Ce que le Fabric apporte

• Visibilité unifiée (réseau, endpoints, identités, apps, cloud)
• Partage de contexte (IOC, réputation, posture, user)
• Réponse coordonnée (automations : block/quarantine/ticket)
• Ops : config centralisée + logs centralisés + audit

Modèle mental : pipeline sécurité

1. Collecter (logs/télémétrie)
2. Détecter (IPS/EDR/SIEM)
3. Décider (playbook / analyste)
4. Agir (blocage/quarantaine)
5. Tracer (reporting) & améliorer

Composants typiques

Gouvernance (sinon ça échoue)

• Conventions de nommage + tags
• RBAC strict
• Change management
• Logs centralisés + rétention

Méthode de config (celle qui marche)

1. Objets (addresses/services/groups, FQDN/ISDB)
2. Zones (LAN_USERS / LAN_SRV / DMZ / WAN)
3. Policies top‑down
4. NAT (VIP + SNAT/central NAT)
5. Inspection (IPS/AV/Web/DNS/App/SSL)
6. Logs (deny + rules sensibles)

Design patterns

• Edge : NAT + SSL inspection ciblée + web/app control
• Est‑ouest : IPS ciblé + micro‑seg
• DMZ : VIP + WAF si besoin

Debug incident (socle)

get router info routing-table all
                        diag debug flow filter clear
                        diag debug flow filter addr 10.0.0.10
                        diag debug flow trace start 50
                        diag debug enable
                        diag sniffer packet any "host 10.0.0.10" 4 0 a

Checklist “ça ne passe pas”

1. Trafic arrive ?
2. Bonne route ?
3. Bonne policy ? (policyid)
4. NAT correct ?
5. Inspection drop ?
6. Retour symétrique ?

Concepts

• Members : liens WAN
• Health checks : latence/jitter/perte
• SLA : seuils
• Steering rules : choix du lien

Règles type

• VoIP/Teams : meilleur jitter
• Backups : lien moins cher
• Critique : préférence + failover

Checklist prod

1. 2–3 health checks pertinents
2. SLA réalistes
3. Steering par usage
4. Tests : coupure/dégradation
5. Doc “route effective”

diagnose sys sdwan health-check
                        diagnose firewall proute list

Objectifs

• Secure Internet Access (SWG, RBI selon options)
• Secure SaaS (CASB/SSPM selon options)
• Secure Private Access (ZTNA)

ZTNA (principe)

• Accès par application (micro‑seg) au lieu d’un VPN “plat”.
• Décision : identité + posture + contexte.

Déploiement progressif

1. Inventorier apps
2. Activer agent + posture (EMS)
3. Pilote
4. Basculer app par app
5. Mesurer (DEM) et ajuster

Risques

• Posture trop stricte → blocages
• DNS/split‑tunnel → surprises

Ce que l’agent apporte

• VPN (SSL/IPsec) + Universal ZTNA
• Posture device (compliance)
• Télémétrie vers le Fabric

EMS

• Gestion centralisée endpoints
• Politiques par groupe/posture

Patterns efficaces

• Posture “observe” → “enforce”
• Standardiser versions agent
• Logs vers FAZ/SIEM

Concepts

• ADOM (segmentation)
• Policy packages
• Objects DB partagée
• Templates (interfaces/routing/VPN)

Workflow

1. Staging
2. Diff/validation
3. Install (change)
4. Rollback

Gouvernance

• RBAC strict
• Nommage/tags
• Limiter overrides locaux

À logger

• Traffic (accept/deny)
• Event (admin, HA, VPN)
• Security (IPS/AV/Web/DNS/SSL)

Sizing

• EPS + burst
• Rétention (hot/warm/cold)

Valeur

• Investigations rapides
• Rapports conformité
• Base SOC

FortiSIEM

• Collecte multi‑sources
• Corrélation & anomalies
• Use‑cases : brute force, IOC, exfil

FortiSOAR

• Playbooks : block, quarantine, ticket
• Connecteurs Fortinet + tiers

Pragmatisme

1. Top 10 use‑cases
2. Qualité logs
3. Runbooks
4. Playbooks simples puis enrichir

Services typiques

• IPS
• AV/anti‑malware
• Web filtering
• Reputation
• ISDB

Stratégie d’activation

• IPS : profils adaptés
• Web : sur flux users
• SSL : inspection ciblée + exceptions

Hygiène

• Surveiller expirations licences
• Vérifier updates

Menaces

• Injection/XSS/auth flaws
• Credential stuffing
• Abus API

Déploiement

• Reverse proxy
• Monitor → block

Checklist prod

1. Baselining
2. Activation progressive
3. Exceptions documentées
4. Logs SIEM
5. Tests réguliers

Essentiels

• Anti‑phish + URL protection
• Anti‑spam
• Sandboxing pièces jointes

Hygiène domaine

• SPF/DKIM/DMARC

Runbook anti‑phish

1. Détecter
2. Rechercher IOCs
3. Purger + bloquer
4. Informer

Use‑cases

• Inventaire/profilage
• Quarantaine non‑conformes
• Invités/onboarding

Pourquoi c’est dur

• Beaucoup d’exceptions
• Coordination NetOps/SecOps

Approche safe

1. Monitor only
2. Catégoriser
3. Enforce progressivement
4. Intégrer au Fabric

Composants

• FortiAuthenticator : AAA
• FortiToken : MFA
• PAM : accès privilégiés (si besoin)

Hardening admin

• Trusted hosts + MFA
• Pas d’admin depuis WAN

Checklist

1. MFA VPN/admin
2. RBAC
3. Logs admin changes
4. Rotation secrets/certs

Pourquoi intégrer le LAN

• Mouvements latéraux
• IoT/Invités
• Segmentation fine

Patterns

• VLAN par rôle
• SSID par profil

Ops

• Templates par site
• Monitoring port flaps / rogue
• Logs centralisés

Couverture

• Misconfigs
• Vulns images/VM/containers
• Chemins d’attaque

Approche

• Baselines
• Remédiation ticketing/CI

Intégration SOC

• Alertes cloud → SIEM/SOAR
• Asset inventory : owner/criticité

Contraintes

• Legacy non patchable
• Maintenance rare
• Disponibilité prioritaire

Patterns

• Zones/conduits
• DMZ industrielle

Méthode safe

1. Cartographier flux
2. Segmenter
3. Enforce par étapes + rollback

Automatiser quoi ?

• Backups planifiés
• Audit policies (ANY‑ANY, shadow rules)
• Provisioning (templates)
• Réponse (block/quarantine)

Stitches

• Trigger → action (webhook/script)

Garde‑fous

• RBAC API + IP restrictions
• Lab/staging/prod
• Diff/validation + rollback

Licences

• Support : firmware + RMA
• FortiGuard : services sécurité
• FMG/FAZ : capacité/édition

Compat

• FortiOS ↔ FMG/FAZ
• Versions agent endpoints

Upgrade safe

1. Release notes + known issues
2. Backup + snapshot
3. HA : standby → failover → autre nœud
4. Smoke tests (VPN/WAN/logs)

1) Edge Internet

• FortiGate HA, zones LAN/DMZ/WAN
• VIP + logs + IPS + SSL ciblée

2) Branch SD‑WAN

• 2 liens + SLA + overlay vers hubs

3) Remote ZTNA

• FortiClient/EMS ou FortiSASE

4) DC est‑ouest

• Micro‑seg + IPS ciblé

5) AppSec

• FortiWeb devant apps/APIs

6) SOC pipeline

• FAZ → SIEM → SOAR → actions