FortiSOAR

Información básica

Fortinet FortiSOAR es una plataforma de orquestación, automatización y respuesta de seguridad (SOAR) diseñada para mejorar las operaciones de seguridad mediante la centralización de la gestión de incidentes y la automatización de la investigación y respuesta ante amenazas.

• Modelo: FortiSOAR está disponible como dispositivo virtual, como solución alojada en Fortinet (PaaS) o como aplicación de extensión de administración (MEA) en FortiAnalyzer y FortiManager.
• Versión: Hay documentación disponible para varias versiones, y la 7.6.4 aparece como la última versión referenciada en la documentación oficial.
• Fecha de lanzamiento: Las fechas de lanzamiento específicas del producto varían según la versión; la plataforma está en constante desarrollo y actualización.
• Requisitos mínimos:
  • Para FortiSOAR MEA: 4 CPU, 8 GB de RAM.
  • Para dispositivo virtual: 8 vCPU, 32 GB de RAM, 500 GB de espacio en disco.
• Sistemas operativos compatibles: Rocky Linux 8.6 o RHEL 8.6 para instalaciones basadas en scripts. Las versiones anteriores son compatibles con CentOS 7.
• Última versión estable: La última versión documentada es la 7.6.4.
• Fecha de fin de soporte: Las fechas de fin de soporte (EOS) suelen depender del contrato y generalmente no se publican.
• Fecha de fin de vida útil: Las fechas de fin de vida útil (EOL, por sus siglas en inglés) suelen depender del contrato y generalmente no se publican.
• Fecha de vencimiento de la actualización automática: No se especifica públicamente; las actualizaciones se gestionan a través de contratos de soporte de Fortinet y actualizaciones gestionadas.
• Tipos de licencia: FortiSOAR ofrece licencias perpetuas, perpetuas (de prueba) y de suscripción. Las ediciones incluyen Enterprise, Multi-Tenant y Starter Edition, y el licenciamiento suele basarse en el número de usuarios. También está disponible el licenciamiento FortiFlex.
• Modelo de implementación: FortiSOAR admite modelos de implementación flexibles que incluyen dispositivos virtuales (en las instalaciones, plataformas de nube pública como AWS, VMware ESXi, KVM, Docker), alojamiento en Fortinet (PaaS/FortiCloud) y como MEA en FortiAnalyzer/FortiManager.

Requisitos técnicos

Los requisitos técnicos de FortiSOAR varían según la escala y el modelo de implementación, haciendo hincapié en los entornos virtualizados y el almacenamiento de alto rendimiento.

• RAM:
  • Mínimo para FortiSOAR MEA: 8 GB.
  • Requisitos mínimos para el dispositivo virtual: 32 GB.
  • Recomendado para dispositivo virtual: 48 GB.
• Procesador:
  • Mínimo para FortiSOAR MEA: 4 CPU.
  • Requisitos mínimos para el dispositivo virtual: 8 vCPU.
  • Recomendado para dispositivo virtual: 12 vCPU.
• Almacenamiento:
  • Requisitos mínimos para el dispositivo virtual: 500 GB.
  • Recomendado para dispositivo virtual: 1 TB.

  Se recomienda un almacenamiento de alto rendimiento, preferiblemente SSD. Los requisitos de espacio en disco dependen significativamente del uso, las auditorías y las políticas de retención de flujos de trabajo.

• Puertos: Requiere acceso entre la máquina virtual FortiSOAR y los productos y servicios de terceros integrados. El puerto SMTP (puerto 25) se usa normalmente para el correo electrónico. Los demás puertos dependen de los conectores y playbooks específicos que se utilicen.
• Sistema operativo: Para instalaciones basadas en scripts, se admiten Rocky Linux 8.6 o RHEL 8.6. Las versiones anteriores eran compatibles con CentOS 7. Fortinet recomienda la instalación en un sistema operativo no reforzado, ya que FortiSOAR realiza su propio refuerzo de seguridad tras la instalación.

