Bien que Fortinet soit surtout connu pour sa technologie de pare-feu de pointe, l’entreprise s’appuie sur son expertise en protection des réseaux pour créer une puissante solution de contrôle d’accès au réseau (NAC). Grâce à une grande évolutivité et à une prise en charge robuste de la détection, du profilage et de l’intégration des appareils informatiques traditionnels et non traditionnels, FortiNAC constitue une option intéressante pour de nombreuses entreprises à envisager.
Pour comparer FortiNAC à ses concurrents, consultez la liste complète des meilleures solutions de contrôle d’accès au réseau (NAC).
Qui est Fortinet ?
Fondé en 2000, Fortinet, dont le siège se trouve à Sunnyvale, en Californie, propose avec son produit phare FortiGate des solutions de pare-feu de niveau professionnel. L’entreprise a acquis Bradford Networks et son produit NAC Network Sentry en 2018. Fortinet est cotée au NASDAQ sous le symbole boursier : FTNT.
FortiNAC
FortiNAC offre une visibilité sur le réseau permettant de voir tout ce qui y est connecté, ainsi que la possibilité de contrôler ces appareils et ces utilisateurs, notamment grâce à des réponses dynamiques et automatisées. FortiNAC fonctionne efficacement comme solution NAC de base pour les connexions filaires et sans fil, avec des utilisateurs employés et invités sur des postes de travail, des ordinateurs portables, des serveurs et des appareils mobiles traditionnels.
FortiNAC fournit également une segmentation du réseau et des réponses automatisées spécialement dédiées à la sécurité de l’IoT. FortiNAC établit le profil de chaque appareil présent sur le réseau et permet une segmentation granulaire du réseau ainsi que des réponses automatisées en cas de changement de statut ou de comportement d’un appareil.
En outre, FortiNAC peut appliquer les politiques de l’entreprise concernant les correctifs et les versions de firmware des appareils. FortiNAC est intégré à FortiGate et à d’autres produits Fortinet.
Agents
FortiNAC utilise quatre types d’agents pour analyser les hôtes et déterminer la conformité du point de terminaison aux politiques qui lui sont applicables :
- Agent dissoluble :
- Agent temporaire téléchargé par l’utilisateur
- Se supprime une fois le contrôle de conformité du point de terminaison réussi
- Disponible pour Windows, macOS et Linux
- Agent passif :
- Non installé, mais exécuté en mémoire pour effectuer une analyse en arrière-plan
- Disponible uniquement pour Windows
- Agent persistant (licences Plus ou Pro uniquement) :
- Agent téléchargé et installé par l’utilisateur, via un script de connexion, etc.
- Affiche des messages à l’utilisateur pendant les analyses
- Agent mobile :
- Téléchargé et installé sur les appareils mobiles
- Vérifie si l’appareil a été débridé
Métriques applicables
Chaque serveur de contrôle gère de 2 000 à 25 000 ports du réseau pour les appliances physiques et jusqu’à 25 000 ports par appliance virtuelle. Les appliances peuvent être regroupées en cluster et administrées par une appliance de gestion (physique ou virtuelle), capable de gérer un nombre illimité d’utilisateurs.
Certifications de sécurité
Bien que FortiNAC puisse contribuer à satisfaire de nombreuses exigences de différents processus de conformité et de certification, Fortinet n’a obtenu aucune certification officielle pour les solutions FortiNAC.
Fonctionnalités
- Découverte du réseau analyse les utilisateurs, les applications et les appareils, et identifie les appareils indésirables ainsi que les anomalies des points de terminaison
- Profilage des appareils classe les types d’actifs et leur conformité actuelle aux politiques d’accès
- Options en cas d’échec de l’analyse NAC :
- Avertissement aux administrateurs ; accès au réseau accordé
- Avertissement aux utilisateurs ; accès au réseau accordé
- Accès refusé aux points de terminaison sur un réseau local virtuel (VLAN) étendu ; accès du point de terminaison à un VLAN de quarantaine ou de remédiation
- Intégration de la gestion des appareils avec diverses solutions de gestion des appareils mobiles (MDM) ou de gestion de la mobilité d’entreprise (EMM)
- Développement et application des politiques d’accès au réseau
- Segmentation par pare-feu pour isoler les points de terminaison selon les politiques, en utilisant le pare-feu pour créer des VLAN
- Intégration des objets connectés (IoT) pouvant être effectuée automatiquement avec l’approbation d’un utilisateur référent
- Contournement par adresse MAC permettant un contrôle d’accès basé sur les ports et l’identifiant d’adresse MAC unique de l’appareil
- API REST pour l’intégration avec d’autres appareils
- Rapports personnalisés pour les indicateurs clés de performance, les rapports de conformité, etc.
