← voltar pro blog
// nse4

FortiGate IPS: como funciona e como configurar sensores de prevenção de intrusão

por Luiz Silvério

O IPS (Intrusion Prevention System) do FortiGate inspeciona o tráfego em busca de padrões conhecidos de ataques e tentativas de exploração de vulnerabilidades.

Diferente do firewall que controla quem pode falar com quem, o IPS analisa o conteúdo do que está sendo comunicado. Um pacote HTTP na porta 80 pode ser uma requisição legítima ou um payload de SQL injection. O firewall deixa passar os dois. O IPS bloqueia o segundo.


Dois métodos de detecção

Detecção baseada em assinaturas

O FortiGuard mantém um banco de assinaturas de ataques conhecidos: exploits, malware, comandos de C&C (Command and Control), ataques a protocolos específicos.

Quando o tráfego casa com uma assinatura, o IPS aplica a ação configurada. É rápido e preciso para ameaças conhecidas. Não detecta ataques zero-day que ainda não têm assinatura.

Detecção de anomalias

Monitora comportamento anormal em protocolos de rede: rate de requisições acima do normal, pacotes malformados, fragmentação suspeita. Pode detectar ataques que não têm assinatura ainda. Mais sujeito a falsos positivos.


Sensores IPS: como funciona a configuração

No FortiGate, o IPS é configurado em sensores. Um sensor é um conjunto de regras que define quais assinaturas monitorar e qual ação tomar.

Via GUI:

Security Profiles → Intrusion Prevention → Create New

Nome: Sensor-Corporativo
Signatures:
  - All Critical: Block
  - All High: Block  
  - All Medium: Monitor
  - All Low: Monitor

Via CLI:

config ips sensor
    edit "Sensor-Corporativo"
        config entries
            edit 1
                set severity critical high
                set action block
            next
            edit 2
                set severity medium low
                set action monitor
            next
        end
    next
end

As ações disponíveis

Ação O que faz
Allow Permite o tráfego sem inspecionar a assinatura
Monitor Detecta e registra em log, não bloqueia
Block Bloqueia o tráfego e registra
Reset Envia TCP RST para encerrar a conexão
Block IP Bloqueia o IP de origem por um período
Quarantine Isola o host na rede

Em produção, o padrão recomendado é Block para assinaturas críticas e altas, Monitor para médias e baixas. Isso evita falsos positivos bloqueando tráfego legítimo enquanto garante proteção para as ameaças mais sérias.


Aplicar o sensor na firewall policy

Um sensor IPS não funciona isolado. Precisa ser aplicado em uma firewall policy:

config firewall policy
    edit 1
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set ips-sensor "Sensor-Corporativo"
        set utm-status enable
    next
end

Modos de inspeção: flow vs proxy

O FortiGate inspeciona o tráfego em dois modos:

Flow-based: o tráfego passa enquanto é inspecionado em paralelo. Menor latência. Inspeção menos profunda. Recomendado para a maioria dos ambientes.

Proxy-based: o FortiGate armazena o conteúdo completo antes de inspecionar. Inspeção mais profunda. Maior latência e uso de memória.

A escolha do modo afeta o IPS e outros security profiles (antivírus, web filter). Em FortiOS 7.6, o flow-based é o padrão e o recomendado pela Fortinet para a maioria dos casos.


Verificação e troubleshooting

! Ver logs do IPS em tempo real
diagnose ips packet count

! Ver estatísticas de assinaturas disparadas
diagnose ips session status

! Verificar se o IPS está ativo na política
show firewall policy 1

! Buscar assinatura específica
config ips sensor
    edit "Sensor-Corporativo"
        config entries
            show
        end
    next
end

No Log & Report → Security Events, você vê todos os eventos IPS com: assinatura disparada, IP de origem, IP de destino, ação tomada. Útil para ajustar o sensor após implantação inicial.


Rate limiting com IPS

O IPS do FortiGate também pode limitar taxa de conexões para proteger contra flood e brute force:

config ips sensor
    edit "Sensor-Corporativo"
        config entries
            edit 3
                set rule 13452
                set rate-count 100
                set rate-duration 60
                set action block
            next
        end
    next
end

Esse exemplo bloqueia se mais de 100 conexões da assinatura 13452 ocorrerem em 60 segundos.


O que o NSE4 cobra sobre IPS

IPS é tema de alto peso no NSE4, domínio de Security Profiles. Os pontos mais frequentes:

Os dois métodos de detecção: assinaturas vs anomalias. As ações disponíveis: allow, monitor, block, reset, block IP, quarantine. Como aplicar um sensor IPS em uma firewall policy. A diferença entre flow-based e proxy-based inspection. Como verificar eventos IPS nos logs. Qual nível de severidade merece Block vs Monitor.


FAQ

O IPS do FortiGate protege contra zero-day? Parcialmente. A detecção de anomalias pode identificar comportamento anormal mesmo sem assinatura específica. Mas a proteção mais eficaz contra zero-day é a integração com FortiSandbox, que analisa arquivos suspeitos em ambiente isolado.

IPS afeta a performance do FortiGate? Sim. Quanto mais assinaturas ativas e quanto maior o tráfego, mais CPU o IPS consome. Em FortiGates menores, ativar IPS para todo o tráfego pode causar degradação. Aplique IPS seletivamente nas políticas de maior risco.

Preciso de assinatura FortiGuard para o IPS funcionar? O FortiGate tem um banco de assinaturas embutido que funciona sem assinatura ativa, mas fica desatualizado. Para proteção efetiva, a assinatura FortiGuard IPS é necessária para receber atualizações contínuas de novas ameaças.


▌ IPS é um dos temas mais cobrados no NSE4. O simulado do PacketPass tem questões calibradas para o exame FCP_FGT_AD-7.6 atual.


Informações baseadas no blueprint NSE4 FortiOS 7.6, documentação oficial da Fortinet e CertLand Study Guide (março 2026).