Présentation du service FortiGate sur AWS
FortiGate, la solution de pare-feu de Fortinet, propose une offre pré‑configurée pour les environnements Amazon Web Services. Le service inclut le déploiement automatisé d’une infrastructure réseau complète – VPC, Transit Gateway, rôles IAM et politiques de sécurité – ainsi qu’une console unique permettant de superviser le trafic à la fois entre le cloud (north‑south) et au sein des réseaux internes (east‑west). Cette approche vise à réduire le temps d’intégration et à garantir une visibilité cohérente sur l’ensemble du périmètre hybride.
Architecture et automatisation du déploiement
Le processus démarre par la création de plusieurs VPC interconnectés via le Transit Gateway d’AWS. Chaque VPC héberge une instance virtuelle FortiGate, provisionnée à l’aide de modèles CloudFormation qui définissent les sous‑réseaux, les tables de routage et les groupes de sécurité. Les rôles IAM associés autorisent FortiGate à interagir avec les API AWS pour la mise à jour dynamique des listes d’IP et la récupération des logs CloudWatch. Les politiques de sécurité sont appliquées dès le premier lancement, ce qui évite toute fenêtre d’exposition non protégée.
Inspection hybride du trafic et capacités IPS
Une fois le pare‑feu en place, la console FortiGate agrège les flux provenant des VPC et des instances Outposts, offrant une visibilité unifiée. L’inspection « hybride » combine le filtrage du trafic entrant/sortant (north‑south) avec le contrôle du trafic latéral entre les charges de travail (east‑west). Le module IPS intégré peut être activé via un capteur virtuel : l’utilisateur crée le capteur, définit une signature de menace et lance un téléchargement malveillant simulé. FortiGate intercepte alors le fichier, applique la signature correspondante et bloque la connexion, générant un événement de journalisation détaillé.
Limites et considérations de sécurité
Le modèle présenté repose sur des composants standards d’AWS, ce qui implique que la sécurité du compte AWS (gestion des clés, politiques IAM) reste critique ; une mauvaise configuration d’un rôle IAM pourrait permettre à FortiGate d’accéder à des ressources non autorisées. De plus, la solution sponsorisée ne précise pas les performances du moteur IPS (débit maximal, latence) ni les exigences de licence pour les signatures avancées. Enfin, l’utilisation d’Outposts introduit une dépendance à l’infrastructure physique du client, augmentant la surface d’attaque potentielle si les mises à jour du firmware ne sont pas appliquées régulièrement.
