Archive for the 'Boll' Category

Page 2 of 3

FortiGate Service ALL nach Firmware Upgrade verändert

Update: Fortinet hat das Problem erkannt und in einem Customer Support Bulletin beschrieben.

In FortiOS v5.0.8 and v5.0.9 and v5.2.0 through v5.2.2, the default value of the firewall service protocol number was changed from a value of 0 to 6.

The most commonly observed impact of this change is that after upgrading to the affected firmware, the “ALL” service matches only TCP traffic.

Executing a factory-reset on the FortiGate device does NOT change the default value to 6.

Affected Products:

All FortiGate models.

Resolution:

FortiOS v5.0.10 and v5.2.3 has fixed the issue.  Upon upgrading the FortiGate device, the firewall service protocol number is restored to 0.

Workaround:

Those wishing not to upgrade the firmware can modify the affected firewall services to explicitly set the protocol-number to 0.  For example:

config firewall service custom

edit „ALL“

set protocol-number 0

next

Das Bulletin ist hier zu finden: https://support.fortinet.com/Information/Bulletin.aspx (Login benötigt)

—————————————————————————————————————————-

Ursprünglicher Artikel:

Wir haben vermehrt festgestellt, dass nach nicht supporteten FortiOS Upgrades auf 5.2.2 der Service ALL nicht mehr ANY als Service beinhaltet, sondern nur noch IP/6, was dem TCP Protokoll entspricht. Damit gehen zum Beispiel ICMP oder auch UDP Pakete nicht mehr durch diese Firewall Policy, welche vor dem Upgrade alles durchgelassen hat.

ALL_Service

Bestätigen können wir dieses Problem aktuell für folgende Upgrades, welche von Fortinet aber nicht supported sind.

5.0.5 –> 5.2.2
5.0.6 –> 5.2.2
5.0.7 –> 5.2.2

Zusätzlich haben wir das Problem bei folgenden „supporteten“ Upgardes gesehen:

5.0.10 –> 5.2.2
5.0.11 –> 5.2.2

Als Lösung kann man im ALL Service die Protocol Number wieder auf 0 setzen.

ALL_Service_korrigiert

Offiziell supported ist der Upgrade ab 5.0.8 direkt auf 5.2.2. Bei den Upgrades von 5.0.8 und 5.0.9 haben wir das Problem bis jetzt nicht gesehen.

Trotz dieser Situation empfehlen wir im Normalfall, immer den supporteten Upgrade Pfad, wie in den Release Notes angegeben ist, zu befolgen. Für den Upgrade gibt es nebst den Release Notes auf ein eigenes Dokument für den unterstützten Upgrade.

Supported Upgrade Path für 5.2.2:
http://docs.fortinet.com/d/upgrade-paths-to-fortios-5.2.0

Für Neugeräte empfehlen wir, direkt den gewünschten Release per TFTP raufzuladen. Weiter ist auch möglich, per WebGUI direkt auf den gewünschten Release upzudaten ohne den Supported Upgrade Path zu beachten, dann aber die FortiGate per CLI  auf die Standardeinstellungen zurückzusetzen: exec factoryreset.

FortiClient Configuration Deployment

Mit den neueren FortiGate OS Releases ist es möglich, FortiClients via FortiClient Profile auf der FortiGate zu managen. So können etwa Webfilter Profile oder VPN Informationen an die FortiClients gepushed werden, sobald sich diese an der FortiGate registriert haben.

FortiClient_Default_Configuration

Es ist dank einer CLI Einstellung auch möglich, Teile oder die ganze Konfiguration im XML Format an den Client zu übermitteln. Continue reading ‚FortiClient Configuration Deployment‘

WatchGuard Feature: Hotspot Guest User Authentication

Mit der Fireware Version 11.9.4 wurde ein vielfach gewünschtes Feature, vor allem im Wireless Bereich, implementiert. Es handelt sich dabei um ein Guest Ticket System. Dabei kann ein Guest Administrator selber Zugangs-Tickets mit definierter Laufzeit, Businessinformationen und Logo selbständig erstellen und ausdrucken.

