O IPS (Intrusion Prevention System) do FortiGate inspeciona o tráfego em busca de padrões conhecidos de ataques e tentativas de exploração de vulnerabilidades.
Diferente do firewall que controla quem pode falar com quem, o IPS analisa o conteúdo do que está sendo comunicado. Um pacote HTTP na porta 80 pode ser uma requisição legítima ou um payload de SQL injection. O firewall deixa passar os dois. O IPS bloqueia o segundo.
Dois métodos de detecção
Detecção baseada em assinaturas
O FortiGuard mantém um banco de assinaturas de ataques conhecidos: exploits, malware, comandos de C&C (Command and Control), ataques a protocolos específicos.
Quando o tráfego casa com uma assinatura, o IPS aplica a ação configurada. É rápido e preciso para ameaças conhecidas. Não detecta ataques zero-day que ainda não têm assinatura.
Detecção de anomalias
Monitora comportamento anormal em protocolos de rede: rate de requisições acima do normal, pacotes malformados, fragmentação suspeita. Pode detectar ataques que não têm assinatura ainda. Mais sujeito a falsos positivos.
Sensores IPS: como funciona a configuração
No FortiGate, o IPS é configurado em sensores. Um sensor é um conjunto de regras que define quais assinaturas monitorar e qual ação tomar.
Via GUI:
Security Profiles → Intrusion Prevention → Create New
Nome: Sensor-Corporativo
Signatures:
- All Critical: Block
- All High: Block
- All Medium: Monitor
- All Low: Monitor
Via CLI:
config ips sensor
edit "Sensor-Corporativo"
config entries
edit 1
set severity critical high
set action block
next
edit 2
set severity medium low
set action monitor
next
end
next
end
As ações disponíveis
| Ação | O que faz |
|---|---|
| Allow | Permite o tráfego sem inspecionar a assinatura |
| Monitor | Detecta e registra em log, não bloqueia |
| Block | Bloqueia o tráfego e registra |
| Reset | Envia TCP RST para encerrar a conexão |
| Block IP | Bloqueia o IP de origem por um período |
| Quarantine | Isola o host na rede |
Em produção, o padrão recomendado é Block para assinaturas críticas e altas, Monitor para médias e baixas. Isso evita falsos positivos bloqueando tráfego legítimo enquanto garante proteção para as ameaças mais sérias.
Aplicar o sensor na firewall policy
Um sensor IPS não funciona isolado. Precisa ser aplicado em uma firewall policy:
config firewall policy
edit 1
set srcintf "internal"
set dstintf "wan1"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL"
set ips-sensor "Sensor-Corporativo"
set utm-status enable
next
end
Modos de inspeção: flow vs proxy
O FortiGate inspeciona o tráfego em dois modos:
Flow-based: o tráfego passa enquanto é inspecionado em paralelo. Menor latência. Inspeção menos profunda. Recomendado para a maioria dos ambientes.
Proxy-based: o FortiGate armazena o conteúdo completo antes de inspecionar. Inspeção mais profunda. Maior latência e uso de memória.
A escolha do modo afeta o IPS e outros security profiles (antivírus, web filter). Em FortiOS 7.6, o flow-based é o padrão e o recomendado pela Fortinet para a maioria dos casos.
Verificação e troubleshooting
! Ver logs do IPS em tempo real
diagnose ips packet count
! Ver estatísticas de assinaturas disparadas
diagnose ips session status
! Verificar se o IPS está ativo na política
show firewall policy 1
! Buscar assinatura específica
config ips sensor
edit "Sensor-Corporativo"
config entries
show
end
next
end
No Log & Report → Security Events, você vê todos os eventos IPS com: assinatura disparada, IP de origem, IP de destino, ação tomada. Útil para ajustar o sensor após implantação inicial.
Rate limiting com IPS
O IPS do FortiGate também pode limitar taxa de conexões para proteger contra flood e brute force:
config ips sensor
edit "Sensor-Corporativo"
config entries
edit 3
set rule 13452
set rate-count 100
set rate-duration 60
set action block
next
end
next
end
Esse exemplo bloqueia se mais de 100 conexões da assinatura 13452 ocorrerem em 60 segundos.
O que o NSE4 cobra sobre IPS
IPS é tema de alto peso no NSE4, domínio de Security Profiles. Os pontos mais frequentes:
Os dois métodos de detecção: assinaturas vs anomalias. As ações disponíveis: allow, monitor, block, reset, block IP, quarantine. Como aplicar um sensor IPS em uma firewall policy. A diferença entre flow-based e proxy-based inspection. Como verificar eventos IPS nos logs. Qual nível de severidade merece Block vs Monitor.
FAQ
O IPS do FortiGate protege contra zero-day? Parcialmente. A detecção de anomalias pode identificar comportamento anormal mesmo sem assinatura específica. Mas a proteção mais eficaz contra zero-day é a integração com FortiSandbox, que analisa arquivos suspeitos em ambiente isolado.
IPS afeta a performance do FortiGate? Sim. Quanto mais assinaturas ativas e quanto maior o tráfego, mais CPU o IPS consome. Em FortiGates menores, ativar IPS para todo o tráfego pode causar degradação. Aplique IPS seletivamente nas políticas de maior risco.
Preciso de assinatura FortiGuard para o IPS funcionar? O FortiGate tem um banco de assinaturas embutido que funciona sem assinatura ativa, mas fica desatualizado. Para proteção efetiva, a assinatura FortiGuard IPS é necessária para receber atualizações contínuas de novas ameaças.
▌ IPS é um dos temas mais cobrados no NSE4. O simulado do PacketPass tem questões calibradas para o exame FCP_FGT_AD-7.6 atual.
Informações baseadas no blueprint NSE4 FortiOS 7.6, documentação oficial da Fortinet e CertLand Study Guide (março 2026).