Análisis de los requisitos técnicos

FortiSOAR está diseñado para entornos virtualizados, con asignación de recursos escalable. Las especificaciones recomendadas para RAM, CPU y almacenamiento son considerables, lo que refleja su función en el procesamiento y la orquestación de flujos de trabajo de seguridad complejos. El énfasis en el almacenamiento de alto rendimiento (SSD) subraya la necesidad de un acceso y procesamiento de datos rápidos para la respuesta a incidentes. La compatibilidad con sistemas operativos se centra en distribuciones Linux de nivel empresarial, lo que garantiza una base sólida y segura. La naturaleza dinámica de los requisitos de puertos destaca las amplias capacidades de integración de la plataforma, lo que exige una planificación de red cuidadosa basada en los conectores implementados.

Soporte y compatibilidad

FortiSOAR ofrece una amplia compatibilidad gracias a su extensa biblioteca de conectores y admite plataformas de virtualización comunes.

• Última versión: La última versión documentada es la 7.6.4.
• Sistemas operativos compatibles: Se admite la instalación en Rocky Linux 8.6 y RHEL 8.6. Las versiones anteriores compatibles son CentOS 7.
• Hipervisores compatibles: AWS Cloud, Fortinet-FortiCloud, VMware ESXi (versiones 5.5, 6.0, 6.5, 7.0, 8.0), Redhat KVM y Docker.
• Fecha de fin de soporte: Las fechas generales de fin de soporte no están disponibles públicamente y normalmente se especifican en los contratos de soporte individuales.
• Localización: Las opciones de localización específicas no se detallan explícitamente en la documentación pública.
• Controladores disponibles: FortiSOAR utiliza conectores para la integración, compatibles con más de 500 productos de seguridad de múltiples proveedores, incluidos SIEM, EDR y sistemas de gestión de incidencias. Un centro de contenido proporciona una amplia biblioteca de conectores y manuales de procedimientos predefinidos. También se pueden desarrollar conectores personalizados.

Análisis del estado general de soporte y compatibilidad

FortiSOAR demuestra una sólida compatibilidad con las principales plataformas de virtualización y un amplio ecosistema de herramientas de seguridad gracias a su extensa biblioteca de conectores. Esto permite una implementación e integración flexibles en diversos entornos empresariales. Si bien las fechas específicas del ciclo de vida dependen del contrato, Fortinet ofrece actualizaciones continuas y una sólida infraestructura de soporte. La capacidad de crear conectores personalizados mejora aún más su adaptabilidad a las necesidades únicas de cada cliente.

Estado de seguridad

FortiSOAR incorpora un conjunto completo de funciones de seguridad, con especial atención a la protección de datos confidenciales y a garantizar un acceso seguro.

• Características de seguridad:
  • Automatiza los flujos de trabajo de priorización, investigación y respuesta a alertas.
  • Integra información sobre amenazas procedente de FortiGuard Labs y otras fuentes.
  • Proporciona capacidades de gestión de activos y vulnerabilidades.
  • Incluye una Sala de Guerra de Incidentes para la investigación colaborativa.
  • Incluye un motor de recomendaciones basado en aprendizaje automático para la agrupación de alertas y la evaluación de amenazas.
  • Admite el control de acceso basado en roles (RBAC) para la gestión de datos confidenciales.
  • Utiliza un modelo de seguridad sin sesión con tokens de autenticación únicos y de duración limitada.
  • Las acciones de la API se revisan en función de los privilegios de autorización del usuario.
• Vulnerabilidades conocidas: Se han reportado diversas vulnerabilidades (CVE) en diferentes versiones de FortiSOAR, incluyendo inyección de comandos del sistema operativo, secuencias de comandos entre sitios (XSS), recorrido de rutas relativas y divulgación de información confidencial (por ejemplo, contraseñas de conectores en texto plano). Fortinet publica parches periódicamente para solucionar estas vulnerabilidades.
• Estado en la lista negra: No aplicable para una plataforma SOAR.
• Certificaciones: Las certificaciones específicas del sector no se detallan explícitamente en la documentación disponible públicamente.
• Compatibilidad con cifrado:
  • Datos en reposo: admite cifrado de disco completo (FDE) mediante LUKS (Linux Unified Key Setup) a partir de la versión 7.6.1.
  • Datos en tránsito: Todas las comunicaciones de red, incluidas HTTPS, TCP y las API REST, están cifradas.
  • Las claves de cifrado son únicas para cada instancia y requieren una copia de seguridad segura.
• Métodos de autenticación: Admite múltiples métodos de autenticación, incluyendo usuarios de base de datos, integración con LDAP/Active Directory, inicio de sesión único (SSO) mediante SAML, autenticación mediante servidor RADIUS y autenticación de dos factores (2FA) con Google Authenticator o Telesign. El acceso a la API utiliza autenticación basada en HMAC y claves API.
• Recomendaciones generales: Fortinet recomienda utilizar sistemas que cumplan o superen las especificaciones recomendadas, proteger las claves de cifrado, aplicar los parches con prontitud, configurar la autenticación de dos factores (2FA) y utilizar conjuntos de privilegios limitados para las acciones de la API para mejorar la seguridad.

