FortiClient (единый агент конечной точки)

FortiClient — единый агент конечной точки от Fortinet: в одном и том же приложении работают IPsec- и SSL-VPN, Zero Trust Network Access (ZTNA), защита конечных точек (EPP), сканирование уязвимостей, фильтрация веба и видео, CASB и телеметрия Security Fabric. Централизованное управление выполняется через FortiClient EMS (Endpoint Management Server) либо через облачный FortiClient Cloud; агент остаётся максимально лёгким, устанавливая только лицензированные модули.

Такое объединение — не выбор в пользу упрощения, а необходимость, продиктованная картиной угроз. По данным Verizon 2025 Data Breach Investigations Report, эксплуатация уязвимостей как вектор первичного доступа в нарушениях достигла 20%, а 22% действий по эксплуатации были направлены непосредственно на пограничные (edge) устройства и VPN — в предыдущем отчёте эта доля составляла 3% (Verizon DBIR, 2025). В том же отчёте измерено, что организации полностью устраняли лишь около 54% уязвимостей пограничных устройств и что на это уходило в среднем (медиана) 32 дня. То есть корпоративный VPN-шлюз сегодня целенаправленно атакуют как «входную дверь».

Ответ на эту картину — перенести доступ с сетевого уровня на уровень приложений и заново проверять состояние безопасности устройства в каждой сессии. Именно в этом состоит роль ZTNA в FortiClient; а то, что модуль VPN остаётся в том же агенте, позволяет провести переход без превращения его в единовременный простой. Ниже мы подробно разбираем, что делает FortiClient, как он связан с FortiEDR и FortiSASE, какие требования предъявляет EMS и каков контекст соответствия требованиям в Турции.

Что именно делает FortiClient и почему его называют «единым агентом»?

FortiClient собирает в одном приложении работу нескольких агентов безопасности, которые обычно устанавливаются на конечную точку по отдельности. Fortinet называет это «Unified Agent», и цель прямо заявлена как сокращение agent sprawl, то есть разрастания числа агентов. В техническом описании FortiSASE указано, что FortiClient в одном агенте предоставляет вместе EPP, ZTNA, SSE, CASB, мониторинг цифрового опыта (DEM), Sandbox, управление уязвимостями и контроль USB-устройств (Fortinet FortiSASE Data Sheet, 2026).

На практике это означает, что один установленный на конечную точку пакет берёт на себя следующие задачи: обеспечивать доступ пользователя к корпоративным ресурсам (VPN или ZTNA), измерять состояние безопасности устройства перед доступом, сканировать и фиксировать уязвимости на устройстве, блокировать вредоносное ПО и попытки эксплуатации, фильтровать веб- и SaaS-трафик и передавать телеметрию обо всём этом в Security Fabric. Агент FortiClient дополнительно выступает клиентским компонентом и для других продуктов Fortinet, таких как FortiSASE, FortiNAC, FortiPAM и FortiMonitor (Fortinet FortiClient Data Sheet, 2025).

• Безопасный доступ: IPsec- и SSL-VPN с поддержкой MFA, раздельное туннелирование по приложениям, автоматическое подключение (autoconnect) и постоянно включённый VPN, динамический выбор VPN-шлюза.
• Universal ZTNA: автоматически шифруемый туннель до шлюза приложений ZTNA на FortiOS и проверка личности и устройства в каждой сессии.
• Защита конечных точек: NGAV на базе искусственного интеллекта с поддержкой FortiGuard, защита от эксплойтов, межсетевой экран уровня приложений, контроль съёмных носителей, поведенческая защита от программ-вымогателей и откат изменений.
• Управление уязвимостями: сканирование уязвимостей конечной точки, применение политики установки исправлений и инвентаризация программного обеспечения.
• Контроль содержимого: фильтрация веба и видео FortiGuard, блокировка по ключевым словам, фильтры каналов YouTube; встроенный (inline) и API-based CASB.
• Телеметрия и соответствие: видимость конечных точек в реальном времени в консоли FortiGate, метки состояния безопасности и автоматический карантин.

В чём разница между FortiClient и FortiEDR?

Краткий ответ: FortiClient — это уровень доступа и предотвращения, а FortiEDR — уровень обнаружения и реагирования. FortiClient безопасно подключает пользователя к корпоративным приложениям, измеряет соответствие устройства и старается заблокировать известное вредоносное ПО до его запуска. FortiEDR спроектирован для того, чтобы во время выполнения остановить поведение, которое обошло эту блокировку или вовсе не имеет сигнатуры, восстановить цепочку события и провести реагирование. Это не конкуренты, а последовательные уровни, и в большинстве корпоративных парков они размещаются вместе.

