Alla fine del 2015 Laboratorio Kaspersky ha fornito statistiche deludenti: circa il 58% dei PC aziendali è stato attaccato da malware almeno una volta. E questi sono solo riflessi con successo. Di questi, un terzo (29%) è stato attaccato tramite Internet. È stato notato che non i computer domestici, ma quelli aziendali, hanno una probabilità tre volte maggiore di essere minacciati, quindi l'azienda rischia di perdere o distruggere i dati.

Nel 2017 la situazione non è diventata più sicura: ricordiamo almeno il recente trambusto dei famigerati virus Petya, WannaCry e BadRabbit. Tuttavia, circa l'80% delle aziende non aggiorna il proprio sistema di sicurezza e circa il 30% presenta vulnerabilità chiaramente visibili.

Sicurezza di rete in teoria e pratica

Non molto tempo fa, gli utenti di Internet erano soddisfatti di un semplice firewall. Tuttavia, i tempi sono cambiati e ora è necessaria una soluzione più seria: un dispositivo UTM che combina tutte le funzionalità progettate per proteggere le reti aziendali dall'invasione. Utilizzando il sistema integrato di gestione delle minacce, l'azienda otterrà antivirus, firewall, sistema di prevenzione delle minacce, protezione antispam e molto altro in un unico pacchetto.

A differenza del metodo classico, che prevede l'acquisto di più dispositivi separati e la loro integrazione in un unico sistema, questa è un'opzione più economica e produttiva, che in realtà si basa su tre pilastri:

• Protezione in tempo reale multilivello.
• Filtro universale che non ammette spyware e virus.
• Protezione da spam e contenuti inappropriati.

Questo approccio elimina la necessità di aumentare la spesa per l'hardware, assumendo specialisti IT in grado di far funzionare correttamente l'intero sistema e salvandoti dai problemi con un regolare calo della velocità del traffico.

In pratica, per le grandi e le piccole imprese, le diverse funzionalità saranno prioritarie. Passando a sistemi complessi, le piccole organizzazioni sperano, in primo luogo, di risolvere il problema dell'accesso sicuro alla rete per dipendenti e clienti. Per le reti aziendali di media complessità è richiesto un canale di comunicazione stabile. Le grandi aziende si preoccupano di mantenere i segreti. Ogni compito ha in definitiva una soluzione strettamente individuale.

Pratica delle grandi aziende

Ad esempio, per un'azienda Gazprom e organizzazioni simili che preferiscono il software russo, ciò significa ridurre i rischi che si presentano quando si utilizza software straniero. Inoltre, l'ergonomia impone la necessità di utilizzare apparecchiature standardizzate alla struttura hardware già in uso.

I problemi che le grandi aziende devono affrontare sono causati proprio dalle dimensioni dell'organizzazione. UTM qui aiuta con problemi legati all'enorme numero di dipendenti, grandi quantità di dati trasmessi sulla rete interna e la necessità di manipolare i singoli cluster che hanno accesso a Internet.

Funzionalità richieste dalle grandi aziende:

• Controllo esteso sul lavoro degli utenti PC, sul loro accesso alla Rete e alle singole risorse.
• Protezione dalle minacce per la rete interna, incluso il filtraggio degli URL e l'autenticazione a due fattori degli utenti.
• Filtraggio dei contenuti trasmessi sulla rete interna, gestione delle reti Wi-Fi.

Un altro esempio dalla nostra pratica. Nella direzione delle stazioni ferroviarie della società "FERROVIE RUSSE"(un classico esempio di un grande progetto aziendale con traffico limitato), la soluzione ha fermato una serie di problemi di sicurezza, prevenendo la fuga di dati e ha anche provocato un prevedibile aumento dell'efficienza del lavoro dovuto all'installazione di serrature interne.

Per le imprese bancarie, nella nostra esperienza, è particolarmente importante garantire un traffico Internet stabile, ad alta velocità e senza interruzioni, ottenuto grazie alla capacità di bilanciare e ridistribuire i carichi. È anche importante proteggere dalla fuga di informazioni e controllarne la sicurezza.

Centri commerciali, in particolare Kolomna "Rio", sono inoltre periodicamente esposti alla minaccia di attacchi esterni alla propria rete. Tuttavia, la gestione del centro commerciale è molto spesso interessata alla possibilità di introdurre il controllo interno sui dipendenti che hanno restrizioni al lavoro con Internet, a seconda delle loro mansioni. Inoltre, Internet è attivamente distribuito in tutto il centro commerciale, il che aumenta il rischio di violare il perimetro. E per prevenire con successo tali situazioni, la soluzione UTM suggerisce di utilizzare la gestione delle applicazioni.

Attualmente, il centro commerciale di Rio utilizza attivamente filtri, blocco multilivello e rimozione di programmi e applicazioni nella lista nera. Il risultato principale in questo caso è un aumento dell'efficienza del lavoro e del risparmio di tempo dovuto al fatto che i dipendenti non sono più distratti dai social network e dai negozi online di terze parti.

Esigenze del settore dei servizi

Caffè, ristoranti e hotel si trovano ad affrontare la necessità della distribuzione gratuita del Wi-Fi, che è attualmente uno dei servizi più popolari, secondo le recensioni dei visitatori. Tra i problemi che richiedono soluzioni immediate ci sono: accesso a Internet di alta qualità e rispetto della legislazione della Federazione Russa. Inoltre, le reti alberghiere hanno alcune specifiche associate a carichi maggiori. I social network, il caricamento di foto e video dalle vacanze e la semplice navigazione non dovrebbero causare guasti e arresti dell'intero sistema.

