Un FortiGate puede descargar una lista de direcciones en texto plano desde una URL externa y convertirla en un objeto utilizable en las políticas de firewall. Fortinet lo llama Threat Feed o external resource. Esta guía explica paso a paso cómo conectar el grupo de IP-DB.com, usarlo en políticas, verificarlo y resolver los fallos habituales.
Requisitos previos
- Un FortiGate con acceso de administrador (físico o virtual)
- Salida a internet del equipo: 443/TCP y resolución DNS operativa
- Una clave API de IP-DB.com, creada desde el panel de su cuenta
- Hora del sistema correcta: de ella depende la validación del certificado
1. Elija la URL del feed
Todo el grupo se sirve desde un endpoint de texto plano, un CIDR por línea:
Para limitarlo a un tipo de amenaza, añada &category=. Algunos valores válidos: botnet_c2, malware_c2, attack_source, ssh_brute_force, compromised_host, hijacked_network, tor_exit y aggregated_high_confidence. Acotar no solo reduce ruido: también evita chocar con el límite de entradas del equipo.
2. Cree el conector externo
Desde la interfaz: Security Fabric → External Connectors → Create New → Threat Feed → IP Address. El equivalente por CLI:
refresh-rate se expresa en minutos. Como el grupo se reconstruye cada 30 minutos, el rango correcto es 30–60; bajarlo a 5 no aporta datos nuevos y agota las 120 peticiones por hora de su clave.
3. Úselo en una política
El objeto resultante aparece en los campos de dirección como un grupo cualquiera. Conviene usarlo en ambos sentidos:
- Entrante (WAN → interna): una regla deny con este objeto como origen, colocada por encima de las reglas de permiso. Ahí cae la mayor parte del escaneo y la fuerza bruta.
- Saliente (interna → WAN): como destino, un segundo feed acotado a
botnet_c2ymalware_c2. Esa regla impide que una máquina de su red alcance su servidor de mando y control, y suele ser el primer sitio donde detecta una infección.
Mantenga el registro activado en ambas reglas; si no, no podrá medir si el feed sirve de algo.
4. Verificación
El enlace View Entries de la tarjeta del conector muestra cuántas entradas ha cargado realmente el equipo. Por CLI, la configuración y el estado se ven así:
Si el número es cero, la lista no llegó a descargarse; si es menor de lo esperado, probablemente haya alcanzado el límite de entradas de su modelo: acótela por categoría.
5. Resolución de problemas
- Conector en rojo: empiece por
execute ping ip-db.comy la configuración DNS. Sin resolución de nombres no hay feed. - Error de certificado: con la hora desajustada falla la validación. Revise
execute timey la configuración NTP. - Lista vacía: compruebe que copió la clave API completa en la URL; con una clave inválida el endpoint responde con un error de autorización.
- Fallos intermitentes: la misma clave en muchos equipos cada 15 minutos supera el límite horario. Genere una clave por equipo o amplíe el intervalo.
Preguntas frecuentes
¿Qué versiones de FortiOS admiten threat feeds?
El objeto external-resource existe en todas las versiones actuales de FortiOS; desde la 6.4 aparece en la interfaz en Security Fabric → External Connectors. En compilaciones anteriores se define solo por CLI.
¿Cuántas direcciones admite el feed?
El límite de entradas de recursos externos depende del modelo: desde unos miles en equipos de sobremesa hasta decenas de miles en plataformas mayores. Acote el feed con &category=; para muchos casos bastan botnet_c2 y attack_source.
¿Cada cuánto conviene actualizar?
El grupo se reconstruye cada 30 minutos, así que mantenga refresh-rate entre 30 y 60. Consultar más a menudo no aporta datos nuevos y consume el límite de 120 peticiones por hora de su clave.
¿Qué hago si el conector aparece en rojo?
Compruebe en este orden: resolución DNS en el FortiGate, salida al puerto 443, validez de la clave API, la hora del sistema (con desfase falla la validación del certificado) y si ha superado el límite horario.
Encontrará recetas breves para otras plataformas en la página de integraciones y los detalles de los endpoints en la documentación de la API. Sobre cuánto y cuán amplio bloquear, vea nuestra guía de bloqueo.
Comentarios 0
Comparte una pregunta, tu experiencia o una corrección, registrado o de forma anónima.
Aún no hay comentarios. Sé el primero.