Разницу делают наглядной две точки данных. Первая — охват: FortiEDR поддерживает старые операционные системы вплоть до Windows XP SP2 и Windows Server 2003 SP2; для машин, стоящих на производственной линии или рядом с медицинским оборудованием и не поддающихся установке исправлений, это определяющий фактор (Fortinet FortiEDR Data Sheet, 2025). Вторая — потребляемые ресурсы: согласно тому же техническому описанию, агент FortiEDR использует 1–2% ЦП, 200–350 МБ памяти и 750 МБ – 1 ГБ диска, то есть стоимость запуска второго агента рядом с FortiClient измерима.

Что касается результатов обнаружения, в собственной оценке четвёртого раунда MITRE Engenuity ATT&CK Evaluations (сценарии Wizard Spider и Sandworm) Fortinet заявил, что FortiEDR заблокировал 100% атак, обнаружил 97% из 90 шагов вне Linux и сообщил о 93% подшагов на уровне «technique» (Fortinet Blog, 2022). Эти цифры являются собственным заявлением Fortinet; они взяты не из независимой публикации MITRE, а из интерпретации результатов производителем, и читать их следует именно так. С подробными возможностями FortiEDR можно ознакомиться на нашей странице FortiEDR.

Как FortiClient и FortiSASE работают вместе?

FortiSASE не приносит отдельного агента; в качестве агента конечной точки он использует FortiClient, а лицензия FortiSASE покрывает лицензию FortiClient. В этом сценарии EMS разворачиваете не вы: работающий внутри FortiSASE экземпляр EMS регистрирует все агенты FortiClient и управляет ими. Между FortiClient и PoP FortiSASE устанавливаются автоматически шифруемые туннели, а выполняемая FortiClient оценка уязвимостей передаётся в FortiSASE как входные данные для решений о доступе к приложениям через ZTNA (Fortinet FortiClient Data Sheet, 2025).

Точка принятия решения такова: где вы хотите выполнять проверку? Если вы хотите вернуть трафик на межсетевой экран FortiGate в корпоративном дата-центре и проверять его там, достаточно связки FortiClient + FortiGate. Если пользователи распределены, филиалов немного, а заворот трафика в центр создаёт задержку, разумно перенести проверку в облако; FortiSASE предоставляет на одной платформе SWG, ZTNA, CASB, FWaaS, SSPM, защищённый браузер, защищённый SD-WAN и сквозной DEM, и Fortinet указывает, что по состоянию на август 2026 года обслуживает клиентов более чем через 200 PoP (Fortinet FortiSASE, 2026). Fortinet также сообщает, что берёт на себя обязательство по SLA 99,999% с гарантией по задержке для FortiSASE и что сервис имеет сертификат SOC 2 Type II по критериям AICPA Trust Services (Fortinet FortiSASE Data Sheet, 2026).

На практике мы видим три сценария: только FortiClient + FortiGate (классическая корпоративная сеть), FortiClient + FortiSASE (распределённые пользователи, облачная проверка) и смешанная модель (головной офис — через FortiGate, мобильный пользователь — через FortiSASE). Во всех трёх работает один и тот же агент, поэтому пользовательский опыт и язык политик не меняются.

Как работает ZTNA и может ли он действительно заменить корпоративный VPN?

ZTNA подключает пользователя не к сети, а непосредственно к одному приложению и заново оценивает подключение в каждой сессии. Архитектура Fortinet состоит из трёх компонентов: FortiClient как агент ZTNA, FortiClient EMS как источник данных о личности и состоянии устройства и FortiGate как шлюз приложений ZTNA, применяющий решение о доступе. Эта архитектура была представлена в FortiOS 7.0 (Fortinet Document Library, FortiOS 7.0).

Процесс работает так: EMS присваивает устройству метки нулевого доверия, опираясь на такие показатели, как версия операционной системы, состояние обновлений, активность антивируса, шифрование диска, работающие и неработающие службы. При установлении соединения FortiClient передаёт эти метки и клиентский сертификат; прокси доступа ZTNA (access proxy) на FortiGate, ориентируясь на метки, предоставляет или отклоняет доступ. Та же логика действует и на стороне FortiSASE: FortiSASE Endpoint Management Service применяет правила маркировки ZTNA, а решение о доступе принимается по меткам клиента (Fortinet FortiSASE Architecture Guide, 2026).

