- Un pare-feu Fortinet (FortiGate) est bien plus qu’un simple filtre réseau : c’est une plateforme de sécurité complète (UTM) intégrant VPN, antivirus réseau, filtrage web et prévention d’intrusion.
- Une part importante des incidents liés aux pare-feux vient d’une configuration par défaut jamais durcie, pas d’une faille du produit lui-même.
- Les mises à jour de firmware FortiOS corrigent régulièrement des vulnérabilités critiques : les retarder expose inutilement l’entreprise.
Le pare-feu reste le point de passage obligé entre le réseau de l’entreprise et Internet. Fortinet, avec sa gamme FortiGate, équipe une grande partie des PME françaises. Bien configuré, cet équipement protège efficacement contre une large part des menaces réseau ; mal configuré, il peut donner un faux sentiment de sécurité. Ce guide détaille les bonnes pratiques essentielles pour un déploiement FortiGate en entreprise.
1. UTM : bien plus qu’un simple pare-feu
Un FortiGate fonctionne comme une plateforme UTM (Unified Threat Management, gestion unifiée des menaces) : au-delà du filtrage de ports classique, il intègre en une seule appliance l’inspection antivirus du trafic réseau, la prévention d’intrusion (IPS), le filtrage web, le VPN, et souvent une inspection applicative avancée. Cette convergence simplifie la gestion, à condition que chaque module soit correctement activé et maintenu à jour.
| Module UTM | Rôle |
|---|---|
| Pare-feu applicatif | Filtre le trafic selon les règles définies, par IP, port, mais aussi par application reconnue. |
| IPS (Intrusion Prevention System) | Détecte et bloque les tentatives d’exploitation de vulnérabilités connues en temps réel. |
| Antivirus réseau | Analyse les fichiers transitant par le réseau pour bloquer les malwares avant qu’ils n’atteignent un poste. |
| Filtrage web | Bloque l’accès à des catégories de sites (phishing connu, contenu inapproprié, etc.). |
| VPN SSL / IPSec | Permet un accès distant sécurisé au réseau de l’entreprise. |
2. Durcir l’accès à l’interface d’administration
- Désactiver l’accès à l’interface d’administration (HTTPS/SSH) depuis l’interface WAN (Internet), sauf besoin très spécifique et encadré.
- Changer le port d’administration par défaut et restreindre les adresses IP autorisées à s’y connecter.
- Activer la double authentification pour les comptes administrateurs FortiGate.
3. Maintenir FortiOS à jour
Fortinet publie régulièrement des mises à jour de FortiOS, le système d’exploitation des FortiGate, corrigeant parfois des vulnérabilités critiques activement exploitées. Un FortiGate resté plusieurs versions en retard peut rester exposé à des failles pourtant déjà corrigées et documentées publiquement, ce qui en fait une cible privilégiée pour les attaquants scannant Internet à la recherche d’appliances vulnérables.
4. VPN SSL vs IPSec : lequel choisir ?
| Type de VPN | Usage typique | Avantage |
|---|---|---|
| VPN SSL | Accès nomade individuel (portable, télétravail) | Simple à déployer, souvent via navigateur ou client léger |
| VPN IPSec | Interconnexion site à site (deux agences, un site distant) | Performant et stable pour des liaisons permanentes |
5. Segmentation réseau : limiter la propagation
Un FortiGate permet de créer plusieurs zones réseau (VLAN) et d’en contrôler finement les communications : les postes utilisateurs, les serveurs, les équipements IoT ou de production n’ont pas besoin de communiquer librement entre eux. Cette segmentation limite fortement la capacité d’un attaquant à se propager latéralement s’il parvient à compromettre un premier équipement.
📋 Checklist de sécurisation FortiGate
- L’accès administrateur depuis le WAN est désactivé ou strictement restreint.
- Le firmware FortiOS est maintenu à jour selon une politique définie.
- Les modules UTM (IPS, antivirus réseau, filtrage web) sont activés et configurés.
- Le VPN utilisé est adapté à l’usage (SSL pour le nomade, IPSec pour le site à site).
- Le réseau est segmenté en VLAN selon les usages (bureautique, serveurs, IoT).
- Les logs du FortiGate sont conservés et consultés régulièrement, ou envoyés vers un SOC/MDR.
❓ FAQ
❓ Un FortiGate remplace-t-il un EDR sur les postes ?
Non, ce sont deux couches complémentaires : le FortiGate protège le trafic réseau, l’EDR protège les postes eux-mêmes, y compris pour des menaces qui n’ont jamais transité par le pare-feu (clé USB, connexion hors réseau).
❓ Faut-il une licence spécifique pour bénéficier de l’UTM complet ?
Oui, les fonctionnalités avancées (IPS, antivirus, filtrage web) nécessitent généralement un abonnement FortiGuard actif en plus du matériel.
❓ À quelle fréquence mettre à jour le firmware FortiOS ?
Les mises à jour de sécurité critiques doivent être appliquées rapidement après leur publication ; une revue régulière (mensuelle ou trimestrielle selon la criticité) des mises à jour disponibles est une bonne pratique de base.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Réseaux, pare-feu et accès distants : Julien décortique les infrastructures pour que la sécurité ne rime pas avec usine à gaz, du VPN au NAS en passant par le pare-feu.
