FortiWeb™Firewall para aplicações web

Conformidade PCI DSS

As ameaças à rede evoluíram e agora tem como alvo as aplicações web que abrem caminho para informações confidenciais armazenadas nos bancos de dados. Em resposta a grande parte das brechas de segurança, a indústria de cartões de crédito criou o padrão PCI. No entanto, manter as aplicações web livres de vulnerabilidades não é tarefa fácil. Os principais desafios são a contínua descoberta de novas vulnerabilidades, os desafios de patching, as revisões de código, as pressõesrelacionadas ao time-to-market, a inerente dificuldade para identificação de vulnerabilidades ou mesmo para acesso ao código da aplicação.

Proteção incomparável para aplicações web

A família FortiWeb de firewalls para aplicações web oferece proteção especializada e em camadas para as aplicações, sendo ideal para empresas de médio e grande porte, provedores de serviços e aplicações de provedores de SaaS (software como serviço). O FortiWeb protege as aplicações web e os dados expostos à Internet contra ataques e vazamento de dados. Utilizando técnicas avançadas para prover proteção bidirecional contra ameaças sofisticadas como SQL injection e cross-site scripting, as plataformas FortiWeb ajudam a bloquear roubos de identidade, fraudes financeiras e espionagem corporativa. Oproduto fornece a tecnologia necessária para monitorar e aplicar regulamentações governamentais, as melhores práticas da indústria e as políticas internas.

Implementação acelerada, custos mais baixos

O FortiWeb reduz os custos de implantação de forma significativa, por meio da consolidação de Firewall de Aplicação Web,aceleração de tráfego web e balanceamento de tráfego de aplicação em um único dispositivo sem preço por usuário. Asolução reduz o tempo necessário para proteger os dados críticos expostos na Internet e ameniza os desafios associados com aplicação de políticas e conformidade regulatória. Seu inteligente balanceamento de carga com percepção de aplicações e o mecanismo de compressão e otimização de dados aumentam o desempenho das aplicações, aprimorandoa utilização dos recursos e a estabilidade ao mesmo tempo em que reduzem o tempo de resposta do servidor.

Análise de dados Geo IP

A análise de dados em tempo real do FortiWeb oferece uma interface analítica que ajuda a analisar a utilização dasaplicações web a partir de múltiplos vetores, assim como a mapear as requisições para suas respectivas localizações geográficas.

Proteção incomparável para aplicações web

9 Certificação ICSA WAF9 Firewall para aplicações web

e auxílio a varredura integrada com conformidade PCI 6.6

9 Proteção contra DoS (negação de serviço) nas camadas da rede e das aplicações

9 Análise do comportamento do usuário

9 Análise Geo IP9 Proteção contra as 10

ameaças mais perigosas doOWASP (Open Web Application Security Project)

9 Atualizações periódicas pelo FortiGuard® Labs

Modo Offlineou Reverse

Proxy

Transparent Inspection ou True Transparent Proxy

FortiWeb - Opções de implementação

Entrega de aplicaçõesGarante a disponibilidade e acelera o desempenho das aplicações web críticas

Varredura de vulnerabilidades webExamina, analisa e detecta vulnerabilidades das aplicações web

Firewall para aplicações webGarante a segurança das aplicações web para atender a requisitos de conformidade

DATASHEET

Servidores de aplicações web

• Inline Transparent – Bridge de camada 2 que não requer modificação em nível de camada de rede.

• True Transparent Proxy – Implementação de camada 2 que não requer modificação em nível de camada de rede. O tráfego é finalizado internamente, de modo a prover mais funcionalidade que uma simples inspeção.

• Reverse Proxy – Oferece recursos adicionais, como reescrita de URLs e recursos avançados de roteamento.

• Offline Sniffing – Monitora os ambientes com zero network footprint (região com acesso à rede) e latência zero.

• Múltiplas opções de implementaçãoOpções de Transparent Inspection, True Transparent Proxy, Reverse Proxy e Offline Sniffing permitem ajustar o FortiWeb para qualquer tipo de ambiente.

• Perfil de segurança com auto-aprendizadoConstrução automática e dinâmica de um modelo de segurança de aplicações que são protegidas por meio do monitoramento contínuo, em tempo real, das atividades dos usuários. Elimina a necessidade de configuração manual dos perfis de segurança.

