FortiGate : les 10 réglages de sécurité à activer dès l'installation

Un FortiGate sorti de sa boîte laisse passer le trafic et bloque peu de choses. Le boîtier est puissant, les licences sont payées, mais tant que la configuration n’a pas été faite, la protection reste théorique. C’est ce que nous constatons le plus souvent lors de nos audits : des pare-feu bien dimensionnés, parfois même bien licenciés, dont les protections ne sont pas appliquées au trafic réel.

En tant que partenaire Fortinet depuis 2021, nous appliquons une liste de contrôle identique sur chaque FortiGate avant de le déclarer en production. Voici les dix réglages qui la composent, dans l’ordre où nous les faisons, pourquoi ils comptent, et les erreurs que nous corrigeons le plus souvent chez les PME. Si vous n’avez pas encore choisi votre boîtier, commencez par notre guide pour choisir le bon modèle de FortiGate.

Pourquoi l’ordre compte

On pourrait activer ces réglages dans n’importe quel ordre, mais l’expérience montre qu’il vaut mieux commencer par protéger le pare-feu lui-même, avant de protéger ce qui passe à travers. Un boîtier dont l’interface d’administration est exposée sur internet, avec un firmware ancien, peut être compromis avant même que les règles soient terminées. Viennent ensuite l’inspection du trafic, puis l’architecture du réseau, puis tout ce qui permet de réagir en cas d’incident : journaux, sauvegardes et supervision.

1. Sécuriser l’administration

Changer le compte admin par défaut, imposer un mot de passe long, activer la MFA avec FortiToken, restreindre l’accès à l’interface d’administration aux réseaux internes ou à un VPN grâce aux hôtes de confiance, et la fermer complètement côté internet. Désactiver aussi les protocoles d’administration inutiles, comme HTTP ou Telnet, sur toutes les interfaces. Un pare-feu administrable depuis n’importe où est la première cible des scans automatisés, et plusieurs failles critiques des dernières années visaient justement les interfaces de gestion exposées.

2. Mettre à jour le firmware, puis planifier

Installer la dernière version mature de la branche recommandée par Fortinet, pas forcément la plus récente, puis activer les mises à jour automatiques des signatures FortiGuard. Un FortiGate resté sur un firmware ancien est exposé à des failles publiques, exploitées en masse. Surtout, prévoir la suite : qui surveille les avis de sécurité de Fortinet, et qui planifie les mises à jour, en dehors des heures de production, avec une sauvegarde de la configuration juste avant.

3. Activer l’inspection SSL profonde

L’essentiel du trafic web est chiffré. En mode « inspection du certificat », le FortiGate ne voit que le nom du site visité : l’antivirus et le filtrage de contenu ne voient rien de ce qui est échangé. Il faut déployer le certificat du FortiGate sur les postes par stratégie de groupe ou par l’outil de gestion des terminaux, puis passer en inspection profonde, avec des exceptions pour la banque en ligne, la santé et les applications qui refusent l’interception.

4. Appliquer les profils de sécurité sur chaque règle sortante

Antivirus, filtrage web, contrôle applicatif, IPS et filtrage DNS doivent être attachés à toutes les règles vers internet, pas seulement à la règle « par défaut ». Une règle ajoutée plus tard pour un logiciel métier, sans profil, est un trou. Nous vérifions règle par règle, et nous nommons chaque règle de façon explicite pour que la politique reste lisible dans un an.

5. Filtrer le DNS

Le filtrage DNS bloque les domaines malveillants avant même la connexion, y compris pour les appareils sans agent : imprimantes, caméras, téléphones IP. C’est l’une des protections les plus rentables du bundle UTP. Pour qu’il soit efficace, les postes doivent réellement utiliser le résolveur contrôlé par le FortiGate : il faut donc bloquer les requêtes DNS directes vers l’extérieur.

6. Géobloquer l’entrant

Si votre entreprise ne reçoit pas de connexions depuis certains pays, bloquez-les en entrée : cela réduit fortement le bruit des tentatives d’intrusion automatisées, sans effet sur votre activité. Le VPN reste accessible depuis les pays où vos collaborateurs voyagent réellement. Le géoblocage ne remplace pas le reste : c’est un filtre de premier niveau, pas une protection suffisante à lui seul.

7. Segmenter le réseau

Postes, serveurs, téléphonie, caméras, WiFi invité et objets connectés dans des VLAN distincts, avec des règles explicites entre eux et des profils de sécurité aussi en interne. C’est ce qui empêche un poste compromis d’atteindre les serveurs ou les sauvegardes, principe détaillé dans Zero Trust pour une PME. Pour les entreprises multi-sites, la même logique se prolonge entre agences, comme nous l’expliquons dans notre article sur le SD-WAN FortiGate.

