FortiGate : antivirus flow/proxy et protocol options

Un profil antivirus examine des transferts pris en charge selon les protocoles activés et les capacités du mode choisi. La présence du profil dans la configuration ne suffit pas : il doit être associé à la politique qui traite le trafic de votre scénario.

Définissez le cas d’usage avant les options : protocole, taille attendue des fichiers, contexte chiffré et résultat souhaité. Cette préparation permet de comprendre pourquoi une fonction visible dans un profil n’est pas nécessairement disponible pour chaque flux ou chaque modèle.

Fortinet demande que le feature set flow ou proxy du profil antivirus corresponde au mode d’inspection de la politique. Les modes partagent des fonctions, mais leurs capacités ne sont pas identiques. Certaines options supplémentaires sont propres au mode proxy ou demandent un autre produit ou une licence.

Les protocoles non activés dans le profil ne sont pas inspectés par cette fonction. Pour HTTPS ou d’autres transports chiffrés, l’inspection SSL/SSH doit aussi fournir la visibilité nécessaire. Le mode antivirus et le traitement TLS sont deux paramètres à examiner ensemble.

L’action Block arrête le contenu malveillant identifié ; Monitor produit une observation tout en laissant passer le trafic inspecté. Ce choix doit être explicite dans la recette. Une alerte antivirus ne démontre donc pas automatiquement un blocage.

Les protocol options définissent notamment le mapping de ports et le traitement des fichiers trop volumineux dans le contexte applicable. Elles influencent ce que le profil peut examiner. Relevez ces paramètres avant d’interpréter l’absence de détection sur un fichier comme une panne de mise à jour.

La documentation officielle propose des méthodes de test d’un profil antivirus avec des fichiers de test. Utilisez un laboratoire et la méthode décrite pour votre contexte ; le but est de vérifier le traitement et les événements, sans distribuer un logiciel malveillant réel.

Comparez un transfert normal et le test prévu, puis relevez la politique, le profil, le protocole et l’action. Si le test ne donne pas le résultat attendu, vérifiez d’abord l’attachement du profil, les protocoles activés, le contexte TLS et les limites configurées avant de modifier toutes les options.

Construire une fiche de contrôle d’un profil antivirus : politique concernée, trafic attendu, options et journaux à consulter. Expliquer les vérifications si aucun événement n’apparaît.

Pour terminer, formulez votre résultat attendu, les observations relevées et une hypothèse alternative si le résultat diffère. Conservez la version du produit et le contexte de test avec vos notes de laboratoire.