• Offload de autenticaçãoFaz offload da autenticação no servidor web para a plataforma FortiWeb, suportando diferentes formas de autenticação, como local, LDAP, NTLM e Radius.

• Assistente de políticas e políticas predefinidasPermite implementações com apenas um clique e facilita imensamente o processo de criação de políticas.

• Alta disponibilidadeO modo de alta disponibilidade oferece sincronização de configurações e pemite failover (redundância) em nível de rede no caso de interrupções inesperadas. As interfaces integradas de bypass (desvios) oferecem recursos adicionais de fail open (continuidade automática do tráfego) para implementações simples, que contam com apenas um appliance.

• Virtualização Oferece um appliance virtual para plaformas VMware ESX eESXi 3.5/4.0/4.1, atenuando pontos cegos em ambientes virtuais.

Implementação flexível e gerenciamento eficiente

• Proteção de vulnerabilidades na camada de aplicaçõesOferece proteção pronta, sem necessidade de configuração, para os ataques mais complexos, como SQL Injection, Cross Site Scripting, CSRF e outros . Juntamente com o sistema de perfis com autoaprendizado e outros recursos avançados, o FortiWeb pode criar regras até mesmo para o mais simples elemento daaplicação.

• Prevenção contra vazamento de dadosMonitoramento e proteção ampliados contra vazamento de cartões de crédito e de informações das aplicações, por meio do monitoramento rigoroso de todo o tráfego de saída. Permite ao usuário criar suas próprias assinaturas e padrões DLP individualizados, juntamente com regras predefinidas para qualquer tipo de evento.

• Suporte a aplicações Monitoramento e proteção simplificados para aplicações e protocolos conhecidos, como Microsoft Exchange, SharePoint, ActiveSync e RPC sobre HTTP.

• Proteção contra desfiguração webRecursos exclusivos para monitorar aplicações protegidas contra desfiguração (defacement) e para reverter rápida e automaticamente para a versão armazenada.

• Avaliação de vulnerabilidades Examina e analisa automaticamente as aplicações web protegidas e detecta brechas de segurança, vulnerabilidades conhecidas e desconhecidas, construindo uma abrangente solução para conformidade ao padrão PCI DSS.

• Validação de conformidade HTTP RFCMantendo estritamente os padrões RFC, o FortiWeb bloqueia qualquer ataque que manipule o protocolo HTTP, como ataques codificados, buffer overflows e outros ataques específicos a aplicações.

A melhor proteção e monitoramento

• Conformidade a PCI DSS O FortiWeb é o único produto que oferece um módulo de verificação de vulnerabilidades dentro do firewall de aplicações, completando uma abrangente solução para requisitos do padrão PCI DSS 6.6.

• Proteção contra as 10 ameaças mais perigosas do OWASPIncorporando um módulo de segurança positiva e negativa, baseado na análise bidirecional do tráfego, assim como um mecanismo de detecção de anomalias baseada em comportamento, o FortiWeb protege totalmente contra as 10 ameaças mais perigosas relacionadas peloOWASP (Open Web Application Security Project).

• Laboratório FortiGuard Utilizando o renomado serviço FortiGuard, os usuários do FortiWeb contam com a proteção dinâmica, sempre atualizada, do Fortinet Global Security Research Team, que pesquisa e desenvolve proteção contra as ameaças a aplicações.

CCCooonnnfffooorrrmmmiiidddaaadddeee

• Balanceamento de carga com percepção de aplicaçõesO balanceamento de carga de camada 7 inteligente, com percepção de aplicações, elimina gargalos de desempenho, reduz a complexidade da implementação e oferece integração simplificada às aplicações.

• Compressão de dadosPermite uso eficiente da banda e rápido tempo de resposta por meio da compressão dos dados extraídos dos servidores.

• Offload de SSL Com a integração da premiada tecnologia FortiASIC™, o FortiWeb processa dezenas de milhares de transações web por meio de offload de SSL acelerada por hardware.

Entrega de aplicações

Cross Site Scripting

SQL Injection

Session Hijacking

Cookie Tampering / Poisoning

Cross Site Request Forgery

Command injection

Remote File Inclusion

Forms Tampering

Hidden Field Manipulation

Outbound Data Leakage

HTTP Request Smuggling

Remote File Inclusion

Encoding Attacks

Broken Access Control

Forceful Browsing

Directory Traversal

Site Reconnaissance

Search Engine Hacking

Brute Force Login

Access Rate Control

Schema Poisoning

XML Parameter Tampering

XML Intrusion Prevention

WSDL Scanning

Recursive Payload

External Entity Attack

Buffer Overflows

DoS (negação de serviço).

