Checklist bảo mật FortiGate 2026: 14 cấu hình hardening cần làm ngay

Triển khai FortiGate xong không có nghĩa là hệ thống đã an toàn. Rất nhiều doanh nghiệp vẫn chạy firewall với cấu hình mặc định, và đó thường là điểm đầu tiên bị khai thác. Bài viết tổng hợp 14 hạng mục hardening, tham chiếu từ tài liệu FortiOS 7.6 Best Practices và Fortinet Community, xếp theo mức ưu tiên để bạn làm lần lượt.

⚡ Điểm nhanh

• Việc đầu tiên: không mở HTTPS/SSH quản trị trên interface WAN; nếu bắt buộc, giới hạn bằng Trusted Hosts và Local-in Policy.
• Tài khoản: tạo tài khoản quản trị riêng, vô hiệu hóa admin mặc định, bật 2FA cho mọi super_admin và VPN user.
• Cập nhật: chạy firmware mới nhất trong nhánh được hỗ trợ, theo dõi Fortinet PSIRT.
• VPN: từ FortiOS 7.6.3, SSL-VPN tunnel mode không còn trên GUI và CLI; Fortinet khuyến nghị chuyển sang IPsec VPN.
• Phát hiện và phục hồi: log tập trung (FortiAnalyzer/Syslog), backup cấu hình có mã hóa.
• Đọc thêm: bài học nền tảng Best practice hardening FortiGate giải thích từng cơ chế (local-in policy, trusted hosts, lockout) kèm quiz.

1. Giới hạn truy cập quản trị: Trusted Hosts và Local-in Policy

Cổng quản trị mở ra Internet là mục tiêu của các công cụ scan tự động. Thứ tự nên làm:

1. Gỡ https, ssh, http khỏi interface WAN, chỉ quản trị qua mạng tin cậy hoặc VPN.
2. Giới hạn IP đăng nhập cho từng tài khoản bằng Trusted Hosts.
3. Nếu bắt buộc mở quản trị trên interface public, dùng Local-in Policy để chỉ cho phép nhóm IP quản trị. Từ FortiOS 7.6.0, Local-in Policy cấu hình được trực tiếp trên GUI, theo Fortinet Community – Hardening best practices.

config system admin
    edit "admin_it"
        set trusthost1 192.168.1.0 255.255.255.0
    next
end

Đổi port quản trị mặc định (443, 22) chỉ là lớp bổ sung giúp giảm nhiễu từ bot scan, không thay thế ba bước trên, theo FortiOS 7.6 Best Practices – Hardening.

Chi tiết cách cấu hình: Local-In Policy và Quản lý Admin: profile, Trusted Hosts, 2FA.

2. Thay tài khoản admin mặc định và dùng mật khẩu mạnh

Thông tin đăng nhập mặc định được công khai nên là hướng tấn công đầu tiên. Cách làm:

• Tạo một tài khoản super_admin mới với tên khó đoán, đăng nhập bằng tài khoản đó rồi vô hiệu hóa hoặc xóa tài khoản admin mặc định.
• Dùng mật khẩu phức tạp (chữ hoa, chữ thường, số, ký tự đặc biệt).
• Rà soát định kỳ và xóa tài khoản của nhân viên đã nghỉ hoặc đối tác đã kết thúc triển khai.

Đây cũng là mục đầu tiên trong checklist hardening của Fortinet Community.

3. Bật xác thực hai yếu tố (2FA)

Mật khẩu có thể bị lộ qua phishing, credential stuffing hoặc dùng chung. 2FA là lớp bảo vệ thứ hai không thể thiếu:

• Tài khoản quản trị: System → Administrators → Edit → Two-factor Authentication (FortiToken, email OTP, hoặc RADIUS/LDAP tùy mô hình).
• SSL-VPN/IPsec user: mọi tài khoản kết nối từ xa đều phải qua MFA.

Xem thêm cách triển khai ở bài Quản lý Admin, Trusted Hosts, 2FA.

4. Tắt dịch vụ không cần thiết trên interface

Mỗi dịch vụ đang bật là một bề mặt tấn công. Vào Network → Interfaces → chọn interface → Administrative Access và chỉ giữ lại những gì thật sự cần. (Mục Feature Visibility chỉ ẩn/hiện menu giao diện, không tắt dịch vụ.)

config system interface
    edit "wan1"
        set allowaccess ping
    next
end

Ví dụ trên chỉ để lại ping trên WAN; chỉ giữ cả ping nếu thật sự cần health-check từ bên ngoài. Tắt HTTP, FTP, SNMP, Telnet nếu không dùng. Kết hợp Local-in Policy với Geo-IP để chặn truy cập quản trị từ các quốc gia không liên quan đến hoạt động của tổ chức.