Tutti questi problemi vengono superati da un sistema UTM opportunamente configurato. Come soluzione, viene proposta l'introduzione dell'identificazione dei dispositivi tramite SMS, il filtraggio di contenuti e traffico, la separazione dei flussi su cui siedono clienti e dipendenti in base alla censura e agli indicatori di età. È inoltre obbligatorio installare la protezione per i dispositivi collegati alla rete.

Ospedali, poliambulatori e altre istituzioni mediche richiedono un complesso di sicurezza unificato, gestito da un unico centro, tenendo conto della struttura delle filiali. La soluzione UTM russa è una priorità per tali agenzie governative in relazione alla politica di sostituzione delle importazioni e al rispetto della legge sulla protezione dei dati personali.

Vantaggi delle soluzioni UTM

Il principale è ovvio: un dispositivo ne sostituisce diversi contemporaneamente, svolgendo perfettamente le funzioni di ciascuno. Inoltre, è molto più semplice connettere e configurare un dispositivo del genere e chiunque può lavorarci. I vantaggi di una soluzione completa sono diversi:

• Finanziario. L'acquisto separato di strumenti di protezione di alta qualità (sistema di sicurezza, blocco antivirus, server VPN e proxy, firewall, ecc.) è molte volte superiore al costo delle apparecchiature. Soprattutto quando si tratta di opzioni di importazione. I dispositivi UTM sono molto più convenienti e ancor di più prodotti domestici di alta qualità.
• Funzionale. Le minacce sono prevenute a livello del gateway di rete, che non interrompe il flusso di lavoro e non influisce sulla qualità del traffico. La velocità è stabile e costante, le applicazioni sensibili a questo sono costantemente disponibili e funzionano normalmente.
• Semplicità e accessibilità. Il sistema basato su UTM non è solo veloce da installare, ma anche facile da gestire, semplificando l'amministrazione. E le soluzioni domestiche sono realizzate in russo, il che rende facile comprendere la parte tecnica senza troppe pretese nella terminologia specifica.
• Monitoraggio e controllo centralizzato. La soluzione UTM consente di gestire reti remote da un unico centro senza costi aggiuntivi per apparecchiature e personale.

In generale, i dispositivi UTM stanno diventando un elemento centrale nel garantire la sicurezza delle informazioni di qualsiasi azienda con una rete da più computer a decine di migliaia di punti di accesso, prevenendo efficacemente problemi e aiutando a evitare il processo di ripulitura delle conseguenze di infezioni e hack .

Va però tenuto presente che UTM non risolve tutti i problemi, in quanto non gestisce terminali indifesi nei confronti di utenti senza scrupoli. Una minaccia virus locale richiede la presenza di programmi antivirus, oltre al gateway antivirus, e per garantire la prevenzione della fuga di informazioni è necessario installare sistemi DLP. La storia recente dell'aeroporto è indicativa al riguardo. Heathrow, dove è stata avviata un'indagine dopo che una chiavetta USB con dati relativi alla sicurezza e alle attività antiterroristiche in aeroporto è stata trovata in una delle strade di Londra.

Criteri per la scelta di un sistema UTM

Il sistema deve soddisfare diversi parametri. Questa è la massima praticità, affidabilità, facilità di configurazione, controllo chiaro, supporto tecnico costante da parte del produttore e costi relativamente bassi. Inoltre, vi è un rigoroso requisito per la certificazione obbligatoria da parte di FSTEC (FZ-149, FZ-152, FZ-188). Si applica alle istituzioni educative e governative, alle aziende che lavorano con informazioni personali, alle istituzioni sanitarie e alle imprese del settore pubblico. Per l'utilizzo di sistemi non certificati sono previste sanzioni severe: multa fino a 50 mila rubli, in alcuni casi - il ritiro dell'oggetto del reato e la sospensione delle attività fino a 90 giorni.

Prenditi cura di te stesso e dei tuoi dati, utilizza i moderni sistemi di sicurezza delle informazioni e non dimenticare di installare gli aggiornamenti dei fornitori.

L'articolo discute il ruolo dei sistemi UTM in termini di requisiti di sicurezza della rete imposti dalle aziende. Viene effettuata un'analisi di base dell'"equilibrio di potere" nei mercati globale e russo. Per sistemi UTM (universal security gateways) si intende una classe di dispositivi di rete multifunzionali, principalmente firewall, che contengono molte funzioni, come anti-spam, anti-virus, protezione dalle intrusioni (IDS/IPS) e filtraggio dei contenuti.

introduzione

I rischi dell'utilizzo delle reti sono noti. Tuttavia, nelle condizioni moderne, non è più possibile abbandonare quest'ultimo. Pertanto, non resta che ridurli al minimo a un livello accettabile.

In linea di principio, si possono distinguere due approcci per garantire la sicurezza integrata. Il primo è spesso chiamato classico o tradizionale. La sua essenza si basa sull'assioma "un prodotto specializzato è meglio di una mietitrebbia multifunzionale".

Tuttavia, insieme alla crescita delle possibilità di varie soluzioni, iniziarono ad apparire i "colli di bottiglia" del loro uso congiunto. Quindi, a causa dell'autonomia di ciascun prodotto, si è verificata una duplicazione dei contenuti funzionali, che, in definitiva, ha influito sulle prestazioni e sul costo finale, non in meglio. Inoltre, non c'erano garanzie che soluzioni diverse di diversi produttori "coesistessero pacificamente" tra loro e non fossero in conflitto. Questo, a sua volta, ha creato ulteriori difficoltà per l'implementazione, la gestione e la manutenzione dei sistemi. Infine, è sorta la questione dell'interazione tra le varie soluzioni (lo scambio di informazioni per costruire il “quadro generale”, la correlazione degli eventi, ecc.) e la comodità di gestirle.

