FortiGate : contrôle applicatif, capteurs et actions

Une politique basée sur un service réseau décrit notamment un protocole et des ports. Le contrôle applicatif cherche à reconnaître le trafic généré par une application. Fortinet décrit l’usage de décodeurs de protocole IPS, permettant une reconnaissance même lorsque des ports non standards sont employés.

Cette différence change la façon de préparer une règle. Autoriser TCP/443 ne revient pas à autoriser une seule application web. Pour réviser, formulez le besoin applicatif, puis distinguez la communication réseau nécessaire et l’action attendue lorsque le capteur identifie l’application.

Un application sensor organise les actions par catégories, applications ou filtres. Les catégories offrent une sélection large ; les overrides permettent des décisions ciblées. Commencez par quelques choix explicites pour pouvoir expliquer quelle entrée produit la décision dans votre scénario.

La documentation présente des actions telles que monitor, allow, block ou quarantine. Une action de surveillance n’a pas le même effet qu’un blocage. Vérifiez les conditions d’abonnement FortiGuard Application Control et les signatures utilisées, puis associez le capteur à la politique concernée.

Le capteur ne donne pas une visibilité illimitée sur tout protocole ou contenu chiffré. Examinez le contexte SSL/SSH et les informations disponibles. Si une application n’est pas reconnue comme prévu, commencez par le flux réellement reçu, le capteur associé et le contexte d’inspection.

Des fonctions de contrôle de port peuvent modifier le comportement pour les applications détectées sur des ports non standards. Dans le profil, relevez ces options en plus des catégories et overrides. Elles expliquent pourquoi une action attendue en monitor peut être accompagnée d’un blocage dans un autre contexte.

Pour un laboratoire, commencez par observer une application autorisée et relevez le nom reconnu ainsi que l’entrée de profil correspondante. Préparez ensuite une décision ciblée et comparez les événements. Cette progression permet de valider la reconnaissance avant de généraliser un blocage.

La recette doit inclure une application voisine ou un autre mode d’accès afin de mesurer le périmètre réel du critère. Notez également le service de la politique et le contexte TLS. Un résultat inattendu demande de comprendre la correspondance avant d’ajouter des exceptions générales.

Choisir une application de laboratoire et formuler un objectif de surveillance puis de blocage. Définir les événements qui permettraient de vérifier la reconnaissance et l’action appliquée.

Pour terminer, formulez votre résultat attendu, les observations relevées et une hypothèse alternative si le résultat diffère. Conservez la version du produit et le contexte de test avec vos notes de laboratoire.