8. Durcir le VPN

VPN avec MFA, chiffrement fort, et accès limité aux ressources nécessaires plutôt qu’à tout le réseau. Sur les versions récentes de FortiOS, Fortinet oriente les accès distants vers l’IPsec plutôt que vers le VPN SSL : vérifiez ce que propose votre version avant de construire l’accès distant. Mieux encore, le ZTNA n’expose aucun port et vérifie l’état du poste avant chaque connexion.

9. Activer les journaux et les envoyer ailleurs

Journalisation du trafic et des événements de sécurité, envoyés vers FortiAnalyzer, FortiCloud ou un collecteur externe. Un journal conservé uniquement sur le boîtier disparaît avec lui, et c’est le premier élément dont on a besoin après un incident. Pensez aussi à la durée de conservation, en cohérence avec vos obligations, notamment la loi 09-08 pour les données personnelles au Maroc.

10. Sauvegarder la configuration et superviser

Sauvegarde chiffrée de la configuration après chaque changement, conservée hors du boîtier, et supervision de l’équipement : disponibilité, charge, liens SD-WAN, tunnels VPN, alertes de sécurité, date d’expiration des licences. Une licence expirée prive le boîtier de ses mises à jour de protection, souvent sans que personne ne s’en aperçoive.

Bonus : ce qu’il faut désactiver

Le SIP ALG si vous avez de la téléphonie IP : c’est une cause fréquente d’appels sans son et de coupures, comme nous l’expliquons dans téléphonie IP : 10 erreurs qui ruinent la qualité des appels. Et les règles « any to any » ajoutées « temporairement » pendant un dépannage, qui finissent presque toujours par rester.

Les dix réglages en un tableau

Réglage	Risque s’il manque	Contrôle rapide
Administration fermée et MFA	Prise de contrôle du pare-feu	L’interface répond-elle depuis internet ?
Firmware à jour	Failles publiques exploitées	Version comparée aux avis Fortinet
Inspection SSL profonde	Menaces invisibles dans le trafic chiffré	Mode d’inspection de chaque profil
Profils sur chaque règle	Règle sortante sans aucun filtrage	Colonne « profils » de la politique
Filtrage DNS	Domaines malveillants joignables	DNS externes bloqués depuis les postes ?
Géoblocage entrant	Bruit d’attaques automatisées	Règles entrantes par pays
Segmentation VLAN	Propagation d’un poste infecté aux serveurs	Un poste peut-il joindre les sauvegardes ?
VPN durci	Accès distant par mot de passe seul	MFA active pour tous les comptes VPN
Journaux externalisés	Aucune trace après un incident	Journaux présents hors du boîtier
Sauvegarde et supervision	Reconstruction à l’aveugle, licence expirée	Date de la dernière sauvegarde, alertes reçues

Les erreurs que nous corrigeons le plus

1. Une interface d’administration ouverte sur internet « pour que le prestataire puisse intervenir ».
2. Un compte admin partagé entre plusieurs personnes, sans MFA ni traçabilité.
3. L’inspection SSL laissée en mode certificat parce que le déploiement du certificat sur les postes n’a jamais été fait.
4. Des règles ajoutées au fil des années, sans nom ni profil, dont personne ne connaît plus l’usage.
5. Un seul grand réseau à plat où postes, serveurs, caméras et WiFi invité se voient.
6. Des licences expirées depuis des mois, avec des signatures figées.
7. Aucune sauvegarde de configuration récente hors du boîtier.

Checklist de mise en production

• Compte admin par défaut renommé, MFA active, administration fermée côté internet.
• Firmware sur une version mature, signatures à jour, prochaine fenêtre de maintenance planifiée.
• Certificat déployé sur les postes, inspection profonde active, exceptions documentées.
• Chaque règle vers internet porte ses profils de sécurité.
• Requêtes DNS directes vers l’extérieur bloquées.
• Pays inutiles bloqués en entrée.
• VLAN en place avec des règles explicites entre eux.
• VPN avec MFA et accès limité aux ressources utiles.
• Journaux envoyés hors du boîtier, durée de conservation définie.
• Configuration sauvegardée, supervision et alertes de licence actives.

Comment nous procédons

Sur un nouveau FortiGate, nous partons de votre inventaire réel : utilisateurs, applications métier, téléphonie, sites et télétravailleurs. Nous préparons la configuration, la validons avec vous, puis basculons en dehors des heures de production. Sur un pare-feu existant, nous commençons par un état des lieux de ces dix points, puis nous corrigeons par ordre de risque, comme pour une migration depuis pfSense.

Une fois en production, le pare-feu est suivi dans notre console de supervision 24/7. Les alertes critiques sont prises en charge en moins de 15 minutes, et nos clients sous contrat d’infogérance voient la plupart des alertes traitées par notre équipe avant de les remarquer. Ce travail fait partie de notre offre de cybersécurité pour les entreprises, et vous trouverez des exemples anonymisés de ces chantiers dans nos réalisations.

Si votre FortiGate a été installé par quelqu’un d’autre, un audit permet de vérifier ce qui manque. L’audit initial est offert : contactez-nous, nous vous répondons sous 24 h ouvrées.