En este post vamos a ver como asignar perfiles de Endpoints a Grupos de equipos de Active Directory.

• El primer perfil se lo vamos a asignar a los controladores de dominio, para ello, accedemos a Endpoints > Domains > Midominio > Domain Controllers y le asignamos el perfil correspondiente:

• Le indicamos que Si:

• Como podemos ver, el instalador de Forticlient, está pendiente de ser desplegado sobre uno de nuestros controladores de dominio:

• Aquí vemos que Forticlient se ha desplegado correctamente sobre nuestro controlador de dominio:

• El segundo perfil se lo vamos a asignar a los servidores, para ello, accedemos a Endpoints > Domains > Midominio > Servidores y le asignamos el perfil correspondiente:

• Le indicamos que Si:

• Aquí vemos que Forticlient se ha desplegado correctamente sobre nuestros servidores:

• Si accedemos al Dashboard > Forticlient Status podemos ver que tenemos ocupadas 7 de las 10 licencias de las que disponemos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como crear perfiles de Endpoints y seleccionar un instalador de FortiClient.

• Accedemos a Endpoint Profiles > Manage Profiles > Add:

• Le indicamos un nombre al perfil, en este caso, SERVIDORES, sobre la pestaña Deployment activamos el check, le indicamos el instalador que se va a instalar sobre los servidores, una hora para la tarea y que reinicie la máquina cuando nosotros se lo digamos, también debemos de introducir unas credenciales con permisos de administrador:

• Sobre la pestaña Antivirus habilitamos el check para la protección, y los demás parámetros los dejamos todos por defecto, excepto la tarea para el escaneo que la programamos semanalmente:

• Sobre la pestaña Web Filter habilitamos el check del filtrado web y lo dejamos por defecto:

• Sobre la pestaña Firewall habilitamos el check y las notificaciones, bloquemos las categorías que nos interesen:

• Sobre la pestaña VPN deshabilitamos el check ya que los servidores no se van a conectar a ninguna VPN:

• Sobre la pestaña Vulnerabity Scan lo dejamos todo por defecto:

• Sobre la pestaña System Settings configuramos un password para que los usuarios no puedan cambiar la configuración y deshabilitamos que no se puedan desregistrar del EMS, clc en Save para guardar los cambios:

• Como podemos ver aquí tenemos el perfil creado:

• Ahora vamos a crear otro exactamente igual para los Controladores de dominio:

• Crearemos otro exactamente igual para los equipos, pero en este caso sobre la pestaña VPN habilitamos el check y le vamos a dejar configurada la VPN SSL de nuestra infraestructura:

• Con esto ya tendríamos todos los perfiles que nos interesan creados.

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir un instalador de Forticlient Endpoint a nuestro servidor de Forticlient Enterprise Management Server.

• Accedemos a Profile Components > Manage Installers > Add:

• Se nos abrirá este asistente, y sobre la opción General le asignamos un nombre, descripción, le indicamos la versión y el update de la versión, clic sobre Next:

• Sobre la opción de Features seleccionamos las características para nuestro instalador, clic sobre Next:

• Sobre la opción de Advanced seleccionamos que nos habilite, configurar FortiClient para conectar automáticamente la telemetría a EMS o FortiGate, después de que FortiClient se instale en el punto final. Si deshabilitamos esta función, entonces, requieren que los usuarios finales se conecten manualmente a la telemetría del EMS o FortiGate, también habilitamos los accesos directo sobre los equipos:

• Sobre la opción de Telemetry nos indica que los Forticlient Endpoint serán administrados por nuestro servidor de Forticlient EMS:

• Aquí podemos ver el instalador que acabamos de configurar:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como añadir nuestro dominio de Active Directory para descubrir los equipos de nuestra infraestructura, para más tarde, poder hacerles el despliegue de los Forticlient Endpoint.

• Para ello, accedemos a Endpoints > Manage Domains > Add:

• Introducimos los datos de nuestra AD, a través del puerto LDAP 389, que autentique con uno de los usuarios del dominio que hemos creado para este servicio, y que sincronize con el AD cada 15 minutos, clic sobre Test para verificar que conecta:

• Como podemos ver el Test ha sido satisfactorio, clic sobre Save para guardar los cambios:

• Aquí vemos que está conectado a nuestro Active Directory y ha encontrado 29 dispositivos:

• Si nos situamos sobre Endpoints > Domains, podemos ver toda la estructura del árbol LDAP de nuestro dominio de Active Directory, dónde ya podemos ver los equipos a los que les vamos a desplegar los Forticlient Endpoints, una vez tengamos configurados los perfiles:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar cuentas de usuario de nuestro Active Directory para el acceso al Forticlient Enterprise Management Server.