Da un punto di vista aziendale, qualsiasi soluzione dovrebbe essere efficace non solo nell'aspetto pratico. È importante che, da un lato, consenta di ridurre il costo totale di proprietà e, dall'altro, non aumenti la complessità dell'infrastruttura. Pertanto, la questione dell'aspetto dei sistemi UTM era solo una questione di tempo.

Cosa sono i gateway di sicurezza universali (UTM)?

Diamo una breve descrizione delle soluzioni più popolari.

Fortinet (esiste la certificazione FSTEC)

Fortinet offre un'ampia gamma di dispositivi, dalla serie FortiGate-20 per piccole imprese e uffici alla serie FortiGate-5000 per grandi aziende e fornitori di servizi. Le piattaforme FortiGate utilizzano il sistema operativo FortiOS con coprocessori FortiASIC ​​e altro hardware. Ciascun dispositivo FortiGate include:

• Firewall, VPN e Traffic Shaping;
• Sistema di prevenzione delle intrusioni (IPS);
• Antivirus/Antimalware;
• Controller Wi-Fi integrato;
• Controllo delle applicazioni;
• Protezione contro la fuga di dati;
• Ricerca di vulnerabilità;
• supporto IPv6;
• Filtraggio web;
• Anti-spam;
• supporto VoIP;
• Instradamento/commutazione;
• Ottimizzazione WAN e memorizzazione nella cache web.

I dispositivi ricevono aggiornamenti dinamici dal centro di ricerca globale FortiGuard Labs. Inoltre, i prodotti basati su FortiGate dispongono di sofisticate funzionalità di rete, tra cui il clustering (attivo/attivo, attivo/passivo) e i domini virtuali (VDOM), che consentono di separare le reti che richiedono politiche di sicurezza diverse.

Check Point (esiste la certificazione FSTEC)

Check Point evidenzia i seguenti vantaggi per i suoi dispositivi Check Point UTM-1:

• Tecnologie comprovate di cui si fidano le aziende Fortune 500;
• Tutto quello che ti serve per proteggere la tua rete: funzionalità, aggiornamenti e gestione della sicurezza;
• Protezione di reti, sistemi e utenti da molti tipi di attacchi da Internet
• Garantire la riservatezza proteggendo l'accesso remoto e la comunicazione tra i nodi;
• Implementazione e amministrazione della sicurezza rapide e semplici con molte funzioni di sicurezza in un unico dispositivo e un'ampia gamma di dispositivi per aziende di tutte le dimensioni, dal piccolo ufficio alla grande impresa;
• Proteggiti dalle nuove minacce emergenti con il Check Point Update Service.

Tutti i dispositivi UTM possono includere Software Blade come: FireWall, VPN, Sistema di prevenzione delle intrusioni, SSL VPN, Protezione da virus/spyware/spam, Firewall di protezione delle applicazioni Web e Web Filtering. È possibile aggiungere altri Software Blade a piacimento. Ulteriori specifiche tecniche possono essere trovate.

Dell

Un altro leader del settore, più concentrato sulle grandi aziende che sulle medie e piccole imprese. L'acquisizione nel 2012 di Sonicwall ha avuto un impatto positivo sul portafoglio di soluzioni offerte. Tutte le soluzioni, dal SuperMassive E10800 al TZ 100, sono basate sulla piattaforma proprietaria Network Security SonicOS e includono:

• Firewall di nuova generazione;
• Controllo delle applicazioni;
• Analisi approfondita dei pacchetti (compresi quelli crittografati con SSL);
• Organizzazione di VPN e SSL VPN;
• antivirus;
• Filtraggio web;
• Sistema di prevenzione delle intrusioni (IPS).

Ulteriori specifiche tecniche possono essere trovate.

WatchGuard (certificato da FSTEC)

Nella linea UTM, WatchGuard è rappresentato dai dispositivi Firebox X basati sull'architettura multi-layer di Intelligent Layered Security. L'architettura è composta da sei livelli di protezione che interagiscono tra loro:

• "Servizi di sicurezza esterni" - offrono tecnologie che estendono la protezione della rete oltre il firewall;
• "Integrità dei dati" - verifica l'integrità dei pacchetti e la loro conformità ai protocolli;
• "VPN" - controlla le connessioni esterne crittografate dell'organizzazione;
• Un firewall con analisi dinamica limita il traffico dalle sorgenti a quelle destinazioni e porte consentite in conformità con la politica di sicurezza;
• "Analisi approfondita delle applicazioni" - garantisce la loro conformità al livello di applicazione del modello ISO, taglia i file pericolosi per modello o tipo di file, blocca i comandi pericolosi e converte i dati per evitare perdite;
• "Sicurezza dei contenuti" - analizza e organizza il traffico per l'applicazione corrispondente. Esempi di ciò sono le tecnologie basate sulle firme, i servizi di blocco dello spam e il filtraggio degli URL.

Per questo motivo, il traffico sospetto viene rilevato e bloccato dinamicamente, mentre il traffico normale è consentito all'interno della rete.

Il sistema utilizza anche il proprio:

• Sistema antivirus/prevenzione intrusioni sul gateway;
• blocco web;
• blocco dello spam.

Ulteriori specifiche tecniche possono essere trovate.

Sophos (esiste un certificato FSTEC)

La gamma di modelli dei dispositivi dell'azienda è rappresentata dalla linea UTM xxx (dal più giovane modello UTM 100 al più vecchio UTM 625). Le differenze principali sono nel throughput.

Le soluzioni comprendono una gamma di applicazioni di rete integrate:

• firewall DPI;
• Sistema di rilevamento delle intrusioni e filtraggio web;
• Sicurezza e protezione della posta elettronica
• Filtri di contenuto;
• Controllo del traffico antivirus;
• Servizio di rete (VLAN, DNS, DHCP, VPN);
• Segnalazione.

