Descripción:
El alcance de este artículo es brindar orientación sobre cómo abordar los elementos que se ven comúnmente en un informe de auditoría de seguridad (resultado del análisis VAPT)
Alcance
FortiWeb v7.0 y anteriores
Solución
Cookies: indicador de SameSite no utilizado
- para cookies internas esto se puede habilitar a través de CLI
config server-policy policy edit <policy name> set internal-cookie-samesite enable internal-cookie-samesite-value {strict | lax | none} end
Cookies: bandera segura no utilizada
- para cookies externas (es decir, provenientes del servidor back-end), este indicador se puede agregar a través de Protección web > Seguridad de cookies
https://docs.fortinet.com/document/FortiWeb/7.0.0/administration-guide/2851/cookie-security
- para cookies internas esto se puede habilitar a través de CLI
config server-policy policy edit <policy name> set internal-cookie-secure enable end
Encabezado: falta la seguridad de transporte estricta de HTTP
- puede agregar este encabezado a través de Política > Política del servidor > <nombre de la política>; Configuración avanzada de SSL > Inserción de encabezado HTTPS > Agregar encabezado HSTS
Encabezado: falta la política de seguridad de contenido
Encabezado: falta la política de referencia
Encabezado: faltan las opciones de tipo de contenido X
Encabezado: falta la protección X-XSS
- puede agregar estos encabezados a través de Protección web > Protección avanzada > Seguridad de encabezado HTTP
https://docs.fortinet.com/document/FortiWeb/7.0.0/administration-guide/906820/http-security-headers
Encabezado: Versión del servidor web expuesta
Encabezado: X-AspNet-Version Exposed
- estos encabezados se pueden enmascarar con las firmas de divulgación de información 080200001 y 080200005
Método de OPCIONES HTTP Habilitado
- puede deshabilitar métodos no deseados a través de Protección web > Acceso > Permitir método; aquí habilite los métodos que desea permitir, el resto se bloqueará
TLS/SSL Server Is Using Commonly Used Prime Numbers
- solution is to set DH parameters size to 2048 or higher, this can be done through CLI
config system global set dh-params 2048 endhttps://docs.fortinet.com/document/FortiWeb/7.0.0/cli-reference/170774/system-global#dh-params
- solution is to set DH parameters size to 2048 or higher, this can be done through CLI
¿Te ha resultado útil??
0 / 0
Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.
¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!