FSSO — как файрвол узнаёт, кто есть кто в AD

Файрвол традиционно мыслит IP-адресами, но политики формулируются в терминах пользователей и групп AD: «бухгалтерия может, остальные — нет». FSSO (Fortinet Single Sign-On) — механизм, с помощью которого FortiGate узнаёт, какой пользователь сидит за каким IP, и применяет политики по группам AD.

Связанные темы курса

• Event ID 4624 — то самое событие входа, из которого Collector Agent строит сопоставление (справочник Event IDs).
• BloodHound — HasSession: там тот же вопрос «кто сидит за какой машиной» (/course/tools/bloodhound-walkthrough).
• Tiering — политика по группам позволяет закрепить разделение уровней и на сетевом уровне.

Как это работает

• Пользователь входит в домен — обычный вход по Kerberos, на клиенте ничего нового.
• На контроллере домена (или на отдельном сервере) работает Collector Agent — читает журнал безопасности и видит событие входа 4624.
• Агент сопоставляет пользователя с IP рабочей станции и передаёт карту на FortiGate (TCP, по умолчанию порт 8000).
• FortiGate применяет политику по группе: CN=Teachers → правило «разрешить», CN=Students → «запретить».

Два режима работы

• Event Log / Polling mode — Collector Agent на выделенном сервере опрашивает DC и собирает события входа.
• Kerberos-based FSSO — лёгкий агент на каждом DC смотрит Kerberos-аутентификацию; лучше масштабируется.
• Есть и FSSO по RADIUS Accounting (для Wi-Fi) — та же концепция, другой источник карты.

Практика в лаборатории

• Установите Collector Agent на сервере Windows в лабораторном домене corp.local. Создайте сервисную учётку svc-fsso с паролем без срока действия и правами Event Log Readers — не админом.
• В Collector Agent укажите DC, пароль для подключения FortiGate и порт (по умолчанию 8000).

config user fsso-agent
    edit "FSSO-CA"
        set server "10.0.0.10"
        set password <password-from-collector-agent>
    next
end

Теперь привязываем группу FortiGate к группе AD:

config user group
    edit "FSSO-Teachers"
        set member "FSSO-CA"
        config match
            edit 0
                set server-name "FSSO-CA"
                set group-name "CN=Teachers,OU=Groups,DC=corp,DC=local"
            next
        end
    next
end

Затем используйте группу в политике (Policy & Objects → Firewall Policy → Source: FSSO-Teachers). Проверка: с рабочей станции под пользователем из Teachers откройте сайт — сессия должна появиться в Security Fabric → User & Device → FSSO.

Риски и детектирование

• Учётка Collector Agent: компрометация = чтение журналов и влияние на карту. Минимум прав, мониторинг 4624 от её имени.
• Трафик агента к FortiGate — не VPN; используйте изолированный сегмент управления. Это Tier 0-коммуникация.
• «Мёртвые» сопоставления: некорректно выключенная станция оставляет пару «пользователь ↔ IP» до таймаута. Учитывайте в чувствительных правилах.

Митигация

• Отдельный VLAN для управления FortiGate ↔ Collector Agent.
• Учётка агента: Event Log Readers + запрет интерактивного входа.
• Регулярный аудит: сравнение активных FSSO-сессий с реальными входами (quser / whoami на подозрительных станциях).
• Чувствительные правила (доступ к серверам Tier 1) — не только по FSSO-группе, но и по IP-диапазону сегмента.