Mở HTTP/HTTPS quản trị trên WAN còn làm CPU tăng cao do bot scan và brute force liên tục, xem CPU FortiGate tăng cao do bật HTTP/HTTPS trên WAN.

5. Cập nhật firmware theo đúng lộ trình nâng cấp

Fortinet khuyến nghị chạy bản vá mới nhất vì ít lỗi và lỗ hổng nhất. Với FortiGate độc lập, có thể bật tự động cập nhật theo upgrade path của FortiGuard; tính năng này chỉ nâng cấp trong phạm vi minor version hiện tại (ví dụ 7.6.1 lên 7.6.2), theo FortiOS 7.6 Best Practices – Hardening.

Lưu ý:

• Đọc Release Notes trước khi nâng cấp và kiểm tra trang Product Life Cycle để chắc phiên bản đang dùng chưa hết hỗ trợ.
• Nếu chưa vá được ngay, có thể dùng tạm Virtual Patching trong Local-in Policy để giảm rủi ro trong thời gian chờ.

6. Theo dõi cảnh báo bảo mật từ Fortinet PSIRT

Đội PSIRT của Fortinet liên tục kiểm tra sản phẩm và công bố lỗ hổng nghiêm trọng kèm giải pháp tại FortiGuard PSIRT. Hãy đăng ký nhận thông báo và đảm bảo thiết bị đã được đăng ký trên Fortinet Support Portal, theo FortiOS 7.6 Best Practices – Hardening.

7. Bật IPS và cấu hình DoS Policy

• IPS: phát hiện và chặn exploit, SQL Injection, botnet. Áp dụng IPS Profile cho mọi policy có traffic ra Internet, chế độ "Protect Client & Server".
• DoS Policy: phát hiện traffic bất thường trước khi chạm đến security policy tốn tài nguyên hơn. Các anomaly nên bật: tcp_syn_flood, tcp_port_scan, tcp_src_session, tcp_dst_session, ip_src_session, ip_dst_session. Ban đầu để chế độ monitor để quan sát traffic thực tế, sau đó chuyển sang block, theo FortiOS 7.6 Best Practices – Hardening.

8. Web Filtering, Application Control, AntiVirus và SSL Inspection

Ba tính năng này phối hợp tạo lớp bảo vệ nội dung toàn diện. Vì HTTPS chiếm phần lớn traffic hiện nay, cần bật SSL/TLS Deep Inspection thì các profile mới có hiệu quả. Đảm bảo các database FortiGuard (AV, IPS, AS) được cập nhật đúng hạn và có thể cấu hình cảnh báo khi database bị lỗi thời.

9. Bảo mật cấu hình VPN (SSL-VPN và IPsec)

VPN là vector tấn công rất phổ biến; nhiều vụ ransomware bắt đầu từ SSL-VPN bị brute force. Các bước cần làm, theo SSL VPN Security Best Practices – FortiOS 7.6:

• Giới hạn số lần đăng nhập thất bại và chỉ cho mỗi user một phiên SSL-VPN tại một thời điểm.
• Đổi port SSL-VPN mặc định, bật DoS Policy chống port scan, tắt các portal mode không cần thiết, chặn ứng dụng port mapping.
• Bật MFA hoặc xác thực bằng certificate thay vì chỉ dùng mật khẩu.

config vpn ssl settings
    set login-attempt-limit 2
    set login-block-time 60
end

Với IPsec: dùng mã hóa mạnh (AES-256), ưu tiên xác thực bằng certificate thay vì pre-shared key, và dùng address group/user group để giới hạn phạm vi truy cập VPN.

Lưu ý quan trọng: từ FortiOS 7.6.3, SSL VPN tunnel mode không còn khả dụng trên GUI và CLI. Fortinet khuyến nghị chuyển sang IPsec VPN. Cần lên kế hoạch chuyển đổi trước khi nâng cấp lên 7.6.3 trở lên, theo Fortinet Community – Hardening SSL-VPN.

10. Firewall Policy theo nguyên tắc Least Privilege

Policy dùng source/destination là ANY là rủi ro lớn. Nên:

• Dùng địa chỉ source và destination cụ thể.
• Bật log cho tất cả security policy để phát hiện traffic bất thường.
• Dùng Internet Service Database để tạo deny policy chặn các server độc hại như Botnet C&C, Bulletproof Hosting, Phishing Server.

Nguồn: Fortinet Community – Hardening best practices.

11. Phân vùng mạng bằng VLAN và Zone

Để mọi thiết bị trong một subnet phẳng là sai lầm kiến trúc: một thiết bị nhiễm malware có thể di chuyển ngang (lateral movement) sang toàn bộ hệ thống.