Dieses Hotspot Feature wird vor allem im Wireless Bereich gewünscht. Die Hotspot Seite kann aber unabhänig auf allen gewünschten Interfaces genutzt werden, so zum Beispiel auch auf einem verkabelten Gästenetz.

Vorgehen

Als erstes wird auf einem beliebigen Interface (physikalische Interfaces, VLANs, Wireless SSIDs) der Hotspot aktiviert (Policy Manager –> Setup –> Authentication –> Hotspot und die Option gewählt, dass sich Benutzer anmelden müssen.  Dabei kann gewählt werden, ob der Gast sich mit Username und Passwort oder nur mit Passwort anmelden muss.

WatchGuard_Feature_Hotspot_01

Continue reading ‚WatchGuard Feature: Hotspot Guest User Authentication‘

POODLE

Eine weitere Schwachstelle, die POODLE (Padding Oracle On Downgraded Legacy Encryption) Schwachstelle, zielt auf die etwas veraltete SSLv3 Implementation ab, welche aber meistens noch von Browsern, Mail Gateways etc. genutzt wird. Hier die Informationen unserer Hersteller.

Detaillierte Informationen:
http://blog.cryptographyengineering.com/2014/10/attack-of-week-poodle.html

POODLE client check:
https://www.poodletest.com

POODLE server check:
https://ssltest.com or http://poodlebleed.com/

Continue reading ‚POODLE‘

ShellShock – Welche unserer Hersteller sind betroffen?

Am 24. September ist eine neue Schwachstelle von bash bekannt geworden. „Neu“ ist dabei nur bedingt richtig – diese Schwachstelle existiert seit Jahrzehnten… Hier ein paar Links mit weiteren Infos.

Welche unserer Hersteller sind von dieser Schwachstelle betroffen.

Continue reading ‚ShellShock – Welche unserer Hersteller sind betroffen?‘

FortiAnalyzer Log Arrays – Wie ist das zu verstehen?

Wer sichlog-array schon mit dem FortiAnalyzer auseinander gesetzt hat, dem ist sicherlich aufgefallen, dass sich die Verteilung der vorhandenen LogDisk Ressourcen als schwieriger herausstellt als zunächst erwartet.

Zwar lassen sich Quotas pro Log Device setzen, jedoch ist es damit noch nicht getan. Es gibt noch die sogenannten „Log Arrays“, welche in diesem Artikel näher beschrieben sind.

Im folgenden Beispiel gibt es zwei FortiGates, welche Logs zum Analyzer senden (FGT1 und FGT2). Beiden Devices werden 10GB Disk Quota zugewiesen.

UPDATE: Seit dem Release des FAZ 5.0.7 sind die Log Array Quotas wieder komplett verschwunden!
Wir werden den Artikel mit neuen Infos versorgen, sobald uns der Support weitere Details bestätigt. Link dazu hier Klicken

Continue reading ‚FortiAnalyzer Log Arrays – Wie ist das zu verstehen?‘

BOLL Morning Session Expert – SDN Talk

Thomas Graf von der Firma redHat war zum zweiten Mal bei uns zu Gast und zwar mit seinem spannenden Vortrag über ein aktuell viel diskutiertes Thema – dem Software Defined Networking.

Daher hier unser Mitschnitt für alle, die aus irgend einem Grund nicht teilnehmen konnten … Viel Spass beim zuschauen!

Muss oder soll ein Unternehmen jedes E-Mail archivieren? Wie ist die Sachlage bei privaten Nachrichten?