O FortiWeb protege contra uma vasta gama de ataques

O perfil de autoaprendizado é completamente transparente e não requer qualquer alteração na arquitetura da aplicação ou da rede. O FortiWeb não inspeciona a aplicação para montar o perfil; ao invés disso, analisa e monitora o tráfego. Criando um modelo de segurança abrangente da aplicação, o FortiWeb pode agora proteger contra qualquer vulnerabilidade conhecida ou desconhecida e ataques “zero day”.

Perfil de autoaprendizado do FortiWeb

Análise da localização geográfica do usuário e dos acessos ao web site com base em vetores de hits, dados e ataques.

Copyright© 2012 Fortinet, Inc. Todos os direitos reservados. Fortinet®, FortiGate® e FortiGuard® são marcas registradas da Fortinet, Inc. Outros nomes Fortinet constantes desta publicação podem também ser marcas registradas da Fortinet. Todos os outros nomes de produtos ou empresas podem ser marcar registradas de seus respectivos proprietários. As métricas de performance constantes desta publicação foram obtidas em testes internos de laboratório, sob condições ideais; o desempenho poderá variar. Variáveis na rede, diferentes ambientes de rede e outras condições poderão afetar os resultados de desempenho. Nenhuma informação constante desta publicação representa compromisso por parte da Fortinet; a Fortinet não assume quaisquer garantias, expressas ou implícitas, exceto na medida em que a Fortinet assuma um contrato por escrito, assinado pelo Conselho Geral da Fortinet, com um comprador, que expressamente garanta que o produto identificado terá desempenho de acordo com as métricas de desempenho constantes desta publicação. Fica claro que tal garantia será limitada ao desempenho nas mesmas condições ideais em que foram realizados os testes internos de laboratório da Fortinet. A Fortinet não assume qualquer garantia. A Fortinet reserva-se o direito de alterar, transferir ou revisar esta publicação sem prévio aviso; será aplicável a mais recente versão da publicação. Alguns produtos Fortinet são licenciados - U.S. Patent No. 5,623,600.

SEDEFortinet Incorporated 1090 Kifer Road, Sunnyvale, CA 94086 USA Tel +1.408.235.7700 Fax +1.408.235.7737 www.fortinet.com/sales

VENDAS EMEA – FRANÇAFortinet Incorporated120 rue Albert Caquot06560, Sophia Antipolis, FranceTel +33.4.8987.0510Fax +33.4.8987.0501

VENDAS APAC – CINGAPURAFortinet Incorporated300 Beach Road 20-01, The ConcourseSingapore 199555Tel: +65-6513-3734Fax: +65-6295-0015

FWEB-DAT-R11-201201FST-PROD-DS-FWEB

PedidosProduto SKU Descrição

FortiWeb-400CFWB-400C FortiWeb-400C, x4 portas 10/100/1000, 1 HD de 500 GB

FC-10-V0403-137-02-DD FortiWeb Security Service para o FortiWeb-400C

FortiWeb-1000CFWB-1000C-E07S FortiWeb -1000C, 4 portas 10/100/1000, 1 HD de 1 TB

FC-10-V1003-137-02-DD FortiWeb Security Service para o FortiWeb-1000C

FortiWeb-3000CFWB-3000C-E02S FortiWeb-3000C, 6 portas 10/100/1000, 2 HD de 1 TB

FC-10-V3002-137-02-DD FortiWeb Security Service para o FortiWeb-3000C

FortiWeb-VM02FWB-VM02 FortiWeb-VM, até 2 vCPUs suportadas. OS de 64 bits.

FC-10-VVM02-137-02-DD FortiWeb Security Service para o FortiWeb-VM02

FortiWeb-VM04FWB-VM04 FortiWeb-VM, até 4 vCPUs suportadas. OS de 64 bits.

FC-10-VVM04-137-02-DD FortiWeb Security Service para o FortiWeb-VM04

FortiWeb-VM08FWB-VM08 FortiWeb-VM, até 8 vCPUs suportadas. OS de 64 bits.

