FortiIsolator

Descripción

FortiIsolator es una solución de seguridad para la navegación web, basada en el

aislamiento, funciona de forma similar a un SandBox. Mientras que para la
protección de ficheros utilizamos un Sandbox que levanta una máquina virtual
de forma aislada para verificar su comportamiento, FortiIsolator es un appliance
(físico o virtual) que levanta contenedores donde accede a la URL original,
construye la página web en base a todo el código HTML y envía al usuario
únicamente un página renderizada sin contenido activo

Si analizamos el código que recibe un navegador al acceder a la web principal de Google, veríamos lo
siguiente

Mientras que si navegamos a la misma web a través de un FortiIsolator, podemos observar que el
navegador no recibe código activo de la web original
Como hemos podido observar, FortiIsolator protege de todo código activo (scripts, applets, etc) a todos
los navegadores de todos nuestros clientes, de esta forma nos aseguramos que el end-point no pueda
verse infectado de ninguna forma mediante HTML

FortiIsolator trabaja como si de un proxy de seguridad avanzada se tratara, por cada ventana de
navegador que abrimos en nuestro end-point, FortiIsolator genera un nuevo contenedor que será
destruido cuando cerremos la ventana del navegador

Arquitectura
FortiIsolator puede desplegarse de forma directa como un proxy, integrarse con FortiProxy, FortiGate y
con FortiMail para proteger las URLs embebidas en los correos, además permite enviar los ficheros que
manejamos a través de la web a FortiSandbox para su análisis.

FortiIsolator permite habilitar el campo X-Forward en la cabecera HTTP/S para mantener la información
del cliente

Para poder formar un clúster, de hasta 255 nodos, no es necesario que el hardware/VM coincida pero sí
es necesario que tengan el mismo firmware. Todos los appliances disponen de 4 interfaces

- Interface interno (de cara al usuario)

- Interface externo (de cara a Internet)
- Interface de gestión
- Interface de HA
Modos de Operación
El modo de operación más simple es desplegar el FortiIsolator como un proxy configurado manualmente
en el navegador del usuario (o con un fichero .pac)

Mediante FortiGate podríamos utilizar el protocolo ICAP para reenviar las conexiones web a FortiIsolator
o incluso mediante la característica de anidamiento proxy disponible en FortiGate

Otra posibilidad es navegar bajo demanda a través de FortiIsolator, esto se realiza anteponiendo a
nuestra URL en el navegador https://”FIS”/isolator/”URL”

Según el informe “Verizon Data Breach Report”, los principales vectores de ataque para una
organización son el correo electrónico en un 92,3% y la Web en un 6,3%. Es por este motivo que para
alcanzar la máxima protección, Fortinet Security Fabric integra FortiMail con FortiIsolator y FortiSandox
de la siguiente forma

- Cuando recibimos un correo electrónico, FortiMail nos filtra todas las amenazas que pueden
existir en el dicho correo (antispam, antiphishing, eliminación de macros en documentos, etc),
aunque también es capaz de enviar las URLs a un FortiSandbox para su análisis, resulta que
dicha web puede ser un portal limpio con multitud de enlaces a otras páginas de las cuales
alguna podría ser maliciosa, es en este punto donde FortiMail podría modificar las URLs
contenidas en el correo para forzar que el usuario navegue a esas páginas a través de
FortiIsolator
- Una vez que el usuario está accediendo a las webs a través de FortiIsolator, se crea un
contenedor nuevo y limpio para esa “sesión” (realmente ventana del navegador), ese
contenedor accede a Internet en nombre del usuario (permite habilitar X-Forwarding), renderiza
(reconstruye) la página y le envía al usuario esa visualización pero sin ningún tipo de código
contenido en el HTML. Como complemento, FortiIsolator puede denegar el trasiego de ficheros
o delegar esa seguridad en un FortiSandbox

Si deseamos mejorar el rendimiento del escenario anterior, podríamos incluir FortiProxy a medio camino
entre el usuario y el FortiIsolator u otras combinaciones dependiendo de los productos que tengamos
Características
La lógica del equipo se compone de los siguientes componentes

- Usuarios (locales o remotos)

- Políticas
o Perfil Web (URL Filtering)
o Perfil Isolator (características de seguridad)
o Perfil ICAP (protocolo de integración con otros dispositivos)

FortiIsolator trabaja con autenticación de usuarios, estos usuarios pueden ser locales o residir en un
directorio activo. Dispone distintos perfiles de seguridad y, mediante las políticas, se asocian los distintos
perfiles a los usuarios

Perfil de navegación

- Max download/upload size. Tamaño máximo permitido por fichero tanto en subida como en
descarga
- Limit of view only. Esto evita que el usuario interactúe con la web, por ejemplo, obtener el
menú contextual
- Image quality. Este parámetro nos permite optimizar el ancho de banda utilizado
- Video frame rate. Regula el ancho de banda utilizado por los vídeos
- Scroll speed. Permite controlar la velocidad de desplazamiento de la rueda del ratón a los
usuarios finales mientras navegan
- Use doc-rewrite when scanning file. Permitir la reescritura de documentos durante el análisis
de archivos de modo que los vínculos incrustados en el archivo se representen inactivos
- Scan files for malware. Analiza los ficheros tanto de download como de upload, si se detecta un
malware o virus, se enviará un pop-up al usuario para informar de que se ha detectado un virus
en el archivo
- To Block File Types from Download/Upload. Permitir o denegar el tránsito de ficheros

Perfil de filtrado Web

FortiIsolator admite el filtrado web, lo que permite al administrador controlar qué páginas web
pueden ver los usuarios finales. Puede bloquear direcciones URL o sitios web específicos, lo que
impide que el explorador del usuario final cargue páginas web desde estos sitios
Extras
Como valor añadido, FortiIsolator también nos permite realizar las siguientes actividades

- Permite bloquear el movimiento de ficheros en base a su tipo (zip, pdf, exe, etc)
- Permite copiar imágenes del navegador al portapapeles
- Permite que FortiProxy incluya, en la cabecera de la solicitud, el perfil de FortiIsolator que
deseamos aplicar
- Permite a los usuarios utilizar certificados SSL autofirmados para servidores o sitios web
específicos

Licenciamiento
Si optamos por el formato appliance, dispondremos de un máximo de 250 sesiones web concurrentes

En las VM, se licencian la sesiones web concurrentes en bloques de 20 hasta 1.000