Le soluzioni consentono di garantire la sicurezza e la protezione dei segmenti di rete e dei servizi di rete nell'infrastruttura di telecomunicazioni di SOHO, SME, Enterprise, ISP e forniscono il controllo e la pulizia fine del traffico IP a livello di rete. livelli applicativi (FW, IDS/IPS, VPN, Mail Security, WEB/FTP/IM/P2P Security, Antivirus, Anti-spam).

Ulteriori specifiche tecniche possono essere trovate.

NETASQ

NETASQ, parte di EADS Corporation, è specializzata nella creazione di firewall di livello difensivo per proteggere in modo affidabile reti di qualsiasi dimensione. I dispositivi NETASQ UTM sono certificati dalla NATO e dall'Unione Europea e sono inoltre conformi alla classe EAL4+ dei Common Criteria for Assessing Information Technology Security.

L'azienda mette in evidenza i vantaggi dei suoi prodotti:

1. Responsabile delle vulnerabilità di NETASQ;
2. Anti-spam con filtro della posta;
3. Integrazione con Kaspersky Anti-Virus;
4. Filtraggio URL con continui aggiornamenti dal cloud;
5. Filtraggio all'interno di SSL/TLS;
6. Soluzioni VPN con accelerazione hardware;

Il portafoglio dell'azienda comprende schermi UTM hardware e virtuali (rispettivamente serie U e serie V). La serie V è certificata da Citrix e VMware. La serie U, a sua volta, ha un tempo impressionante tra i guasti (MTBF) - 9-11 anni.

Ulteriori specifiche tecniche possono essere trovate.

Cisco (esiste un certificato FSTEC)

L'azienda offre soluzioni sia per le grandi (serie Cisco ASA XXX) che per le piccole/medie imprese (serie Cisco Small Business ISA XXX). Funzionalità di supporto delle soluzioni:

• Controllo dell'applicazione e comportamento dell'applicazione;
• Filtraggio web;
• Protezione botnet;
• Protezione dalle minacce Internet in una modalità il più vicino possibile al tempo reale;

Fornito inoltre:

• Supporto per due reti VPN per la comunicazione tra uffici e partner, espandibile a 25 (ASA 5505) o 750 (ASA 5520) dipendenti
• Supporto da 5 (ASA 5505) a 250 (ASA 5550) utenti LAN da qualsiasi luogo

Ulteriori specifiche tecniche possono essere trovate.

Reti di ginepro

La direzione funzionale di UTM è supportata dalle linee di dispositivi della serie SRX e della serie J.

I principali vantaggi includono:

• Protezione completa a più livelli tra cui antimalware, IPS, filtro URL, filtro dei contenuti e anti-spam;
• Controllo e protezione delle applicazioni mediante policy basate sui ruoli degli utenti per contrastare gli attacchi alle applicazioni e ai servizi Web 2.0;
• Strumenti UTM preinstallati a connessione rapida;
• Costi minimi per l'acquisto e la manutenzione di un gateway sicuro all'interno di un unico produttore di un complesso di protezione.

La soluzione è composta da diversi componenti:

• Antivirus. Protegge la tua rete da malware, virus, spyware, worm, trojan e altri attacchi, nonché da minacce e-mail e Web che possono mettere a rischio la tua attività e le tue risorse aziendali. Il sistema di protezione antimalware integrato in UTM si basa sul motore antivirus di Kaspersky Lab.
• IPS. Vengono utilizzati vari metodi di rilevamento, incl. rilevamento delle anomalie del protocollo e del traffico, firme contestuali, rilevamento SYN flood, rilevamento delle frodi di spoofing e rilevamento backdoor.
• AppSecure. Suite di sicurezza sensibile alle applicazioni che analizza il traffico, fornisce una visibilità completa delle applicazioni, applica le regole del firewall delle applicazioni, controlla l'utilizzo delle applicazioni e protegge la rete.
• Filtro Web avanzato (EWF) fornisce protezione contro siti Web potenzialmente dannosi in diversi modi. La tecnologia utilizza 95 categorie di URL, che consentono di organizzare il loro controllo flessibile, aiutare gli amministratori a tenere traccia dell'attività di rete e garantire la conformità con le politiche aziendali per l'utilizzo delle risorse Web. EWF utilizza l'analisi della reputazione in tempo reale basata sulla rete di ultima generazione che esegue la scansione di oltre 40 milioni di siti Web all'ora alla ricerca di malware. EWF mantiene anche un punteggio di rischio aggregato per tutti gli URL, sia categorizzati che non categorizzati, consentendo alle aziende di monitorare e/o bloccare i siti con una cattiva reputazione.
• Anti-spam.

Ulteriori specifiche tecniche possono essere trovate.

conclusioni

Il mercato russo dei sistemi UTM è sicuramente di interesse sia per i produttori che per i potenziali acquirenti. Tuttavia, a causa di "tradizioni" consolidate, i produttori devono condurre una "battaglia" simultanea sia sul fronte della certificazione e della costruzione di un canale partner, sia nel campo del marketing e della promozione.

Quindi, si può già osservare oggi come quasi tutte le aziende esaminate stiano lavorando alla traduzione dei materiali in russo, all'acquisizione di nuovi partner e alla certificazione delle loro soluzioni. Ad esempio, nel 2012 Dell ha fondato una società separata, Dell Russia, specificatamente per il mercato russo (l'azienda non si occuperà nemmeno dei suoi "vicini più vicini" - Ucraina e Bielorussia). Anche gli sviluppatori domestici non si fermano, sviluppando le loro soluzioni. È interessante notare che molti produttori (sia nazionali che esteri) integrano moduli di terze parti nei loro prodotti. Il modulo antivirus è indicativo al riguardo: vari sistemi UTM utilizzano ClamAV, Kaspersky Anti-Virus, Avira AV, Dr.Web, ecc.

