Siber GüvenlikÖnemli GelişmeIT Mühendisliği Perspektifi

Fortinet FortiOS 7.6.2 & 7.4.6 Güvenlik Güncellemesi: SSL-VPN yerine FIDO2 Passkey ile ZTNA ve FortiOS CLI Karantina Rehberi

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

25 Eylül 20266 dk OkumaKaynak: Fortinet PSIRT & FortiGuard Labs

Siber Güvenlik — 1:1 Kurumsal Konsol & İlke Görünümü (Fortinet PSIRT & FortiGuard Labs)

HA Synced (Master/Slave)FG-200F-Primary

FortiGate Menu

▼ System / HA

▼ Network / BGP

▶ Policy & Objects

▶ VPN (IPsec / SSL)

HA Cluster Status: Active-PassiveHeartbeat: port11, port12 (OK)

1. FG-200F-Master (Priority: 200)SN: FG200FTK24001928 • CPU: 8%

2. FG-200F-Slave (Priority: 100)SN: FG200FTK24001929 • Standby Sync: 100%

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

FortiOS SSL-VPN bileşenlerini hedef alan saldırılara karşı SSL-VPN'in tamamen kapatılması önerildi.

FortiOS 7.6 CLI ile ZTNA TCP Forwarding Proxy ve Entra ID FIDO2 Passkey yapılandırma komutları paylaşıldı.

FortiClient EMS duruş kontrolü (Posture Check) ile yalnızca uyumlu cihazlara erişim ilkesi örneklendi.

Fortinet PSIRT tarafından yayımlanan acil bülten sonrasında internete açık SSL-VPN servislerinin kapatılarak Zero Trust Network Access (ZTNA) TCP Forwarding Proxy ve Entra ID FIDO2 Passkey doğrulamasına taşınması adımları.

Ağ Güvenliği

Fortinet FortiOS SSL-VPN İzolasyonu ve FIDO2 ZTNA Geçişi

Fortinet Product Security Incident Response Team (PSIRT), internete açık çalışan FortiGate güvenlik duvarlarında SSL-VPN web portalı bileşenlerini hedef alan saldırı dalgalarına karşı kritik güncellemeler yayınladı. Sıfır güven (Zero Trust) mimarisine geçiş kapsamında, klasik SSL-VPN tünellerinin kapatılıp ZTNA TCP Forwarding Proxy ve Entra ID SAML FIDO2 Passkey mekanizmasına taşınması zorunlu hale gelmiştir.

FortiOS CLI ile SSL-VPN Servisini Devre Dışı Bırakma

Ağ yöneticileri cihazın internete açık WAN arayüzündeki SSL-VPN dinleyicisini doğrudan FortiOS CLI üzerinden kapatabilir:

BASH

1	# FortiGate CLI Konsoluna Bağlanın
2	config vpn ssl settings
3	set status disable
4	end
5
6	# WAN Arayüzündeki İlgili SSL-VPN Dinleme Portunu Kaldırın
7	config firewall policy
8	delete [Policy-ID-SSL-VPN]
9	end

FortiOS ZTNA TCP Forwarding Proxy ve SAML 2.0 Entegrasyonu

Aşağıdaki CLI bloğu, kurumsal RDP/SSH/Web sunucularına yalnızca FortiClient EMS ile duruş kontrolü (Posture Check) yapılmış ve Entra ID üzerinden FIDO2 Passkey ile doğrulanmış kullanıcılara erişim sağlar:

BASH

1	# 1. ZTNA Sanal IP (VIP) Tanımlaması
2	config firewall vip
3	edit "ZTNA_VIP_WAN"
4	set type access-proxy
5	set extip 195.175.200.50
6	set extintf "wan1"
7	set ssl-certificate "Wildcard_Corp_Cert"
8	next
9	end
10
11	# 2. ZTNA Access Proxy Kuralı ve SAML Yönlendirmesi
12	config firewall access-proxy
13	edit "ZTNA_CORP_PROXY"
14	set vip "ZTNA_VIP_WAN"
15	set client-cert disable
16	config api-gateway
17	edit 1
18	set url-map "/rdp-gw"
19	set service-type tcp-forwarding
20	set server-pool "CORP_RDP_SERVERS"
21	set saml-redirect enable
22	set saml-server "ENTRA_ID_SAML_FIDO2"
23	next
24	end
25	next
26	end
27
28	# 3. ZTNA Güvenlik İlkesi (FortiClient EMS Duruş Kontrolü Zorunlu)
29	config firewall proxy-policy
30	edit 10
31	set proxy-type access-proxy
32	set access-proxy "ZTNA_CORP_PROXY"
33	set srcintf "wan1"
34	set srcaddr "all"
35	set dstaddr "CORP_LAN_SERVERS"
36	set ztna-ems-tag "EMS_TAG_COMPLIANT_ANTIVIRUS_ON"
37	set action accept
38	set schedule "always"
39	set logtraffic all
40	next
41	end