Честный ответ на вопрос «Заменит ли он VPN?»: в большинстве сценариев доступа заменит, но не во всех. Для веб- и TCP-приложений ZTNA даёт и более узкую поверхность доступа, и лучший пользовательский опыт. Однако для устаревших протоколов, станций администрирования, которым нужен очень широкий сетевой доступ, или случаев, когда сторонние инструменты работают на сетевом уровне, IPsec/SSL-VPN по-прежнему необходим. Проектное решение Fortinet идёт именно в этом направлении: наличие VPN и ZTNA в одном агенте позволяет выполнять переход не разом, а приложение за приложением, распределяя риск.

Какая редакция FortiClient какие функции включает?

В таблице информации для заказа в актуальном техническом описании FortiClient определены четыре редакции: VPN/ZTNA, VPN/ZTNA + EPP/ATP, Managed и Chromebook. Здесь стоит обратить внимание на частую ошибку прочтения: «Zero Trust Security» в таблице пакетов — не название редакции, а заголовок группы возможностей, поставляемой с редакцией VPN/ZTNA. Часто повторяемое утверждение «бесплатной версии FortiClient достаточно для VPN» устарело: редакция под названием «Free» в техническом описании не перечислена. Существовавший в прошлом бесплатный клиент, умевший только VPN, отсутствует в сегодняшней продуктовой матрице; для корпоративного применения централизованное управление в любом случае требует EMS или FortiClient Cloud (Fortinet FortiClient Data Sheet, 2025).

Важны две сноски. Функция централизованного журналирования и отчётности требует FortiAnalyzer; сам по себе FortiClient не обеспечивает долговременное хранение журналов и отчётность. Строка CASB охватывает как встроенный CASB на FortiGate, так и API-based сервис FortiCASB. Во всех редакциях предусмотрена поддержка 24/7. А вот вариант установки в собственной инфраструктуре и в изолированной (air gap) среде действует не в каждой редакции: редакция Managed по определению построена на том, что среду FortiClient Cloud предоставляет команда Fortinet. Совместимость выбранного вами варианта размещения с выбранной редакцией мы уточняем на этапе подготовки предложения.

Какие функции работают на каких операционных системах?

FortiClient охватывает настольные, серверные и мобильные платформы одновременно; однако не каждый модуль работает на каждой платформе одинаково. Таблица ниже обобщает список поддерживаемых операционных систем из актуального технического описания FortiClient и ограничения, указанные в официальных сносках (Fortinet FortiClient Data Sheet, 2025).

На устройствах Windows с архитектурой ARM набор функций в статусе бета ограничен агентом Security Fabric (подключение к EMS и телеметрия), удалённым доступом (VPN), веб-фильтрацией и сканированием уязвимостей. Если в смешанном парке есть устройства на ARM, их следует вести как отдельную группу EMS и соответственно выстраивать ожидания по политикам. В части аутентификации поддерживаются варианты RADIUS, LDAP, локальная база данных, xAuth, TACACS+, цифровой сертификат формата X.509 и FortiToken.

Что такое FortiClient EMS и какие ресурсы ему нужны?

FortiClient EMS — центральный «мозг» парка агентов: отсюда выполняются раздача политик, удалённая установка и контролируемое обновление, инвентаризация, панель уязвимостей, правила маркировки нулевого доверия и управление карантином. При установке в собственной инфраструктуре EMS работает на Windows Server 2022 и новее либо на Ubuntu 22.04 / 24.04 LTS и требует минимум 6 виртуальных ЦП, 12 ГБ ОЗУ и 80 ГБ свободного места на диске; на управляемых конечных точках ожидается FortiClient версии 7.2 и новее (Fortinet FortiClient Data Sheet, 2025). Те же функции доступны как FortiClient Cloud для организаций, не желающих размещать сервер управления.

• Интеграция с системами идентификации: синхронизация с Active Directory и Microsoft Entra ID; использование организационных подразделений AD напрямую в качестве групп конечных точек.
• Автоматическая группировка: автоматическое назначение групп для динамического контроля доступа и пользовательские определения групп.
• Инвентаризация программного обеспечения: видимость установленных приложений и лицензий; сужение поверхности атаки за счёт выявления и удаления ненужного или устаревшего ПО.
• Панель уязвимостей: перечень уязвимых конечных точек на одном экране и применение политики установки исправлений в том числе на устройствах вне сети.
• Централизованный карантин и удалённые действия: отключение подозрительного устройства от сети, удалённое сканирование и перенастройка.
• Развёртывание: создание пользовательских установочных пакетов FortiClient, раздача конфигурации тысячам клиентов одним нажатием, автоматические уведомления по электронной почте.