Tuttavia, la conclusione è chiara: il mercato russo viene considerato seriamente ea lungo termine. Finora, nessuno ha intenzione di ritirarsi, il che significa che siamo in anticipo sulla lotta per un posto sotto il sole domestico. Dopotutto, "n. 1 al mondo" non è affatto la stessa cosa di "n. 1 in Russia".

Internet Control Server consente di risolvere più di 80 attività, distribuire servizi di rete aggiuntivi. Tuttavia, se la priorità per te è garantire la sicurezza della rete locale e la resistenza a varie minacce informatiche, puoi utilizzare solo strumenti di protezione dei dati nell'ICS.

La rete aziendale deve essere protetta da intrusioni, distruzioni o modifiche non autorizzate, pur essendo disponibile durante l'orario lavorativo per una tempestiva raccolta dei dati. L'assoluta affidabilità di una rete locale può essere garantita solo da un approccio integrato nella formazione di un sistema di sicurezza delle informazioni. ICS CUBE protegge:

1. Reti di computer o singoli nodi da accessi non autorizzati (firewall).
2. Rete locale dalla penetrazione di file dannosi. Gli antivirus ClamAv (modulo gratuito), Kaspersky Anti-Virus, Dr.Web (moduli commerciali) sono integrati in Internet Control Server.
3. Informazioni riservate da perdite (modulo DLP).
4. Rete aziendale da botnet.
5. Server di posta da spam, attacchi di phishing (modulo Kaspersky Anti-Spam).
6. Telefonia (servizio fail2ban).

ICS CUBE è una soluzione software e hardware, e ciò consente non solo di escludere la possibilità di spendere per software e apparecchiature aggiuntive, ma anche di aumentare notevolmente il grado di sicurezza della rete.

Gestione e monitoraggio

ICS CUBE con la possibilità di gestione centralizzata può facilitare notevolmente il lavoro di un amministratore di sistema in organizzazioni multi-rami, dove le unità strutturali sono ubicate in sedi fisicamente lontane. La soluzione soddisfa tutti i requisiti al momento della configurazione del sistema, del flusso di lavoro e del ripristino di emergenza, consentendo allo specialista di completare tutte le impostazioni da un'unica interfaccia.

Riviste. Rapporti

Questa funzionalità è particolarmente importante per gli amministratori di sistema, poiché consente di tenere traccia dell'attività dell'utente per qualsiasi periodo richiesto.

Rapporti standard in ICS:

• relazione di sintesi generale;
• per attività dell'utente;
• consumo per volume di traffico;
• primi 5 indirizzi IP e domini.

È inoltre possibile visualizzare le statistiche degli utenti raggruppate per categoria di traffico.

Il progettista di report consente di raccogliere dati in base a criteri che non sono presentati nei report standard (per tipi MIME, protocolli, interfacce, domini, gruppi di indirizzi, sorgenti di traffico, ora).

Il registro di sistema in ICS visualizza messaggi sulle azioni dell'utente, le modifiche agli stati del servizio e gli errori di sistema. Per tenersi al passo con ciò che sta accadendo e rispondere rapidamente, l'amministratore di sistema può selezionare il tipo di eventi di interesse, impostare notifiche via e-mail, jabber o icq e controllare in remoto utilizzando comandi aggiuntivi.

Controllo accessi e contabilità del traffico

Oggi quasi tutte le reti locali sono connesse a Internet, pertanto, per evitare abusi del traffico durante l'orario di lavoro, è necessario controllare l'accesso dei dipendenti alla rete esterna.

ICS CUBE consentirà:

• assegnare diritti di accesso diversi per singoli dipendenti e gruppi di utenti;
• limitare la larghezza di banda per i singoli siti, contingentare il traffico per tempo e per utenti (ad esempio consentire l'utilizzo della rete per scopi personali durante le ore non lavorative);
• scegliere un metodo di autorizzazione utente. ICS CUBE supporta l'autorizzazione tramite IP, MAC, login/password, tramite un controller di dominio, una connessione VPN, un programma agente;
• filtrare il traffico per categorie integrate e integrate, elenchi del Ministero della Giustizia e Roskomnadzor;
• mantenere un registro di sistema, compilare report sull'attività dell'utente (ci sono standardizzato + report designer integrato).

Queste funzionalità ti permetteranno di controllare l'attività di rete di ogni utente registrato sulla rete.

Sistema di rilevamento e protezione dalle intrusioni (IDS/IPS)

L'ICS utilizza un sistema IPS/IDS open source - Suricata (multi-tasking, ad alte prestazioni, supporta l'uso di una GPU in modalità IDS, consente di elaborare traffico fino a 10 Gbit). ICS CUBE consente di rilevare i fatti di accesso non autorizzato alla rete o di eccessiva attività di rete sospetta degli utenti.

Il sistema di prevenzione delle intrusioni ICS funziona fornendo accessibilità ai servizi interni e pubblicati. Internet Control Server acquisisce e salva informazioni su attività sospette, blocca botnet, attacchi Dos, nonché client TOR, anonymizer, p2p e torrent.

Il flusso di rete viene monitorato in tempo reale e, quando viene rilevato un pericolo, vengono adottate varie misure: ripristino della connessione, registrazione delle firme rilevate o flusso di traffico. IPS deframmenta i pacchetti, riordina i pacchetti TCP per proteggerli dai pacchetti con numeri SEQ e ACK modificati.