- Authentification des utilisateurs (licences Plus ou Pro uniquement), qui peut utiliser un portail captif ou l’agent pour vérifier les utilisateurs, en plus de leurs appareils
- Authentification multifacteur par certificat utilisant RADIUS (EAP) complet avec les licences Plus et Pro pour fournir des certificats spécifiques aux appareils
- Intégration des invités et des appareils personnels (licences Plus ou Pro) permettant aux utilisateurs d’authentifier des points de terminaison personnels (BYOD) ou des invités afin d’obtenir un accès à tout ou partie du réseau
- Authentification unique (SSO) pour le Web et le pare-feu pouvant être activée avec les licences Pro ou Plus
- Intégration des événements de sécurité pour les événements entrants (Pro uniquement) ou sortants (Plus ou Pro)
- Réponse aux incidents (licence Pro uniquement), avec notamment la corrélation des événements, les pistes d’audit, les workflows de triage guidé, ainsi que la criticité et le routage des alertes
Avantages
- Prise en charge étendue des appareils non standard qui reconnaît et contrôle plus de 2 500 appareils réseau et des millions d’appareils IoT
- Permet l’automatisation pour un déploiement à grande échelle et un meilleur retour sur investissement
- Options de déploiement : appliances physiques ou virtuelles, avec mise en cluster et gestion de plusieurs appliances
- Options d’analyse pour l’audit ou l’évaluation des risques
- Prise en charge de plusieurs langues
- Bonne visibilité sur les appareils présents sur le réseau, notamment un vaste éventail d’appareils IoT
- Configuration simple des règles de politique et de la segmentation
- Architecture centralisée pour faciliter le déploiement et la gestion
- Prise en charge étendue des solutions tierces grâce à des intégrations directes et à des API
Inconvénients
- Les agents d’analyse ont été validés uniquement sur les versions en anglais des systèmes d’exploitation pris en charge
- Nécessite des licences de support FortiCare actives pour maintenir à jour les bases de données des appareils réseau et IoT
- Les problèmes de remédiation peuvent nécessiter des corrections manuelles et des serveurs externes pour télécharger les mises à jour
- Interface utilisateur peu intuitive et obsolète
- Fonctionne mieux avec les équipements récents ; les équipements anciens peuvent rencontrer des problèmes d’intégration
- Le déploiement peut être difficile et chronophage
Renseignement
Avec la licence Pro haut de gamme, FortiNAC fournit des réponses automatisées aux menaces en temps réel, capables de mettre immédiatement en quarantaine tout appareil au comportement suspect. Les équipes de sécurité peuvent configurer FortiNAC pour envoyer des alertes, verrouiller les ports d’accès, transmettre les informations pertinentes à un analyste et s’intégrer à d’autres outils de sécurité afin de réduire les délais de réponse.
Déploiement
FortiNAC nécessite des appliances matérielles ou une installation sur machine virtuelle (VM). Fortinet propose quatre versions d’appliances matérielles dédiées :
- Serveur de contrôle et d’application
- 2 000 ports réseau : FortiNAC-CA-500C
- 15 000 ports réseau : FortiNAC-CA-600C
- 25 000 ports réseau : FortiNAC-CA-700C
- Serveur de gestion FortiNAC-M-550C (capacité illimitée) pour gérer les environnements déployant plusieurs appliances
FortNAC déploie les appliances de contrôle et d’application ainsi que de gestion sous forme de VM de nouvelle génération (VMware, Hyper-V, AWS, Azure, machine virtuelle basée sur le noyau (KVM)) ou de VM standard (VM-ware, Hyper-V).
Outre l’appliance, l’organisation doit également acquérir une licence logicielle et devrait souscrire à FortiCare Support pour bénéficier de toutes les fonctionnalités. Les services FortiCare sont également disponibles pour les organisations qui souhaitent faire appel aux experts de Fortinet pour déployer, exploiter et maintenir leur instance FortiNAC.
Tarification
Fortinet ne publie pas d’informations tarifaires, mais fournit un guide de commande pour les produits FortiNAC. FortiNAC propose des licences perpétuelles et par abonnement, des appliances matérielles et virtuelles, ainsi que des services professionnels pour offrir aux clients des options flexibles, mais cela entraîne également un grand nombre de références potentiellement déroutantes. Toutefois, comparé à certains grands concurrents du marché, FortiNET fournit des explications plus claires sur les licences nécessaires pour bénéficier de fonctionnalités spécifiques.
