Cómo solucionar la creación de una firma personalizada en FortiGate WAF (Firewall de Aplicaciones Web)

Este artículo aborda cómo crear una firma personalizada para el WAF (Web Application Firewall) de FortiGate. La capacidad de establecer firmas personalizadas es crucial para controlar el acceso a ciertas URL y mejorar la seguridad de las aplicaciones web. Este documento proporcionará una guía paso a paso para llevar a cabo esta configuración, asegurando que puedas gestionar adecuadamente los falsos positivos y mejorar la protección de tus aplicaciones.

Descripción del problema

Las firmas del WAF son cruciales para proteger las aplicaciones web de amenazas comunes. Sin embargo, puede haber ocasiones en las que los sistemas generen falsos positivos, bloqueando accesos que en realidad deberían ser permitidos. La creación de firmas personalizadas te permitirá definir reglas específicas para gestionar estas situaciones.

Alcance

Este artículo es relevante para usuarios de FortiGate que utilizan la funcionalidad de Web Application Firewall. La creación de firmas personalizadas es una técnica avanzada que permite un control más granular sobre el tráfico web que atraviesa el dispositivo FortiGate.

Diagnóstico paso a paso

Para crear una firma personalizada, primero necesitas habilitar la funcionalidad del WAF. Para ello, sigue estos pasos:

1. Accede a la interfaz de usuario de FortiGate.
2. Navega a System -> Feature Visibility -> Security Features -> Web Application Firewall y habilita la función.
3. Una vez activada, podrás configurar las firmas personalizadas que desees.

Solución recomendada

La configuración de la firma personalizada requiere el uso de la línea de comandos (CLI) de FortiGate. Aquí te mostramos un ejemplo básico para crear una firma que permita una URL específica.

config custom-signature
    edit <nombre>
        set status [enable|disable]
        set action [allow|block]
        set log [enable|disable]
        set severity [high|medium|...]
        set direction [request|response]
        set case-sensitivity [disable|enable]
        set pattern {cadena}
        set target {opcion1}, {opcion2}, ...    
    next
end

Nota: Las firmas personalizadas solo pueden crearse mediante la CLI, y no se pueden utilizar expresiones regulares para el valor de {cadena} en el comando set pattern.

Ejemplo de firma personalizada

Si deseas permitir el acceso a una URL específica como ‘community.fortinet.com’, puedes usar el siguiente ejemplo:

config custom-signature
    edit allow_fortinet
        set status enable
        set action allow
        set log enable
        set severity medium
        set direction request
        set case-sensitivity disable
        set pattern community.fortinet.com
    next
end

Las líneas clave aquí son:

• set direction request
• set pattern community.fortinet.com
• set target req-header

Esta firma solo coincidirá con la parte de la dirección URL especificada.

Configuración para bloquear un sub-path

Si deseas bloquear el acceso a ‘FortiSIEM Community’, que es un sub-path en la URL https://community.fortinet.com/t5/FortiSIEM/gh-p/fortisiem, puedes usar el siguiente ejemplo:

config custom-signature 
    edit block_fortinet_fortiseim
        set status enable
        set action block
        set log enable
        set severity medium
        set direction request
        set case-sensitivity disable
        set pattern "t5/FortiSIEM/*"
        set target req-uri
    next
end

Las líneas más importantes aquí son:

• set direction request
• set pattern "t5/FortiSIEM/*"
• set target req-uri

Habilitar el registro a nivel de firma te ayudará a verificar si las firmas personalizadas están coincidiendo con el tráfico adecuado.

Comandos CLI utilizados

A continuación, se listan los comandos CLI utilizados anteriormente en el artículo:

• config custom-signature
• edit [nombre]
• set status [enable|disable]
• set action [allow|block]
• set log [enable|disable]
• set severity [high|medium|...]
• set direction [request|response]
• set case-sensitivity [disable|enable]
• set pattern {cadena}
• set target {opcion1}, {opcion2}, ...
• next
• end

Buenas prácticas y recomendaciones

Al crear firmas personalizadas, ten en cuenta las siguientes recomendaciones:

• Realiza pruebas exhaustivas para asegurar que las firmas funcionan como se espera.
• Monitorea el tráfico para detectar patrones inesperados o falsos positivos.
• Documenta todas las configuraciones personalizadas para futuras referencias.

Notas adicionales

Asegúrate de tener en cuenta las actualizaciones del sistema operativo de FortiGate, ya que pueden afectar la funcionalidad del WAF y la creación de firmas personalizadas. Mantente informado sobre las mejores prácticas de seguridad y las nuevas configuraciones disponibles.