VPN sicura

La VPN in ICS CUBE è una rete privata virtuale che permette di unire in un'unica rete logica utenti fisicamente remoti tra loro (freelance, unità strutturali in sedi diverse, partner, dipendenti che lavorano in remoto). Nonostante il fatto che la trasmissione dei dati avvenga attraverso una rete pubblica esterna, la sicurezza della connessione e della trasmissione dei dati è garantita dalla rete logica che utilizza la crittografia eccessiva.

ICS CUBE supporta i seguenti tipi di connessione remota: PPTP, L2TP, PPoE, GRE/IPIP, OpenVPN.

Una connessione VPN stabile e sicura all'Internet Control Server consente di risolvere problemi urgenti in tempo reale, anche fuori orario.

Il dispositivo universale di gestione unificata delle minacce, altrimenti chiamato sistema UTM, è stato creato per garantire la sicurezza del computer. Il suo utilizzo per la protezione dei dati digitali è iniziato nel 2004, poiché i tipi convenzionali di firewall non potevano più far fronte ad attacchi di rete sempre più sofisticati. La gestione unificata delle minacce è una modifica del firewall standard (Firewall), in relazione al quale include funzioni volte a garantire la protezione dei dati personali. Ciò diventa possibile grazie all'inclusione di attività di ricerca nella soluzione UTM, nonché a prevenzione delle minacce di rete, antivirus, firewall e VPN.

Per la prima volta il termine "Gestione unificata delle minacce" è stato utilizzato da IDC, azienda leader nello studio delle telecomunicazioni e della tecnologia dell'informazione globale. Il principale vantaggio di UTM è che il sistema è un unico complesso che svolge contemporaneamente tutte le funzioni necessarie all'utente: antivirus, filtro dei contenuti, IPS - servizi di prevenzione delle intrusioni e degli attacchi alla rete, molto più conveniente ed efficiente rispetto all'amministrazione di più dispositivi allo stesso tempo.

Architettura UTM

UTM può essere implementato sia come soluzione software (installata su un server dedicato o come macchina virtuale) che come complesso software e hardware. In quest'ultimo caso, per i calcoli viene utilizzato non solo un processore centrale generico, ma anche una serie di processori speciali. Grazie a questa proprietà, la velocità del gateway UTM può raggiungere 1 Gbps e oltre.

Elaboratore di contenuti

Progettato per l'elaborazione ad alta velocità di pacchetti di rete sospetti, nonché di file archiviati e il loro confronto con quei tipi di minacce che sono già archiviati in memoria. Il traffico viene elaborato non direttamente attraverso la rete, ma dalla CPU general purpose, che velocizza il calcolo delle operazioni che sono logicamente correlate al servizio IPS e all'antivirus.

processore di rete

Fornisce l'elaborazione ad alta velocità dei flussi di rete, riducendo il carico su altri componenti del sistema. Esegue anche la crittografia, la traduzione degli indirizzi di rete e l'elaborazione dei segmenti TCP. In grado di calcolare la minaccia anche quando i dati sono frammentati per bypassare i servizi di sicurezza, ordinandoli, calcola il reale scopo del pacchetto di dati finale.

Responsabile della sicurezza

Ti consente di migliorare significativamente le prestazioni del tuo antivirus, del servizio di prevenzione della perdita di dati e del servizio IPS (prevenzione delle intrusioni di rete). Svolge attività di calcolo complesse, scaricando così in modo significativo la CPU.

Componenti software

firewall

Un firewall multistrato protegge l'utente dagli attacchi non solo a livello di rete, ma anche a livello di applicazione: l'accesso ai dati interni viene effettuato solo dopo l'autenticazione, fornendo l'accesso solo agli utenti autorizzati; è possibile creare diversi livelli di diritti di accesso per utenti diversi. È disponibile il supporto per la traduzione NAT degli indirizzi di rete senza rivelare l'architettura interna della rete dell'organizzazione.

VPN IPsec

Fornisce la creazione rapida e semplice di reti VPN sicure - basate sul dominio di crittografia o sulle regole di routing - combinando così le funzioni di crittografia, autenticazione, controllo degli accessi. Consente di connettere in modo sicuro utenti, oggetti, reti remoti.

Filtraggio URL

Filtraggio di siti indesiderati impedendo ai dipendenti di accedere a un determinato elenco di pagine Web. Consente di lavorare con grandi database di URL, è possibile dividerli per tipo di contenuto. È possibile creare liste bianche o nere per singoli utenti o server.

Antivirus e Antispam

Il controllo dei virus avviene anche prima che colpiscano il disco rigido dell'utente, sul gateway di sicurezza. Solitamente i protocolli più comunemente usati sono POP3/IMAP4, FTP, HTTP, SMTP. Inoltre, l'antivirus è solitamente in grado di scansionare i file compressi.

Lo spam viene bloccato studiando la reputazione dell'indirizzo IP da cui è stato ricevuto il messaggio, nonché controllando la conformità dei pacchetti di dati ricevuti con le black list e le white list. IPS viene fornito per la posta, che la protegge da attacchi DDoS, attacchi di buffer overflow. L'intero contenuto dell'e-mail viene scansionato alla ricerca di codici e programmi dannosi.

Raggruppamento

Introdotto per migliorare le prestazioni del firewall, reso possibile dall'aumento del throughput e dal suo scarico, distribuzione uniforme del carico sui core di elaborazione. La corretta distribuzione del traffico tra i gateway di backup consente di raggiungere un elevato livello di tolleranza ai guasti e di reindirizzare il traffico in caso di guasto da un gateway all'altro.