Cần tách tối thiểu:

• VLAN User (nhân viên)
• VLAN Server (máy chủ nội bộ)
• VLAN DMZ (server public)
• VLAN Camera / IoT
• VLAN Guest WiFi

FortiGate kiểm soát traffic giữa các VLAN qua inter-VLAN firewall policy, áp dụng đầy đủ security profile cho cả traffic nội bộ.

12. Cấu hình DNS an toàn và bật DNS Filtering

DNS là điểm thường bị bỏ qua nhưng là vector phổ biến của nhiều dòng malware hiện đại. Cấu hình DNS server tin cậy để hạn chế DNS spoofing và poisoning, rồi bật DNS Filtering để chặn domain độc hại, theo Fortinet Community – Hardening best practices. FortiGuard DNS Filter cập nhật liên tục danh sách domain C&C, phishing, malware; kết hợp với Web Filtering sẽ có thêm một lớp bảo vệ ngay từ bước phân giải tên miền.

13. Bật logging đầy đủ và gửi về hệ thống tập trung

Bật log cho thay đổi hệ thống, lần đăng nhập và hành động của firewall policy tại Log & Report → Log Settings. Cấu hình log tập trung qua FortiAnalyzer hoặc Syslog server bên ngoài để lưu trữ và phân tích an toàn, vì log nằm trên chính thiết bị có thể bị xóa khi bị xâm nhập.

Thời gian lưu log tùy yêu cầu compliance của tổ chức (ví dụ PCI DSS yêu cầu giữ log 12 tháng, trong đó 3 tháng truy xuất ngay). Không có log thì không thể điều tra khi sự cố xảy ra.

14. Backup cấu hình đúng cách và mã hóa dữ liệu nhạy cảm

File cấu hình FortiGate chứa thông tin mạng, thông tin xác thực, mật khẩu và khóa bí mật. Khi backup, bật Encryption, lưu ở vị trí an toàn và xóa các bản cũ không còn cần. Nếu buộc phải chia sẻ file cho bên thứ ba, bật Password Masking hoặc thay thủ công mật khẩu trong file trước khi gửi, theo FortiOS 7.6 Best Practices – Hardening.

Bổ sung: bật private-data-encryption để mã hóa password và private key lưu trên thiết bị bằng khóa riêng của tổ chức.

config system global
    set private-data-encryption enable
    set strong-crypto enable
    set ssl-static-key-ciphers disable
end

Lưu ý: strong-crypto và việc tắt static-key ciphers có thể làm một số client hoặc hệ thống cũ không kết nối được. Hãy test trên môi trường lab hoặc ngoài giờ cao điểm trước khi áp dụng.

Checklist tổng hợp nhanh

Hỏi & Đáp

FortiGate mới mua cần làm gì đầu tiên?

Làm theo thứ tự: tạo tài khoản quản trị riêng và vô hiệu hóa admin mặc định (mục 2), gỡ quản trị khỏi WAN và đặt Trusted Hosts (mục 1), bật 2FA (mục 3), cập nhật firmware (mục 5), cuối cùng backup cấu hình có mã hóa (mục 14).

Có nên mở quản trị FortiGate ra Internet không?

Không nên. Nên quản trị qua mạng tin cậy hoặc VPN. Nếu bắt buộc phải mở, hãy dùng Local-in Policy chỉ cho phép IP quản trị cụ thể, kèm Trusted Hosts và 2FA. Cách cấu hình xem tại bài Best practice hardening FortiGate.

SSL-VPN tunnel mode bị gỡ từ FortiOS 7.6.3 thì chuyển sang đâu?

Fortinet khuyến nghị chuyển sang IPsec VPN. Hãy đọc Release Notes và lập kế hoạch chuyển đổi (client, chính sách, xác thực) trước khi nâng cấp firmware lên 7.6.3 trở lên.

Bao lâu nên rà soát lại cấu hình hardening?

Nên rà soát định kỳ (ví dụ mỗi quý) và sau mỗi lần nâng cấp firmware hoặc khi có cảnh báo PSIRT liên quan đến phiên bản đang chạy. Đây là khuyến nghị thực tế của VNExperts, không phải mốc cố định do Fortinet quy định.

Thông tin liên quan

• Best practice hardening FortiGate: bảo vệ chính thiết bị firewall khỏi tấn công
• Local-In Policy: kiểm soát traffic đến chính FortiGate
• Quản lý Admin: profile, quyền hạn, Trusted Hosts, 2FA
• Khóa học Quản trị FortiGate Online
• Firewall FortiGate cho doanh nghiệp
• Tư vấn, triển khai và tích hợp hệ thống

Tài liệu tham khảo chính thức

• FortiOS 7.6 Best Practices – Hardening
• Fortinet Community – Hardening Best Practices
• SSL VPN Security Best Practices – FortiOS 7.6
• Fortinet Community – Hardening SSL-VPN
• FortiGuard PSIRT Advisories