Análisis de la calificación de seguridad general

FortiSOAR presenta una sólida postura de seguridad general, integrando funciones robustas para la respuesta a incidentes, la inteligencia de amenazas y el control de acceso. El cifrado integral de datos, tanto en reposo como en tránsito, junto con diversos métodos de autenticación, proporciona una protección significativa. La divulgación y corrección periódicas de vulnerabilidades por parte de Fortinet demuestran un compromiso activo con la seguridad del producto. Se recomienda a los usuarios seguir las mejores prácticas en cuanto a la configuración del sistema, la aplicación de parches y la gestión de accesos para mantener una seguridad óptima.

Rendimiento y puntos de referencia

El rendimiento de FortiSOAR está optimizado para una ingesta de alertas y una ejecución de playbooks eficientes, y la escalabilidad se logra mediante la asignación de recursos y la agrupación en clústeres.

• Puntuaciones de referencia: Fortinet realiza pruebas de rendimiento para las versiones principales, evaluando métricas como las tasas de ingesta de alertas y los tiempos de ejecución de los playbooks. Las pruebas de rendimiento están disponibles para versiones como la 7.0.1, 7.0.2, 7.5.0 y 7.6.2.
• Métricas de rendimiento en el mundo real:
  • Los clústeres de alta disponibilidad (HA) demuestran un procesamiento de carga de trabajo más eficaz y tiempos de ejecución más rápidos en comparación con los sistemas de un solo nodo.
  • En pruebas de ingesta sostenida, un sistema de un solo nodo que procesaba 28.800 alertas por día (con 288.000 ejecuciones de playbooks) mostró un uso promedio de CPU del 51%.
  • El rendimiento se ve influenciado por factores como la tasa de ingesta, el número de flujos de trabajo y las políticas de eliminación.
• Consumo de energía: Al tratarse de una plataforma basada en software, no se aplican métricas directas de consumo de energía; el consumo de energía depende de la infraestructura de hardware subyacente.
• Huella de carbono: No se mide directamente para el activo de software; depende de la eficiencia energética de la infraestructura de alojamiento.
• Comparación con activos similares: FortiSOAR se compara habitualmente con otras soluciones SOAR como Microsoft Sentinel y Palo Alto Networks Cortex XSOAR en el mercado.

Análisis del estado general del rendimiento

FortiSOAR está diseñado para ofrecer un alto rendimiento en la orquestación y automatización de la seguridad, especialmente en el manejo de grandes volúmenes de alertas y la ejecución de playbooks complejos. Su arquitectura admite escalabilidad mediante clustering y bases de datos externas, lo que permite a las organizaciones adaptar los recursos a sus necesidades específicas de carga de trabajo. Los resultados de las pruebas de rendimiento demuestran consistentemente que las configuraciones de alta disponibilidad mejoran significativamente la eficiencia del procesamiento. Para un rendimiento óptimo, es fundamental cumplir con las especificaciones del sistema recomendadas y configurar correctamente los ajustes de FortiSOAR.

Reseñas y comentarios de los usuarios

Los comentarios de los usuarios resaltan las fortalezas de FortiSOAR en automatización e integración, al tiempo que señalan áreas de mejora en la implementación inicial y la personalización.