Правильный расчёт размерности EMS — самый часто пропускаемый шаг проекта. Количество конечных точек, частота телеметрии, интервал сканирования уязвимостей и выбранный приёмник журналов напрямую влияют на потребности EMS в дисковом пространстве и памяти. В корпоративных парках мы рекомендуем разворачивать EMS с резервированием, а поток журналов выносить на сторону FortiAnalyzer.

Что телеметрия Security Fabric даёт на практике?

Телеметрия — наименее обсуждаемая, но операционно самая ценная функция FortiClient. Агент передаёт идентификатор устройства, пользователя, установленное ПО, состояние уязвимостей и события безопасности во FortiGate и FortiAnalyzer; в консоли FortiGate конечные точки становятся видимыми в разрезе пользователей. Формируемые EMS виртуальные группы можно напрямую использовать в политиках межсетевого экрана FortiGate — то есть правило «устройство с отключённым антивирусом не может обращаться к финансовому приложению» превращается в применимую строку политики без ручного ведения списков.

Отдача этого цикла видна в реагировании на инциденты: конечную точку, совпавшую с индикатором компрометации (IOC), можно автоматически поместить в карантин и одновременно разорвать соответствующие сессии на FortiGate. На стороне FortiAnalyzer сервис FortiGuard IOC предоставляет криминалистические данные объёмом 500 000 IOC в сутки (Fortinet FortiAnalyzer Data Sheet, 2026). Более широкий контекст этой интеграции — Security Fabric — обеспечивает единую видимость в экосистеме, охватывающей помимо продуктов Fortinet более 500 сторонних решений, а FortiGuard Labs ежедневно обрабатывает и анализирует более 100 млрд событий (Fortinet About Us, 2026).

Та же телеметрия подключается и к проводному и беспроводному уровню доступа. В сетях, построенных с FortiSwitch и FortiLink, состояние конечной точки может служить входными данными для решений о сегментации и карантине на уровне порта. Со всей продуктовой линейкой Fortinet можно ознакомиться целиком на нашей странице решений Fortinet.

Какое место занимает FortiClient в соответствии требованиям KVKK и PCI DSS?

Сам по себе FortiClient не даёт сертификата соответствия; однако он напрямую производит несколько технических мер, доказательства которых запрашивают на аудитах: актуальные антивирусные системы, средства сетевой безопасности, журналы доступа, отслеживание уязвимостей и обнаружение атак. В таблице технических мер Руководства по безопасности персональных данных (технические и административные меры) KVKK (закон Турции о защите персональных данных) перечислены все эти пункты, и руководство прямо требует регулярного сканирования уязвимостей в информационных сетях и регулярного ведения журналов действий пользователей (KVKK, Руководство по безопасности персональных данных, 2018).

Для организаций, обрабатывающих данные платёжных карт, есть более конкретный пункт. Требование 1.5.1 PCI DSS v4.0 обязывает применять средства защиты на устройствах, которые могут подключаться и к недоверенной сети, и к среде данных платёжных карт (CDE), — типично это ноутбук сотрудника, работающего из дома (PCI Security Standards Council, PCI DSS v4.0). Метки состояния безопасности FortiClient, межсетевой экран уровня приложений и политика доступа ZTNA дают прямой ответ на этот пункт; благодаря ZTNA удалённый пользователь подключается не ко всей сети, а только к тому приложению, на которое имеет права, что упрощает и обсуждение границ области аудита (scope).

В турецком контексте на первый план выходят три практические темы: документирование установки и проектирования политик на турецком языке, заблаговременная подготовка шаблонов журналов и отчётов об уязвимостях, запрашиваемых на аудитах KVKK, и хранение записей контроля доступа в проверяемом виде в организациях, подпадающих под надзор BDDK (регулятор банковского сектора Турции). Выстроить все три на этапе внедрения обходится намного дешевле, чем откладывать до периода аудита.

Как работает лицензирование FortiClient?

Существуют две модели, и обе предоставляют одни и те же функции: традиционное лицензирование по устройствам и пользовательское лицензирование FortiTrust. В модели FortiTrust один пользователь может установить FortiClient не более чем на три устройства; сотруднику с ноутбуком, телефоном и планшетом достаточно одной лицензии (Fortinet FortiClient Data Sheet, 2025). Для поставщиков управляемых услуг дополнительно доступен вариант подписки FortiFlex.