Navigazione web sicura

Esamina la sessione Web corrente alla ricerca di codice dannoso. È in grado di determinare non solo la presenza, ma anche il livello di pericolosità del codice eseguibile e di bloccare il codice dannoso prima che raggiunga il computer dell'utente. Capace di nascondere le informazioni sul server nella risposta HTTP, prevenendo possibili attacchi alla rete.

Prerequisiti per l'emergenza

In considerazione del numero crescente di attacchi alla rete e hacking dei server di grandi aziende e aziende, la necessità di implementare gateway UTM in grado di respingere virus e worm nel sistema è diventata ovvia.

Oggi ci sono molti modi per hackerare sistemi debolmente protetti. I principali problemi incontrati dalle aziende moderne sono la mancanza di sicurezza dei dati interni, nonché l'accesso non autorizzato alle informazioni dei propri dipendenti. La mancanza di sicurezza dei dati è il risultato di grandi perdite finanziarie. Tuttavia, solo relativamente di recente le società hanno iniziato a riconoscere la necessità di controllare l'accesso alle informazioni da parte dei dipendenti dell'azienda, mentre l'abbandono di mezzi specializzati per la protezione dei dati all'interno della rete porta alla divulgazione e alla compromissione di dati riservati.

Lo scopo di una soluzione UTM è fornire l'intera gamma di applicazioni necessarie per proteggere i dati da terze parti. Semplici e facili da usare, i sistemi UTM sono in continua evoluzione, consentendo loro di rispondere ad attacchi di rete sempre più complessi e risolverli in modo tempestivo.

Le soluzioni UTM hanno un analogo sotto forma di firewall di nuova generazione, o NGFW (firewall di nuova generazione). In termini di funzionalità, questo dispositivo è molto simile a UTM, ma non è stato sviluppato per le aziende di medie dimensioni, come avveniva con la gestione unificata delle minacce, ma per le grandi aziende. Inizialmente, i creatori di NGFW hanno cercato di combinare al suo interno il filtraggio di porte e protocolli, fornendo funzionalità di protezione dagli attacchi di rete e la capacità di analizzare il traffico a livello di applicazione.

mercato UTM oggi

Secondo l'ultima ricerca di mercato, nel periodo 2016-2020, il mercato UTM crescerà di circa il 15%. I principali fornitori di soluzioni UTM:

• Dell Sonic Wall
• Cisco (Cisco ASA-X)
• Tecnologie software Check Point
• Reti di ginepro
• Kerio (acquistato da GFI)

Sviluppatori domestici di soluzioni UTM:

• A-Real (server di controllo Internet)
• Software intelligente (Ispettore del traffico)

UTM: soluzioni complete

L'utilizzo di soluzioni di rete finalizzate allo svolgimento di una sola funzione ha cessato di essere giustificato a causa della complessità della gestione e dell'integrazione tra loro e dell'elevata disponibilità di tempo e risorse finanziarie ad essa associate. Oggi, la sicurezza della rete richiede un approccio integrato, che riunisca le funzionalità di sistemi che in precedenza funzionavano in isolamento. Ciò garantisce un'elevata produttività e una risoluzione ottimale dei problemi in meno tempo e con una maggiore efficienza.

Avere una soluzione UTM invece di più dispositivi diversi semplifica la gestione della strategia di sicurezza della rete di un'azienda. La configurazione di tutti i componenti del gateway UTM viene eseguita da un'unica console, in precedenza ciò richiedeva diversi livelli di software e hardware.

Per le aziende con uffici e server remoti, le soluzioni UTM forniscono la gestione centralizzata delle reti remote e la loro protezione.

Vantaggi

Ridurre il numero di dispositivi utilizzati;

Ridurre la quantità di software utilizzato e i costi finanziari per il suo supporto;

Controllo facile e comprensibile. Disponibilità di varie impostazioni, interfaccia web e architettura estensibile;

Formazione del personale più rapida grazie all'utilizzo di un solo dispositivo.

svantaggi

UTM è una soluzione single point of failure, ma alcune soluzioni supportano il clustering;

Se il sistema UTM non supporta la velocità dati massima della rete, il throughput della rete e il tempo di risposta potrebbero risentirne.

). Inizieremo il nostro blog con una breve introduzione alle tecnologie Check Point.

Abbiamo pensato a lungo se scrivere questo articolo, perché. non c'è nulla di nuovo in esso che non possa essere trovato su Internet. Tuttavia, nonostante una tale abbondanza di informazioni, quando lavoriamo con clienti e partner, spesso sentiamo le stesse domande. Pertanto, si è deciso di scrivere una sorta di introduzione al mondo delle tecnologie Check Point e svelare l'essenza dell'architettura delle loro soluzioni. E tutto questo nel quadro di un “piccolo” post, per così dire, una veloce digressione. E cercheremo di non entrare in guerre di marketing, perché. non siamo un venditore, ma solo un integratore di sistemi (anche se amiamo molto Check Point) e andiamo semplicemente oltre i punti principali senza confrontarli con altri produttori (come Palo Alto, Cisco, Fortinet, ecc.). L'articolo si è rivelato piuttosto voluminoso, ma interrompe la maggior parte delle domande nella fase di familiarizzazione con Check Point. Se sei interessato, allora benvenuto sotto il gatto...