FC-10-VVM08-137-02-DD FortiWeb Security Service para o FortiWeb-VM08

Especificações técnicas FortiWeb-400C FortiWeb-1000C FFFooorrrtttiiiWWWeeebbb---333000000000CCC FortiWeb-4000CHardware Interfaces 10/100/1000 4 4 6 6

Interfaces 1000Base-SX By-Pass 0 0 2 (FWB-3000C-FSX) 2

Interfaces USB 0 2 4 4

Armazenamento 1 TB 1 TB2 TB (padrão)6 slots x 1 TB

2 TB (padrão)6 slots x 1 TB

Formato 1U 1U 2U 2U

Fonte de alimentação Padrão Padrão 2U hot swap redundante 2U hot swap redundante

Desempenho do sistemaDesempenho 100 Mbps 500 Mbps 1 Gbps 2 Gbps

Transações HTTP por segundo (máximo) 10.000 27.000 40.000 70.000

Latência Sub-ms Sub-ms Sub-ms Sub-ms

Alta disponibilidade Ativo/passivo Ativo/passivo Ativo/passivo Ativo/passivo

Licenças de aplicações Ilimitadas Ilimitadas Ilimitadas Ilimitadas

Todosos valores referentes a desempenho são máximos e podem variar dependendo da configuração do sistema .

DimensõesAltura 1,7 polegadas (4,4 cm) 1,69 polegadas (4,3 cm) 3,5 polegadas (8,9 cm) 3,5 polegadas (8,9 cm)

Largura 17,1 polegadas (43,5 cm) 17,09 polegadas (43,4 cm) 17,5 polegadas (44,5 cm) 17,5 polegadasn (44,5 cm)

Comprimento 14,3 polegadas (36,4 cm) 24,7 polegadas (62.71 cm) 29 polegadas (73,7 cm) 29 polegadas (73,7 cm)

Peso 14,15 libras (6,42 kg) 24,2 libras (11,kg) 63 libras (28,6 kg) 63 libras (28,6 kg)

Montagem em rack Sim Sim Sim Sim

Ambiente

Alimentação100-240 VAC, 50-60 Hz,

4.0 Amp máx.100-240 VAC, 50-60 Hz,

7 Amp máx.100-240 VAC, 50-60 Hz,

9 Amp máx.100-240 VAC, 50-60 Hz,

9 Amp máx.

Consumo médio 181W 189W 200W 200W

Temperatura de operação32 a 104 graus F(0 a 40 graus C)

32 a 104 graus F(0 a 40 graus C)

32 a 104 graus F(0 a 40 graus C)

32 a 104 graus F(0 a 40 graus C)

Temperatura de armazenamento-13 a 158 graus F(-25 a 70 graus C)

-40 a 149 graus F(-40 a 65 graus C)

-40 a 149 graus F(-40 a 65 graus C)

40 a 149 graus F(-40 a 65 graus C)

Umidade 10 a 90% sem condensação 5 a 95% sem condensação 5 a 95% sem condensação 5 a 95% sem condensação

ConformidadeFCC Part 15 Class A, C-Tick, VCCI,

CE, UL/cUL, CBFCC Class A Part 15, UL/CB/CUL, C Tick, VCCI

FortiWeb-VM (2 vCPU) FortiWeb-VM (4 vCPU) FortiWeb-VM (8 vCPU)

Hardware Hypervisors suportados VMware ESXi/ESX 3.5/4.0/4.1

vCPUs suportadas (máx.) 2 4 8

vNICs (máx.) 4

Armazenamento mínimo da VM 40 GB

Memória mínima da VM 1024 MB

Desempenho

HTTP 100 Mbps 500 Mbps 1 Gbps

Transações HTTP por segundo (máximo) 8.000 24.000 36.000

Licenças de aplicações IlimitadasOs valores reais poderão variar dependendo do tráfego da rede e da configuração do sistema. As métricas de desempenho foram atingidas usando servidor Dell PowerEdge R710 (2 x Intel Xeon E5504 2.0 GHz com cache de 4MB)executando VMware ESXi 4.1 com 3GB de vRAM delegados ao FortiWeb Virtual Appliance com 4 vCPU e 8 vCPU, e 1GB de vRAM delegado ao FortiWeb Virtual Appliance com 2 vCPU.