Windows-Benutzer, die mit Microsoft Entra ID angemeldet sind, haben automatisch Zugriff auf ZTNA-geschützte TCP-Ressourcen

FortiOS 7.6.3: Neue Funktionen und Erweiterungen

Cloud

• AliCloud G8i-Instanz-Unterstützung: FortiGate-VM unterstützt jetzt die AliCloud ecs.g8i-Instanzfamilie.

GUI (Grafische Benutzeroberfläche)

• Einstellung zur Verschlüsselung privater Daten: Eine neue Einstellung zum Aktivieren/Deaktivieren der privaten Datenverschlüsselung ist unter System > Einstellungen > Sicherheit verfügbar.
• Verbesserte globale Suche: Die globale Suche in der oberen Kopfzeile wurde verbessert, um einen schnelleren Zugriff auf die Befehlspalette zu ermöglichen, was eine schnellere Navigation, einen schnelleren CLI-Zugriff, eine schnellere Ausführung von Diagnosebefehlen und eine schnellere Konfigurationssuche ermöglicht.

LAN Edge

• FortiSwitch IPv6-Verwaltung: Benutzer können jetzt FortiSwitch-Einheiten über FortiLink mit IPv6-Adressen verwalten.
• FortiExtender Split-Tunnel-Modus: Einführung des Split-Tunnel-Modus für FortiExtender im LAN-Erweiterungsmodus, der es ermöglicht, bestimmten Datenverkehr am zentralen FortiGate vorbei zu leiten, wodurch die Last reduziert und die Effizienz erhöht wird.
• FortiExtender-Geräteregistrierung: FortiGate kann jetzt autorisierte FortiExtender-Geräte (FEXT) registrieren, ähnlich wie FortiAP und FortiSwitch, um ein umfassendes Netzwerkmanagement zu ermöglichen.
• Verhindern der automatischen VLAN-Erstellung: CLI-Option, um zu verhindern, dass der Switch-Controller automatisch VLANs erstellt.

Netzwerk

• Flow Mode TLS-Inspektion (ECH): Der Flow-Modus unterstützt jetzt die Überprüfung von DNS-über-TLS- (DoT) und DNS-über-HTTPS- (DoH) Datenverkehr, das Entfernen von ECH-Antworten aus DNS und das Blockieren von TLS ClientHello, das ECH verwendet.
• Verbesserte PIM-Unterstützung für VRFs: Verbesserte PIM-Unterstützung für Virtual Routing and Forwarding (VRFs) ist jetzt in der GUI verfügbar.

Politik & Objekte

• Isolator-Server-Konfiguration: GUI-Verbesserungen für die Konfiguration von Isolator-Servern für explizite und transparente Web-Proxies.
• SAML-Authentifizierung mit SCIM in Proxy-Richtlinie: Unterstützt SAML-Authentifizierung in einer Proxy-Richtlinie unter Verwendung von SCIM und erweitert die SCIM-Client-Unterstützung für SAML-Authentifizierungsverfahren.
• Auswahl der Gerätekategorie für NAC-Richtlinien: Die grafische Benutzeroberfläche der NAC-Richtlinie ermöglicht jetzt die Auswahl von Gerätekategorien aus einer Dropdown-Liste, was die Anpassung vereinfacht.
• Hyperscale Firewall NPU Session Details: Der Befehl diag sys npu-session list-brief auf Hyperscale Firewalls enthält jetzt mehr Werte (timeout, duration, policy-id) und verbesserte EIF Session Filterung.
• Policy Route Benutzer/Gruppen-Filter: Unterstützt die Konfiguration von Benutzern und Gruppen als Quellfilter in Richtlinienrouten für eine granulare Verkehrskontrolle.
• Echtzeit-Verkehrsstatistiken in QTM: Zeigt Echtzeit-Verkehrsstatistiken in QTM für NP7/NP7Lite-Plattformgeräte an.

SD-WAN

• Fabric Overlay Orchestrator Topologie-Widget: Das neue GUI-Dashboard-Widget bietet eine interaktive Ansicht der mit Fabric Overlay Orchestrator konfigurierten Hub- und Spoke-Geräte.
• Passive Überwachung von TCP-Metriken pro Anwendung: Erweitert die Überwachung und Protokollierung von TCP-Metriken auf einzelne Anwendungen und nicht nur auf einzelne Sitzungen.

Security Fabric

• Individuelle FortiGate-Automatisierungseinstellungen: Jedes FortiGate in einer Security Fabric (CSF) kann jetzt seine eigenen Automatisierungseinstellungen haben, indem es die Option fabric-sync verwendet.
• MPIP-Label-Integration: Neu gestaltete MPIP-Label-Integration für die direkte Verwendung mit DLP-Profilen ohne Wörterbücher, mit automatischer Synchronisierung von Microsoft Purview.
• NPU-Stuck Event-Erkennung (Trigger-Action-Stitch): Es wurde eine Funktion zur Erkennung und Protokollierung von NPU-Stuck-Ereignissen mit spezifischen Ereignis-IDs hinzugefügt, die die Echtzeitüberwachung und Systemstabilität verbessert.