• Fortalezas:
  • Automatización y orquestación: Los usuarios valoran enormemente sus capacidades para optimizar las operaciones de seguridad, automatizar tareas repetitivas y reducir la intervención manual.
  • Integraciones: Destaca por su perfecta integración con más de 500 herramientas de seguridad de Fortinet y de terceros, mejorando la respuesta ante incidentes.
  • Gestión de incidentes: Eficaz para la gestión centralizada de incidentes, la priorización de alertas y la integración de inteligencia sobre amenazas.
  • Facilidad de uso: Muchos usuarios encuentran la interfaz intuitiva y el diseño de manual "sin código" beneficioso para crear flujos de trabajo.
  • Soporte al cliente: El soporte y la comunidad de Fortinet son frecuentemente citados como útiles.
  • Funcionalidades impulsadas por IA: El motor de recomendaciones basado en aprendizaje automático ayuda en la agrupación de alertas y la evaluación de amenazas.
• Debilidades:
  • Complejidad de la configuración: La configuración inicial puede resultar compleja, especialmente para equipos con poca experiencia o al integrar numerosas herramientas y personalizar flujos de trabajo.
  • Flexibilidad en la creación de scripts: Algunos usuarios desean opciones de scripting más avanzadas que el enfoque "sin código" para una personalización más profunda.
  • Fatiga por alertas: Las funciones extensas pueden provocar fatiga por alertas si no se configuran y gestionan adecuadamente.
  • Convenciones de nomenclatura: Las inconsistencias en la terminología (por ejemplo, "alerta" frente a "incidente") entre FortiSOAR y otros productos de Fortinet pueden causar confusión.
• Casos de uso recomendados: FortiSOAR se recomienda para la respuesta a incidentes de seguridad, la priorización de alertas, la investigación y los flujos de trabajo de respuesta, especialmente para equipos SOC, NOC y OT. También se utiliza para la gestión de activos y vulnerabilidades, la gestión de inteligencia de amenazas, la automatización del cumplimiento normativo y la gestión de crisis.

Resumen

Fortinet FortiSOAR es una plataforma SOAR (Orquestación, Automatización y Respuesta de Seguridad) robusta y de alto rendimiento, que actúa como centro neurálgico de las operaciones de seguridad. Su principal fortaleza reside en sus amplias capacidades de automatización y orquestación, que agilizan significativamente la respuesta a incidentes, reducen el trabajo manual y mejoran la eficiencia general del SOC (Centro de Operaciones de Seguridad). La plataforma ofrece una amplia compatibilidad con más de 500 herramientas de seguridad de terceros gracias a su completa biblioteca de conectores, lo que permite una integración perfecta en diversos entornos empresariales. Funciones clave como las recomendaciones basadas en IA, una sala de guerra de incidentes colaborativa y la integración completa de inteligencia de amenazas permiten a los equipos de seguridad detectar, investigar y mitigar las amenazas con eficacia.

Sin embargo, FortiSOAR presenta algunos desafíos, sobre todo durante la configuración inicial y las personalizaciones complejas, que pueden requerir una gran experiencia. Si bien su diseño sin código es una ventaja para muchos, algunos usuarios avanzados expresan su deseo de una mayor flexibilidad en la creación de scripts. El rendimiento de la plataforma escala bien con recursos adecuados y configuraciones de alta disponibilidad, lo que la hace idónea para cargas de trabajo exigentes. La seguridad es un aspecto fundamental, con un cifrado exhaustivo para los datos en reposo y en tránsito, opciones de autenticación multifactor y controles de acceso robustos. El enfoque proactivo de Fortinet para abordar las vulnerabilidades conocidas mediante parches periódicos refuerza aún más su postura de seguridad.

En resumen, FortiSOAR es una excelente opción para las organizaciones que buscan automatizar y optimizar sus operaciones de seguridad, en particular aquellas con ecosistemas de seguridad complejos y de múltiples proveedores. Sus fortalezas en automatización, integración y gestión de incidentes compensan la complejidad de su configuración inicial, convirtiéndolo en un recurso valioso para mejorar la respuesta ante incidentes y reducir el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR). Las organizaciones deben planificar la disponibilidad de recursos adecuados y, posiblemente, de personal especializado para la implementación inicial y la personalización avanzada, con el fin de aprovechar al máximo sus capacidades.

La información proporcionada se basa en datos de dominio público y puede variar según la configuración específica del dispositivo. Para obtener información actualizada, consulte los recursos oficiales del fabricante.