• Para configurar los accesos a la consola de Forticlient EMS con usuarios de nuestro Active Directory, debemos de configurar en primera instancia el acceso a nuestro Active Directory a través del puerto LDAP 389, con uno de los usuarios autenticados de nuestro domino (ldapsearch), accedemos a Administration > User Server, configuramos los parámetros de nuestro AD y Save para guardar los cambios:

• El siguiente paso sería añadir los usuarios del Active Directory con los permisos de acceso que nos vayan interesando, para ello, accedemos a Administration > Administrators > Add:

• Aquí podemos elegir el usuario que nos interese de nuestro Active Directory y asignarle los permisos que creamos conveniente:

• En nuestro caso, voy a seleccionar el siguiente usuario y le voy a asignar permisos de Super Administrador:

• Aquí podemos ver el usuario agregado desde nuestro Active Directory:

• Ahora vamos a probar algunas de las configuraciones que hemos realizado, por ejemplo, vamos a acceder a la consola de Forticlient EMS vía web (HTTPS) con el usuario del Active Directory:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar Forticlient Enterprise Management Server en modo Standalone, esta sería la topología que estamos utilizando:

El modo Standalone o autónomo no requiere un FortiGate y no es compatible con el control de acceso a la red (NAC). En modo autónomo EMS despliega el software FortiClient en los puntos finales, y los puntos finales de FortiClient conectan la telemetría al EMS para recibir información de configuración de EMS. En el modo autónomo, se utiliza EMS para desplegar, configurar y monitorear los puntos finales de FortiClient.

La otra forma de configurar Forticlient EMS es integrándolo con un firewall Fortigate, esta sería la topología:

El modo integrado requiere un FortiGate y soporta NAC. En el modo integrado, EMS despliega el software FortiClient en los puntos finales y conectan la telemetría con el FortiGate para recibir las reglas de cumplimiento. FortiClient Endpoint también se conectan al EMS para ser manejados. Después de que los FortiClient Endponit se conectan, las reglas de cumplimiento son descargadas del FortiGate al Endpoint, desde EMS también se podría desplegar un perfil de información de configuración de FortiClient Endpoint.

FortiClient utiliza las reglas de cumplimiento de FortiGate para comunicar si el punto final cumple con las normas. Si un punto final no cumple las normas, se comunican los pasos necesarios para mantener el cumplimiento.

En nuestro caso vamos a montar el modo Standalone, por lo que vamos a seguir estas pautas que serán los post que iremos haciendo:

• Forticlient EMS – Configurar cuentas de usuario del Active Directory
• Forticlient EMS – Añadir dominio Active Directory y descubrir Endpoints
• Forticlient EMS – Añadir un instalador FortiClient a EMS
• Forticlient EMS – Crear perfiles de Endpoint y seleccionar un instalador de FortiClient
• Forticlient EMS – Asignar perfiles de Endpoints a Grupos de equipos de Active Directory

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar los puertos que utiliza Forticlient EMS en un Firewall Fortigate 50E, esto lo debemos configurar si en nuestra infraestructura tenemos la red segmentada en distintas subredes, así los equipos que se encuentren en una subred distinta a la del Forticlient EMS se puedan comunicar con él, en esta tabla se muestran los puertos utilizados por Forticlient EMS, que serán los que configuremos como servicios en el firewall Fortigate y aplicaremos a las políticas o reglas de filtrado.

• Iniciamos sesión en nuestro Fortigate 50E, y lo primero que vamos a realizar será crearnos una nueva categoría de Servicios dónde dejaremos bien ordenados todos los puertos o servicios que utiliza Forticlient EMS, para ello, nos vamos a Políticas y Objetos > Servicio > Crear nuevo > Categoría:

• Le indicamos un nombre y una descripción, OK:

• Aquí podemos ver la nueva categoría creada:

• Ahora siguiendo la tabla que os he puesto al principio del post vamos a configurar el primer puerto o servicio, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Servicio:

• Le indicamos un nombre, categoría, tipo de protocolo y puerto de destino, clic sobre OK:

• Para los demás servicios, los configuramos de igual forma siguiendo la tabla, nos quedaría por tanto, de la siguiente manera:

• Una vez que tenemos creados los servicios los vamos a agrupar en dos grupos distintos, ya sean de entrada o de salida, al grupo de entrada lo vamos a llamar ForticlientEMS_IN y al de salida ForticlientEMS_OUT, de nuevo seguiremos la tabla propuesta por Fortinet para realizar estas configuraciones.

• Nos creamos el primer grupo de servicios FoticlientEMS_IN, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupos de servicios:

• Le indicamos un nombre, descripción y los miembros o servicios que lo conforman, clic en OK:

• Nos creamos el segundo grupo de servicios FoticlientEMS_OUT, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupos de servicios:

• Le indicamos un nombre, descripción y los miembros o servicios que lo conforman, clic en OK:

• Como podemos ver, aquí tenemos los dos grupos de servicios creados y configurados:

• Ya tenemos, por tanto, los servicios y grupos de servicios listos para poder aplicarlos en nuestras políticas de filtrado, os voy a mostrar un ejemplo de un servidor llamado WDSMDT que está ubicado en una subred distinta de la que se encuentra nuestro servidor de Forticlient EMS, por lo tanto, necesito acceso de entrada a los servicios de Forticlient EMS, para ello, nos creamos una nueva política en Políticas y Objetos > Política IPv4 > Crear nuevo:

• Configuramos la nueva política con el grupo de servicios que configuramos anteriormente:

• Como podemos ver aquí tenemos la nueva política creada:

• Para verificar que desde el servidor WDSMDT podemos acceder a los puertos del Forticlient EMS que hemos configurado en las políticas del firewall, nos abrimos una consola de PowerShell con permisos de administrador y ejecutamos los siguientes comandos, Test-NetConnection nombremaquina –port numeropuerto, y como podemos observar los accesos son corrcetos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver las configuraciones iniciales de Forticlient Enterprise Management Server (EMS).