Sicherheitsprofile

• Inline CASB Kontrollfaktoren: Verbessertes Inline-CASB-Sicherheitsprofil zur Unterstützung von Kontrollfaktoren wie Mieterinformationen in JSON-Daten unter Verwendung von JQ-Filtern.
• Industrielle Ethernet-Protokoll-Erkennung (IPS): Die IPS-Engine wurde verbessert, um industrielle Ethernet-Protokolle (LLDP, GOOSE, EtherCAT, PROFINET RT) zu erkennen und zu protokollieren, mit neuen benutzerdefinierten Signaturregeloptionen (ethertype, mac_src, mac_dst).
• AMQP für FortiGuard-Aktualisierungen: Fortinet nutzt AMQP, um FortiGuard-Update-Benachrichtigungen in Echtzeit an FortiGate-Geräte zu liefern, wodurch das Polling reduziert und sofortige, ereignisgesteuerte Updates bereitgestellt werden.
• AI/ML-basierte IPS-Erkennung: Einführung von KI/ML-Modellen, die auf Protokolldecodierungsfunktionen für eine gezieltere und effizientere Erkennung von Exploits trainiert sind, wobei ein hybrider Ansatz mit Signaturen für die Vorfilterung verwendet wird.
• Zero-Day Malware Stream Scanning: Ermöglicht die Bereitstellung von Malware-IOCs in Echtzeit über den fortimq-Daemon, blockiert neue Bedrohungen innerhalb von Sekunden und pflegt automatisch eine aktuelle Malware-Hash-Datenbank.
• GTP Echo erfordert einen benutzten Pfad: Neue GTP-Profiloption zum Blockieren von GTP-Echo-Anfragen, wenn kein aktiver Tunnel über den zugehörigen GTP-Pfad existiert.

System

• Fortinet Support Tool Desktop-Anwendung: Neue Windows- und macOS-Desktop-Anwendung (Weiterentwicklung der Chrome-Erweiterung) zur Erfassung von Echtzeit-Debugging-Informationen über REST-API-Schlüssel.
• Unterstützung für ACME External Account Binding (EAB): Fügt FortiOS-Unterstützung für ACME EAB (RFC 8555) hinzu, um ACME-Konten mit Nicht-ACME-Konten zu verknüpfen und so die Überprüfung des Domänenbesitzes zu vereinfachen.
• QTM-Statistiken und SoC5 Egress Shaping Offload: Fügt Statistiken für Traffic Shaping mit QTM und Egress-Shaping-Profile Offload für SoC5 hinzu.
• FortiTelemetrie-Integration: Bietet Informationen zur Benutzererfahrung (Anwendungsleistung, Ausfallrate), die von FortiTelemetry-Agenten gesammelt und auf FortiTelemetry-Monitorseiten angezeigt werden.
• CFM erweitert auf FG80F-POE und FG20xF: Connectivity Fault Management (CFM) wurde auf weitere FortiGate-Modelle ausgeweitet, um eine effiziente Ethernet-Netzwerkdiagnose zu ermöglichen.

Benutzer & Authentifizierung

• SAML-Benutzer in lokaler Benutzerdatenbank: FortiOS unterstützt jetzt die Definition von SAML-Benutzern in config user local, was eine präzise, benutzerspezifische Richtlinienkontrolle für SAML-authentifizierte Benutzer in Firewall- und agentenlosen VPN-Richtlinien ermöglicht.

VPN

• IPsec Dial-up VPN GUI-Verbesserungen: In IKEv2 IPsec Dial-up VPN können Benutzer jetzt Remote Gateway Match und Security Posture Tags in der GUI konfigurieren.
• Warnungen bei IKE-TCP-Portkonflikten: GUI-Warnungen werden für IKE-TCP-Portkonflikte angezeigt, wenn Port 443 für den HTTPS-Administrationszugriff auf einer Schnittstelle zugewiesen ist, die auch an einen IPsec-Tunnel gebunden ist.
• FortiClient Secure Internet Access (SIA) VPN-Vorlage: Neue VPN Wizard-Vorlage für die Konfiguration von Remote Access IPsec VPN, um den gesamten FortiClient-Datenverkehr zur Sicherheitsüberprüfung durch FortiGate zu leiten.
• IPsec-Debugging-Tools (NP6/NP7): Einführung von Debugging-Tools für IPSec auf NP6- und NP7-Plattformen, die bei der Diagnose von Problemen helfen, die vom NP-Treiber oder Kernel-Modul/IKE-Daemon ausgehen.
• Unterstützung für Quantum Key Distribution (QKD) und PQC: Fügt Unterstützung für die Konfiguration von QKD und Digital Signature Algorithm/Post-Quantum Cryptography (PQC) hinzu und ermöglicht das Mischen von Schlüsseln für robuste Sicherheit.

ZTNA (Zero Trust Network Access)

• Microsoft Entra ID SSO für TCP-Ressourcen: Windows-Benutzer, die mit Microsoft Entra ID angemeldet sind, erhalten automatisch Zugriff auf ZTNA-geschützte TCP-Ressourcen, indem sie SSO über das Login-Token des Clients nutzen.
• ZTNA-Tags in IP/MAC-basierter Zugriffskontrolle (Einstiegslevel): Plattformen der Einstiegsklasse mit 2 GB Speicher unterstützen jetzt ZTNA-Tags in der IP/MAC-basierten Zugangskontrolle und synchronisieren Posture-Tags und IP/MAC-Adressen aus EMS.