Cómo solucionar el bloqueo de extensiones de archivos .BAK utilizando un perfil DLP en Fortinet

Este artículo aborda la configuración de una regla de Prevención de Pérdida de Datos (DLP) para bloquear archivos con extensión .BAK. Este problema es relevante porque los archivos .BAK pueden contener información sensible y es esencial prevenir su transferencia no autorizada en entornos de red. A lo largo de este artículo, proporcionaremos un paso a paso detallado sobre cómo implementar esta configuración en dispositivos FortiGate, asegurando un nivel óptimo de seguridad en la gestión de datos.

Descripción del problema

Los archivos con extensión .BAK son copias de seguridad y pueden contener información crítica. La falta de control sobre su transferencia puede resultar en filtraciones de datos y comprometer la integridad de la información en una organización. Por ello, la instalación de reglas de DLP es crucial para mitigar este riesgo.

Alcance

Este artículo es aplicable a las versiones FortiGate v7.2.x y FortiGate v7.4.x, y está diseñado para ayudar a los administradores en la configuración adecuada de DLP para tipos específicos de archivos.

Diagnóstico paso a paso

A continuación, se detallan los pasos necesarios para bloquear archivos .BAK mediante la configuración de un perfil DLP en FortiGate.

Configuración a través de la CLI

Abra la consola CLI de FortiGate. Para obtener información sobre cómo acceder, consulte este artículo.

1. Crear un patrón de archivo DLP:

Los patrones de archivo DLP permiten seleccionar tipos específicos de archivos y patrones de nombres de archivo. Dado que los archivos ‘.bak’ pueden tener múltiples tipos de archivo legítimos, se recomienda bloquearlos basándose en el nombre del archivo.

Asegúrese de que no haya otras reglas de patrones de archivo con el número 10. Si existe una, utilice un número diferente.

config dlp filepattern
edit 10
set name "bak"
config entries
edit "*.bak"
next
end
next
end

Los nombres de archivo se verificarán contra la entrada de patrón de archivo ‘*.bak’.

2. Crear un perfil DLP:

conf dlp profile
edit "DLP_BAK"
config rule
edit 1
set proto http-get http-post
set file-type 10
set action block
next
end
next
end

El perfil DLP anteriormente descrito escanea las solicitudes HTTP/HTTPS GET y POST. Si es necesario, se pueden escanear otros protocolos de transferencia de archivos. Para escanear tráfico SMB encriptado, el protocolo CIFS debe incluirse como ‘proto’ y configurar las credenciales CIFS correspondientes. Consulte .

3. Crear una política de firewall con inspección proxy, habilitar el perfil DLP y configurar la inspección profunda dentro del perfil SSL.

Asegúrese de que la política de firewall esté configurada de acuerdo con la topología de red.

config firewall policy
edit 100
set name "DLP_policy"
set srcintf "port2"
set dstintf "virtual-wan-link"
set action accept
set srcaddr "all"
set dstaddr "all"
set schedule "always"
set service "ALL"
set utm-status enable
set inspection-mode proxy
set ssl-ssh-profile "deep-inspection"
set dlp-profile "DLP_BAK"
set nat enable
next
end

Con esta configuración, los archivos .BAK podrán ser bloqueados por el perfil DLP.

Solución recomendada

Para visualizar los perfiles de Prevención de Pérdida de Datos en la GUI, habilite ‘Prevención de Pérdida de Datos’ en Sistema > Visibilidad de Funciones.

Después de habilitar, los Perfiles DLP pueden revisarse en la interfaz gráfica de usuario (GUI).

Comandos CLI utilizados

Los comandos CLI mostrados anteriormente permiten configurar de manera efectiva tanto los patrones de archivo DLP como las políticas de firewall necesarias para proteger la red contra la transferencia de archivos .BAK. Es fundamental seguir cada paso con atención para asegurar la correcta implementación.

Buenas prácticas y recomendaciones

• Revise periódicamente las configuraciones de DLP para adaptarse a nuevas amenazas y necesidades de la organización.
• Documente cada cambio realizado en las configuraciones para una mejor gestión del sistema.
• Pruebe las configuraciones en un entorno controlado antes de implementarlas en producción.

Notas adicionales

La página de DLP también es accesible añadiendo ‘/utm/dlp‘ a la URL o dirección IP utilizada para acceder a FortiGate, por ejemplo: ‘https://x.x.x.x/utm/dlp‘.