Второе решение — где будет размещаться EMS: облачный EMS (SaaS) или установка в собственной инфраструктуре? Организации с требованиями к месту размещения данных или с изолированной сетью выбирают установку у себя; тем, для кого приоритет — быстрый ввод в эксплуатацию, практичнее облачное размещение. Третье решение — редакция: только безопасный доступ (VPN/ZTNA) или ещё и защита конечных точек (VPN/ZTNA + EPP/ATP)? Четвёртое — кто будет выполнять внедрение и мониторинг: редакция Managed включает услуги Fortinet по вводу в эксплуатацию и мониторингу; в качестве альтернативы те же работы берёт на себя Sora Yazılım в формате управляемого сервиса.

Дополнительно есть ещё две подписки: Best Practice Service (BPS), обеспечивающая удалённые консультации по вопросам развёртывания и эксплуатации, и FortiClient Forensics Analysis Service, дающая доступ к криминалистическим аналитикам FortiGuard Labs в момент инцидента. Вторая продаётся не за инцидент, а как годовая подписка. Цены на этой странице мы не публикуем; за предложением, сконфигурированным по количеству пользователей, редакции, сроку и варианту размещения, свяжитесь с нами.

Как планируется проект перехода с VPN на ZTNA?

Самая распространённая ошибка — пытаться выполнить переход за один раз. То, что FortiClient содержит VPN и ZTNA в одном агенте, позволяет выстроить поэтапный план, продвигающийся приложение за приложением; на стороне пользователя установка нового программного обеспечения не требуется — меняется только политика. Типичный ход нашего проекта таков:

• Инвентаризация и классификация: определение того, кто и с какого устройства обращается к каким приложениям; разделение веб/TCP-приложений для ZTNA и тех, что остаются на VPN.
• Проектирование политики состояния: определение меток нулевого доверия по версии операционной системы, уровню обновлений, состоянию антивируса, шифрованию диска и порогу уязвимостей.
• Установка EMS и интеграция с AD/Entra ID: формирование групп из источника идентификации, создание пользовательских установочных пакетов.
• Активация шлюза ZTNA на FortiGate: инфраструктура сертификатов, настройка прокси доступа и публикация первого приложения.
• Пилот: проверка на реальной рабочей нагрузке с ограниченной группой пользователей; разделение случаев отказа в доступе на ошибки политики и на реальное несоответствие.
• Поэтапное распространение и сужение VPN: исключение каждого перенесённого на ZTNA приложения из списка доступа VPN; сохранение VPN только для обязательных сценариев.

Срок зависит от размера организации, количества приложений и зрелости инфраструктуры идентификации; график, который можно зафиксировать в обязательствах, определяется только после инвентаризации. Если на стороне FortiGate требуется выбрать модель для шлюза ZTNA, средние модели вроде FortiGate 100F закрывают большинство сценариев филиала и среднего офиса.

Что Sora Yazılım обеспечивает в проектах FortiClient?

Как авторизованный канальный партнёр Fortinet мы из одних рук обеспечиваем лицензирование FortiClient и FortiClient EMS, установку, миграцию с существующей VPN-инфраструктуры и последующий управляемый сервис. Наш охват простирается от выбора редакции и модели лицензирования до расчёта размерности EMS, от написания политик меток нулевого доверия до настройки шлюза ZTNA на FortiGate, от кампании по вводу пользователей в эксплуатацию до шаблонов отчётности, готовых к аудиту KVKK. Для организаций, которым нужно сравнение с другим производителем на стороне конечной точки, мы за тем же столом рассматриваем и альтернативы вроде Bitdefender.

Если требуется интеграция на стороне идентификации, каталогов и автоматизации, подключаются наши услуги DevOps и инфраструктуры: подключение установочных пакетов EMS к средствам развёртывания, передача данных инвентаризации и уязвимостей в существующий контур отчётности, автоматизация жизненного цикла конечных точек. В организациях, желающих закрыть и риск фишинга по электронной почте, мы позиционируем решение вместе с FortiMail.

Следующий шаг: сообщите текущее количество пользователей VPN, распределение операционных систем и список приложений, к которым идёт обращение; мы подготовим предложение с подходящей вам редакцией FortiClient, архитектурой EMS (облако или собственная инфраструктура) и поэтапным планом перехода на ZTNA. Чтобы рассмотреть всё это вместе с вариантами установки, миграции и управляемого сервиса, свяжитесь с нами через страницу контактов.