Fortinet vend ses produits par l’intermédiaire de partenaires revendeurs, qui peuvent proposer des remises sur volume, des avantages, des services et d’autres produits ou services associés. Certains partenaires publient des tarifs catalogue permettant d’obtenir une estimation approximative de certains prix.
Les prix estimés des appliances matérielles et virtuelles FortiNAC comprennent :
- 2 000 ports réseau, adaptés aux PME, FNC-CA-500C
- 21 000 dollars US ou moins pour un serveur avec RAID et alimentations redondantes
- 4 150 dollars US ou moins pour un an de support FortiCare Premium
- 15 000 ports réseau, adaptés aux entreprises de taille moyenne, FNC-CA-600C
- 41 000 dollars US ou moins pour un serveur avec RAID et alimentations redondantes
- 8 100 dollars US ou moins pour un an de support FortiCare Premium
- 25 000 ports réseau, adaptés aux PME, FNC-CA-700C
- 95 000 dollars US ou moins pour un serveur avec RAID et alimentations redondantes
- 19 000 dollars US ou moins pour un an de support FortiCare Premium
- Serveur de gestion multi-FortiNAC facultatif, FNC-CA-550C
- 41 000 dollars US ou moins pour un serveur avec RAID et alimentations redondantes
- 8 100 dollars US ou moins pour un an de support FortiCare Premium
- Serveurs VM standard et de nouvelle génération, de contrôle et d’application ou de gestion
- 3 400 dollars US ou moins pour le serveur
- 700 dollars US ou moins pour un an de support FortiCare Premium
Une fois le serveur FortiNAC installé, l’organisation doit acquérir une licence pour l’application FortiNAC elle-même. Fortinet propose des licences par abonnement qui incluent le support, ainsi que des licences perpétuelles pour lesquelles le support doit être acheté séparément. Le coût estimé des licences logicielles est le suivant :
- Licence perpétuelle (pour le niveau le plus bas de 100 points de terminaison) :
- 1 100 dollars US pour le logiciel Base + 110 dollars US pour le support FortiCare 24×7
- 2 600 dollars US pour le logiciel Plus + 250 dollars US pour le support FortiCare 24×7
- 3 300 dollars US pour le logiciel Pro + 320 dollars US pour le support FortiCare 24×7
- Abonnement (pour le niveau le plus bas de 25 points de terminaison) :
- 200 dollars US pour le logiciel Base
- 355 dollars US pour le logiciel Plus
- 420 dollars US pour le logiciel Pro
Les niveaux supérieurs sont évidemment plus coûteux, mais tiennent compte de remises sur volume calculées par point de terminaison.
En bref : idéal pour le contrôle des environnements IoT et OT
À mesure que les organisations gagnent en maturité, les solutions NAC automatisées font gagner un temps considérable aux équipes informatiques et de sécurité pour intégrer les utilisateurs, détecter les appareils réseau et mettre automatiquement en quarantaine les appareils qui ne respectent pas les exigences des politiques (antivirus, mises à jour du système d’exploitation, etc.). Outre le contrôle des points de terminaison des utilisateurs traditionnels (ordinateurs portables, téléphones, etc.), un nombre croissant d’équipements filaires et sans fil nécessite une solution de sécurité pour protéger l’expansion du réseau.
Les hôpitaux déploient notoirement des appareils IoT anciens, tels que des moniteurs cardiaques, des capteurs d’oxygène et d’autres appareils spécialisés qui nécessitent une protection. Cependant, de nombreux autres secteurs ajoutent désormais des appareils « intelligents » à leurs réseaux, notamment :
- Identification par radiofréquence (RFID) pour la logistique et le transport
- Moniteurs intelligents de l’humidité pour l’agriculture
- Capteurs d’incendie pour la sécurité des bâtiments
- Équipements de fabrication connectés en 5G
- Capteurs sans fil connectés aux convoyeurs
- Capteurs de température pour les usines chimiques
FortiNAC peut reconnaître et contrôler plus de 2 500 appareils réseau et des millions d’appareils IoT, et fournit une solution efficace pour protéger les environnements IoT et les technologies industrielles. Il fournit également des solutions NAC robustes pour faciliter l’intégration des employés, des invités et des points de terminaison appartenant à l’entreprise ou personnels. Toute organisation ayant des besoins en matière d’IoT et recherchant une solution NAC devrait envisager FortiNAC.
Cet article a été initialement rédigé par Drew Robb le 7 mai 2019, puis mis à jour par Chad Kime le 31 mars 2023.