Cómo hacer un Pentest usando políticas FortiGate correctamente configuradas

Nota importante: este artículo asume que el pentest se realiza con autorización expresa (Reglas de Compromiso / Rules of Engagement) y con fines defensivos. No incluye instrucciones para explotar ni eludir controles de seguridad; en lugar de ello ofrece metodología, comprobaciones técnicas y buenas prácticas para validar que las políticas FortiGate protegen correctamente la infraestructura.

Resumen ejecutivo (para SEO y lectores rápidos)

Realizar un pentest FortiGate efectivo requiere combinar metodología profesional de pruebas de penetración con auditoría específica de funcionalidades Fortinet: políticas de firewall, inspección SSL, IPS, control de aplicaciones, VPNs y la integración con FortiAnalyzer/FortiManager. En este artículo encontrarás una guía práctica y segura para planificar, ejecutar y documentar un test de penetración Fortinet centrado en comprobar la robustez de las políticas sin poner en riesgo la operación.

Keywords objetivo: pentest FortiGate, test de penetración Fortinet, seguridad FortiGate pentest

1) Preparación y alcance (fundamental)

1. Autorización por escrito: documento firmado por el propietario del sistema con fechas, alcance, límites y contactos de emergencia.
    
2. Definir alcance técnico: IPs, segmentos, dispositivos FortiGate (modelos, FortiOS), servicios permitidos, VPNs incluidas/excluidas.
    
3. Reglas de compromiso: horas de prueba, límites de herramientas (por ejemplo, no DDoS), procedimientos de rollback, punto de contacto.
    
4. Backup y snapshot: copia de seguridad de la configuración y snapshot de VM/lab si es posible para evitar impacto en producción.
    

2) Metodología recomendada (alto nivel)

Aplica una metodología estándar (por ejemplo, PTES, OWASP o NIST) adaptada al perímetro FortiGate:

• Reconocimiento pasivo: revisión de configuración, logs y firmas (sin generar tráfico destructivo).
   
• Enumeración: mapeo de políticas, servicios expuestos y VPNs.
   
• Vulnerability assessment: escaneo autorizado para detectar configuraciones débiles, firmas IPS obsoletas, versiones FortiOS vulnerables.
   
• Pruebas de configuración y lógica de políticas: validar orden de políticas, objetos, NAT, zones y políticas implícitas.
   
• Pruebas de defensa y detección: enviar tráfico controlado para verificar que IPS, Web Filter, Application Control y SSL Inspection actúan como esperado.
   
• Post-test / remediación: informe detallado con prueba de corrección y re-verificación.
   

3) Auditoría específica de políticas FortiGate (qué revisar y cómo verificar — sin dar pasos de evasión)

A. Revisión de políticas y orden lógico

• Verifica que exista deny-by-default (política implícita deny).
   
• Comprueba orden de políticas; las reglas más específicas deben preceder a las generales.
   
• Valida uso de objetos (direccionamiento, servicios) para evitar reglas demasiado abiertas (ej. ANY → ANY).
   
• Revisa NAT: asegúrate de que NAT está aplicado solo donde corresponde y que las traducciones no exponen servicios internos innecesariamente.
   

B. Inspección SSL / Deep Inspection

• Confirma si SSL Inspection está habilitado para tráfico relevante (especialmente aplicaciones críticas).
   
• Valida el manejo de certificados (certificados válidos, CA interna confiable).
   
• Revisa políticas que eximan tráfico cifrado por razones operativas y documenta los riesgos.
   

C. IPS, Antivirus y FortiGuard

• Comprueba que IPS y firmas FortiGuard estén actualizadas y en modo de bloqueo/alerta según SLA.
   
• Revisa políticas de application control para detectar y bloquear aplicaciones no autorizadas.
   
• Verifica integración con FortiSandbox si se manejan archivos sospechosos.
   

D. VPNs y accesos remotos

• Audita la configuración de IPSec (IKEv2, algoritmos fuertes) y SSL VPN (certificados, 2FA).
   
• Revisa listas de usuarios/grupos con acceso VPN y segmentación de acceso (principio de menor privilegio).
   
• Valida logs y alertas para conexiones VPN inusuales.
   

E. Gestión y plano de control

• Asegura que el acceso administrativo (HTTPS/SSH) esté restringido por IPs, 2FA y roles.
   
• Revisa que FortiManager / FortiAnalyzer reciban logs críticos y estén correctamente protegidos.
   
• Verifica actualizaciones de FortiOS, parches de seguridad y políticas de cambio.
   

4) Pruebas de funcionamiento y detección (sin explotación)

• Simula incidentes controlados (tráfico benigno con patrones de prueba) para confirmar que IPS y logging detectan y generan alertas.
   
• Revisión de logs: comprobar timestamps, correlación de eventos y la retención en FortiAnalyzer.
   
• Pruebas de evasión de configuración mal diseñada: en laboratorio, crear reglas intencionalmente permisivas para validar que los controles responden — esto debe hacerse fuera de producción.
   

5) Herramientas y utilidades (uso legítimo y defensivo)

Para realizar un test de penetración Fortinet autorizado se suelen usar herramientas de auditoría y escaneo (en laboratorio o con permiso): escáneres de vulnerabilidades (Nessus, OpenVAS), herramientas de mapeo (nmap), análisis de logs (ELK, Splunk), y utilidades específicas para validación de SSL y VPN. Usa estas herramientas siempre dentro del alcance autorizado y prioriza las pruebas no destructivas.

6) Métricas y criterios de éxito

Define KPIs medibles para validar la robustez de las políticas:

• Tiempo medio de detección (MTTD) para eventos simulados.
   
• Porcentaje de detecciones block vs alert en reglas críticas.
   
• Número de reglas "ANY" o reglas con objetos mal definidos.
   
• Cumplimiento de hardening checklist (admin secure access, firmware actualizado, 2FA activo).
   

7) Informe y remediación

El informe debe incluir:

• Resumen ejecutivo (riesgos por impacto).
   
• Hallazgos técnicos con evidencias (logs, capturas, reglas afectadas).
   
• Prioridad (Critical / High / Medium / Low) y pasos de remediación recomendados.
   
• Comprobación posterior (re-test) para confirmar corrección.
   

8) Buenas prácticas post-pentest

• Implementar gestión de cambios para aplicar las correcciones.
   
• Automatizar auditorías periódicas (scripts de compliance, FortiManager).
   
• Capacitar al equipo en configuración segura de FortiGate y análisis de logs.
   
• Mantener un programa de pruebas regulares y validación de parches.
   

Conclusión

Un pentest FortiGate bien ejecutado no consiste en “romper” el perímetro, sino en validar que las políticas FortiGate están definidas, ordenadas y operan según el riesgo aceptado por la organización. Siguiendo una metodología autorizada, auditorías específicas y pruebas controladas, lograrás mejorar la seguridad FortiGate sin comprometer la operación.