Ringkasan: CISA mengingatkan organisasi untuk segera melakukan hardening perangkat Fortinet yang internet-facing setelah laporan exposure credential pada perangkat Fortinet, termasuk firewall dan SSL VPN gateway. Pada saat yang berdekatan, Fortinet PSIRT juga mempublikasikan advisory FortiClient EMS yang perlu ditindaklanjuti oleh tim endpoint dan security operations.
Kenapa ini penting untuk tim IT Indonesia
Perangkat firewall dan VPN sering menjadi pintu akses utama untuk admin, user remote, vendor, dan integrasi antar lokasi. Jika credential lama masih valid, sesi VPN belum diputus, atau management interface masih terbuka dari internet, attacker bisa masuk tanpa perlu mengeksploitasi kerentanan baru.
Untuk organisasi yang memakai FortiGate, FortiClient EMS, atau arsitektur remote access berbasis SSL VPN, respon yang tepat bukan hanya mengganti password. Yang perlu dicek adalah kombinasi credential hygiene, session control, exposure management, patch level, dan monitoring anomali login.
Checklist prioritas 24 jam
1. Putus sesi aktif dan reset credential prioritas
Mulai dari akun admin, akun VPN, akun vendor, dan akun dengan akses ke firewall atau sistem penting. Terminate active SSL VPN dan administrative sessions, lalu paksa password reset untuk akun yang relevan.
2. Tutup management interface dari internet
Pastikan administrasi firewall tidak dapat diakses langsung dari public internet. Batasi management interface ke jaringan internal, jump host, atau akses yang diawasi. Hapus akun yang tidak diperlukan dan review akun dormant.
3. Validasi penyimpanan credential dan versi FortiOS
CISA menyoroti pentingnya penggunaan PBKDF2 untuk penyimpanan administrator credential sesuai guidance Fortinet. Tim IT perlu memverifikasi versi FortiOS, konfigurasi hash, dan apakah masih ada legacy credential handling yang perlu dimigrasikan.
4. Review FortiClient EMS dan endpoint management
Fortinet PSIRT FG-IR-26-099 menyebut FortiClient EMS terdampak improper access control yang dapat memungkinkan unauthenticated attacker menjalankan unauthorized code atau command melalui crafted request. Fortinet menyatakan eksploitasi telah diamati dan mengarahkan customer terdampak untuk memasang hotfix FortiClient EMS 7.4.5 atau 7.4.6, sementara versi 7.4.7 akan menyertakan perbaikan.
5. Cari indikator akses tidak biasa
Review log VPN, admin login, perubahan policy, pembuatan akun baru, perubahan objek firewall, dan akses dari ASN atau negara yang tidak biasa. Jika SIEM atau log collector belum rapi, export log prioritas untuk analisis manual terlebih dahulu.
Discovery questions untuk assessment
- Apakah SSL VPN masih aktif dan siapa saja user yang terakhir login?
- Apakah admin interface pernah terbuka dari internet?
- Apakah akun vendor atau akun lama masih enabled?
- Apakah password reset sudah dilakukan untuk akun VPN dan administrator?
- Apakah FortiOS dan FortiClient EMS sudah mengikuti versi atau hotfix yang disarankan vendor?
- Apakah log admin activity dan VPN login bisa ditarik minimal 30 hari terakhir?
- Apakah MFA sudah diterapkan untuk remote access dan privileged login?
Rekomendasi implementasi bertahap
Hari 0-1: terminate sesi aktif, reset credential, tutup management exposure, dan patch/hotfix sistem terdampak.
Minggu 1: audit policy, user, admin role, VPN group, log anomali, dan baseline konfigurasi firewall.
30 hari: rapikan segmentation, MFA untuk remote access, backup konfigurasi firewall, monitoring change policy, dan runbook incident response.
Bagaimana myBATICloud bisa membantu
myBATICloud dapat membantu Fortinet exposure review untuk memetakan perangkat internet-facing, status patch, akses admin, VPN posture, MFA readiness, dan prioritas hardening. Output yang disarankan adalah risk summary, quick fix list, dan roadmap 30 hari agar tim internal bisa bergerak tanpa menunggu project besar.
Jika organisasi Anda memakai Fortinet untuk firewall, VPN, atau endpoint management, gunakan jalur konsultasi untuk review awal. Fokusnya bukan langsung menjual perangkat baru, tetapi memastikan kontrol dasar sudah aman dan bisa diaudit.