E-Mail Archiving

Viele Schweizer Unternehmen lösen das Thema E-Mail-Archivierung höchst unzureichend und verfügen selten über rechtskonforme Lösungen. Vorschriften der Gesetze sind teilweise unklar und sorgen daher für zusätzliche Missverständnisse oder Verwirrung. Wir untersuchen hier 4 der häufigsten Aussagen und sagen unsere Meinung dazu:

1. “Jedes E-Mail muss archiviert werden”

Stimmt nicht! Nach Obligationenrecht (§962) müssen lediglich Geschäftsbücher, Buchungsbelege, sowie Geschäftskorrespondenz zehn Jahre lang aufbewahrt werden. Dies gilt entsprechend nicht für Spam. Solange als Spam gekennzeichnete E-Mails nicht angenommen werden, besteht keine Pflicht zu deren Verarbeitung. Unsere Antispam Lösungen von Fortinet und Watchguard blockieren Spam, bevor es Ihr Netzwerk, Ihren Email-Server oder gar Ihr E-Mail Archiv belastet.

2. “Alle E-Mails dürfen archiviert werden“

Falsch! Private E-Mails Ihrer Mitarbeiter unterliegen dem Datenschutz und dürfen nicht archiviert werden. Dies ist unserer Meinung nach denn auch der grösste Knackpunkt. Das Problem kann aber wie folgt umgangen werden:

  • Untersagung Privater E-Mail Nutzung. Je nach Unternehmung ist dies manchmal nicht durchsetzbar.
  • Trennung Privat und Geschäft. Sie erlauben Ihren Mitarbeitern die Nutzung von Freemailern wie Google, GMX, iCloud etc. Dies hat aber auch zum Nachteil, dass unter Umständen schädliche E-Mails in Ihr Unternehmen gelangen. Wir haben Lösungen im Portfolio welche Ihnen dabei helfen schädliche Inhalt zu finden und zu blockieren.
  • Nutzungsvereinbarung mit Mitarbeitern. Eine Vereinbarung sollte im Minimum Empfang, Archivierung, Löschung, sowie Einsichtsrechte des Arbeitgebers betreffend privater Korrespondenz regeln. Wichtig ist, dass dem Arbeitnehmer gegenüber Transparenz herrscht, welche Regeln für E-Mail Archivierung gelten. Auf eine solche Nutzungsvereinbarung kann beispielsweise im Arbeitsvertrag verwiesen werden.

Continue reading ‚Muss oder soll ein Unternehmen jedes E-Mail archivieren? Wie ist die Sachlage bei privaten Nachrichten?‘

OpenSSL Heartbleed Bug Informationen

Hier finden Sie Informationen zu der OpenSSL Schwachstelle und Herstellerinformationen.

„Offizielle“ Webseiten
http://heartbleed.com/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160

Testseiten
http://filippo.io/Heartbleed/
https://www.ssllabs.com

Betroffene OpenSSL Versionen
OpenSSL 1.0.1 through 1.0.1f (inclusive) are vulnerable
OpenSSL 1.0.1g is NOT vulnerable
OpenSSL 1.0.0 branch is NOT vulnerable
OpenSSL 0.9.8 branch is NOT vulnerable

WatchGuard

Betroffene Systeme, Versionen und Funktionen
Fireware XTM mit Version 11.8.X
Die Versionen 11.7.4 und kleiner sind nicht betroffen.

Mögliche Patches
11.8.3 Update 1

Nicht betroffene Systeme
WatchGuard Dimension
WatchGuard SSL Appliances
WatchGuard XCS
WatchGuard Management Server

Weitere Informationen
WatchguardSecurity Center: http://watchguardsecuritycenter.com/2014/04/09/11-8-3-update-1-now-available-to-fix-heartbleed-vulnerabilty-in-fireware-xtm-os/

Continue reading ‚OpenSSL Heartbleed Bug Informationen‘

FortiWifi 60D

Nach langem Warten auf die neue FortiGate 60D haben wir nun auch bereits vorab eine der ersten FortiWifi 60D im Land in unsere Hände bekommen.

Hier ein kleiner Überblick darüber, was sich neues in der kleinen Schachtel verbirgt.

OF3C5301

FWF60D_back

Continue reading ‚FortiWifi 60D‘