward]

ランサムにやられた系のニュースの99割がFortiGateの脆弱性突かれてんだけど何なの
知らないところでVPN鯖市場を独占でもしてんの？

Re:

[Anonymous Coward]

しかもやられたニュースの大半が「パッチを当てていなかった」だよね。
いい加減これでやられる方がどうかと思ってくるわ。

＃ 弊社もFortiClient VPNとか使ってるからたぶんこれ。

Re:

[Anonymous Coward]

ファームの自動更新機能無いのかな？
デフォルトONで出荷すればいいのに。

Re:

[Anonymous Coward]

そんな自動障害発生装置のついた機器なんか怖くて使えない。

Re:

[Anonymous Coward]

更新時刻をずらして多重化すればいいじゃん。

Re:

[Anonymous Coward]

Fortigate製品を知らない人なんですが、適当に検索した感じたと製品のHigh Availability構成を記事にしてくれてる人がいて、
https://www.secuavail.com/kb/practical-post/fortigate-high-availability/ [secuavail.com]

HA構成はWeb情報では同機種同OSバージョンでないといけないとよく書かれるが、公式ドキュメントにはそんなこと別に書かれていない
みたいなことが書いてあって、OSバージョン多重化のために製品のHA構成を利用していいのかどうか迷うな。

Re:

[Anonymous Coward]

そりゃ同一機種同一バージョンにするのは「暗黙の了解なので、書かんでもわかるやろ」ってやつ。
なお、基本的にハードウェアアプライアンスのHA構成は同一機種/異バージョンは"ある程度"考慮されている。(x.y.zのyまでは一緒であればOKとか、xやyが変わる時もzが特定のバージョン以上であればOK 等、じゃないとローリングアップデートができない)
件のサイトは異機種/同一バージョンなのでサイトにも書いてあるが、ハードウェア構成の違いから予期しない不具合が発生しやすいので、実質使えない。(異機種/異バージョンなんか言わずもがな)
どうしてもやりたければバーチャルアプライアンスにして、その下のハイパーバイザレイヤで異機種HAにするのが一般的かと。それでもハイパーバイザのバージョンは合わせる必要があるけど。

Re:

[Anonymous Coward]

オープンなプロトコルで構成すれば、そんな必要ないだろ

Re:

[Anonymous Coward]

オープンなプロトコル、クローズドな実装なのがネットワーク機器業界でして。
オープンなプロトコルでも、メーカーの解釈の違いや元からある機能の流用とかするから、
異メーカーや異機種、異バージョンだと単なる博打になる。で、商売だとそんな博打打てないのよ。

Re:ランサム=FortiGate

[Anonymous Coward]

自分が遭遇した具体例だと、IPSec VPNのトンネルとか、鍵交換の時間とかのパラメータ違い(しかも調整不可)みたいなので、直後は繋がるのに数時間後に切れるみたいな不具合とかね。
ファームのバージョンアップで互換性が無くなったりするとかも稀に起きる。

結局ベンダとか機種の世代とか色々揃える羽目に。