• Antes de comenzar con las configuraciones iniciales de Forticlient EMS, en el servidor DNS de nuestra infraestructura, vamos a crear un registro del tipo CNAME, para acceder con el nombre de fortclientems a la consola web:

• Una vez que estamos en la consola de Forticlient EMS, lo primero que vamos a realizar, es el cambio de password a la cuenta admin, para ello, accedemos a Administration > Administrators seleccionamos el usuario admin y cambiamos Password:

• Ahora vamos a configurar el acceso a la consola de Forticlient EMS a través de acceso remoto vía web por HTTPS, para ello, accedemos a System Settings > Server > Shared Settings y configuramos estos parámetros:

• Sobre las mismas configuraciones en System Settings > Server > EMS Settings configuramos los parámetros para las descargas del Forticlient en los equipos clientes, clic en Save para guardar los cambios:

• Le indicamos que siga con el proceso:

• Vamos a configurar también el servidor de correos SMTP para el envío de correos electrónico a nuestra cuenta de soporte, para ello, accedemos a System Settings > SMTP Server, configuramos los parámetros de nuestro servidor SMTP, enviamos un mail de prueba y guardamos los cambios en Save:

• Aquí podemos ver el mail que hemos mandado de prueba para verificar que todo está correcto:

• Sobre System Settings > EMS Alerts configuramos las alertas sobre EMS, que queremos que se nos notifiquen a la cuenta de correo soporte que hemos configurado en el SMTP Server, clic sobre Save para guardar los cambios:

• Sobre System Settings > Endpoint Alerts configuramos las alertas sobre los Endpoint, que queremos que se nos notifiquen a la cuenta de correo soporte que hemos configurado en el SMTP Server, clic sobre Save para guardar los cambios:

Saludos y espero que os sea de ayuda

En este post vamos a ver como instalar Forticlient Enterprise Management Server (EMS) sobre MS Windows Server 2019.

Antes de comenzar, debemos asegurarnos de que los puertos y servicios requeridos están habilitados para su uso por FortiClient EMS y sus aplicaciones asociadas en nuestro servidor. Los puertos y servicios requeridos permiten a FortiClient EMS comunicarse con los puntos finales y los servidores que ejecutan las aplicaciones asociadas. No es necesario habilitar los puertos 8013 y 10443 ya que la instalación de FortiClient EMS los abre.

En las siguientes tablas podemos ver los puertos y servicios:

• Comenzamos con la instalación de Forticlient EMS, ejecutamos el instalador Online y cómo podemos ver empieza a descargar la aplicación Forticlient EMS:

• Aceptamos el EULA, clic sobre Install:

• Comienza el proceso de instalación:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre cerrar:

• Una vez finalizada la instalación, nos va a aparecer en el escritorio del servidor un acceso directo a la consola de Forticlient Enterprise Management Server:

• Damos doble clic e introducimos las credenciales por defecto, dónde el usuario es admin y el password va en blanco:

• Este es el aspecto de la consola de Forticlient EMS:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como instalar y configurar Forticlient Enterprise Management Server.

Forticlient, es una plataforma de protección de endpoints integrada que proporciona protección automatizada contra amenazas de próxima generación, visibilidad y control de inventario de software y hardware en toda la infraestructura.

Forticlient EMS es una consola de administración central de FortiClient, desde la cual podemos configurar, implementar y administrar los clientes de Forticlient, desde esta consola se integrarán los Endpoint con Security Fabric, podremos escanear las vulnerabilidades y aplicar parches, tendremos un inventario de software junto con un resumen de alertas y amenazas.

Este post lo vamos a dividir en varias partes:

• Instalación Forticlient Enterprise Management Server sobre MS Windows Server 2019
• Configuraciones iniciales Forticlient Enterprise Management Server
• Configuración de puertos Forticlient EMS en Firewall Fortigate
• Forticlient EMS modo Standalone
• Forticlient EMS – Configurar cuentas de usuario del Active Directory
• Forticlient EMS – Añadir dominio Active Directory y descubrir Endpoints
• Forticlient EMS – Añadir un instalador Forticlient a EMS
• Forticlient EMS – Crear perfiles de Endpoints y seleccionar un instalador FortiClient
• Forticlient EMS – Asignar perfiles de Endpoints a Grupos de equipos de Active Directory

Saludos y espero que os resulte de ayuda