UTM/NGFW

Quando si avvia una conversazione su Check Point, la prima cosa da cui iniziare è una spiegazione di cosa sono UTM, NGFW e come differiscono. Lo faremo in modo molto conciso in modo che il post non risulti troppo grande (forse in futuro considereremo questo problema un po' più in dettaglio)

UTM - Gestione unificata delle minacce

In breve, l'essenza di UTM è il consolidamento di diversi strumenti di sicurezza in un'unica soluzione. Quelli. tutto in una scatola o un po' tutto compreso. Cosa si intende per "rimedi multipli"? L'opzione più comune è: Firewall, IPS, Proxy (filtro URL), Streaming Antivirus, Anti-Spam, VPN e così via. Tutto questo è combinato in un'unica soluzione UTM, più semplice in termini di integrazione, configurazione, amministrazione e monitoraggio, e questo, a sua volta, ha un effetto positivo sulla sicurezza complessiva della rete. Quando sono apparse per la prima volta le soluzioni UTM, erano considerate esclusivamente per le piccole aziende, perché. Gli UTM non sono in grado di gestire grandi volumi di traffico. Questo per due motivi:

1. Gestione dei pacchetti. Le prime versioni delle soluzioni UTM elaboravano i pacchetti in sequenza, per ciascun “modulo”. Esempio: prima il pacchetto viene elaborato dal firewall, poi dall'IPS, poi viene controllato dall'Anti-Virus e così via. Naturalmente, un tale meccanismo ha introdotto gravi ritardi del traffico e risorse di sistema fortemente consumate (processore, memoria).
2. Hardware debole. Come accennato in precedenza, l'elaborazione sequenziale dei pacchetti consumava risorse e l'hardware di quei tempi (1995-2005) semplicemente non riusciva a far fronte a un traffico elevato.

Ma il progresso non si ferma. Da allora le capacità hardware sono aumentate notevolmente, l'elaborazione dei pacchetti è cambiata (bisogna ammettere che non tutti i fornitori ce l'hanno) e ha iniziato a consentire analisi quasi simultanee in più moduli contemporaneamente (ME, IPS, AntiVirus, ecc.). Le moderne soluzioni UTM possono "digerire" decine e persino centinaia di gigabit in modalità di analisi approfondita, il che ne rende possibile l'utilizzo nel segmento delle grandi aziende o addirittura dei data center.

Di seguito è riportato il famoso Magic Quadrant di Gartner per le soluzioni UTM per agosto 2016:

Non commenterò con forza questa foto, dirò solo che ci sono dei leader nell'angolo in alto a destra.

NGFW - Firewall di nuova generazione

Il nome dice tutto: Next Generation Firewall. Questo concetto è apparso molto più tardi di UTM. L'idea principale di NGFW è la Deep Packet Inspection (DPI) che utilizza IPS integrato e il controllo degli accessi a livello di applicazione (Application Control). In questo caso, IPS è proprio ciò che serve per identificare questa o quell'applicazione nel flusso di pacchetti, che consente di consentirla o negarla. Esempio: possiamo consentire a Skype di funzionare ma impedire i trasferimenti di file. Possiamo vietare l'uso di Torrent o RDP. Sono supportate anche le applicazioni Web: puoi consentire l'accesso a VK.com, ma impedire giochi, messaggi o guardare video. In sostanza, la qualità di un NGFW dipende dal numero di applicazioni che può definire. Molti credono che l'emergere del concetto di NGFW sia stato uno stratagemma di marketing comune contro il quale Palo Alto ha iniziato la sua rapida crescita.

Maggio 2016 Gartner Magic Quadrant per NGFW:

UTM vs NGFW

Una domanda molto comune, che è meglio? Non c'è una risposta univoca qui e non può essere. Soprattutto se si considera il fatto che quasi tutte le moderne soluzioni UTM contengono funzionalità NGFW e la maggior parte degli NGFW contengono funzioni inerenti a UTM (Antivirus, VPN, Anti-Bot, ecc.). Come sempre, "il diavolo è nei dettagli", quindi prima di tutto devi decidere di cosa hai bisogno nello specifico, decidere il budget. Sulla base di queste decisioni, è possibile selezionare diverse opzioni. E tutto deve essere testato in modo inequivocabile, senza credere ai materiali di marketing.

Noi, a nostra volta, nell'ambito di diversi articoli, cercheremo di parlarti di Check Point, come puoi provarlo e cosa, in linea di principio, puoi provare (quasi tutte le funzionalità).

Tre entità Check Point

Quando lavori con Check Point, ti imbatterai sicuramente in tre componenti di questo prodotto:

Sistema operativo Check Point

Parlando del sistema operativo Check Point se ne possono richiamare tre contemporaneamente: IPSO, SPLAT e GAIA.

1. IPSOè il sistema operativo di Ipsilon Networks, di proprietà di Nokia. Nel 2009 Check Point ha acquistato questa attività. Non più sviluppato.
2. SPLAT- proprio sviluppo di Check Point, basato sul kernel RedHat. Non più sviluppato.
3. Gaia- l'attuale sistema operativo di Check Point, nato dalla fusione di IPSO e SPLAT, che racchiude tutto il meglio. È apparso nel 2012 e continua a svilupparsi attivamente.

Parlando di Gaia, c'è da dire che al momento la versione più diffusa è la R77.30. Relativamente di recente è apparsa la versione R80, che differisce notevolmente dalla precedente (sia in termini di funzionalità che di controllo). Dedicheremo un post separato all'argomento delle loro differenze. Un altro punto importante: al momento, solo la versione R77.10 ha il certificato FSTEC e la versione R77.30 è in fase di certificazione.

Opzioni (Appliance Check Point, Macchina virtuale, OpenServer)

Non c'è nulla di sorprendente qui, poiché molti fornitori di Check Point hanno diverse opzioni di prodotto:

Opzioni di implementazione (distribuita o autonoma)

Un po' più in alto, abbiamo già discusso di cosa sono un gateway (SG) e un server di gestione (SMS). Ora discutiamo le opzioni per la loro implementazione. Ci sono due modi principali:

Come ho detto poco sopra, Check Point ha il suo sistema SIEM - Smart Event. Puoi usarlo solo in caso di installazione distribuita.

Modalità operative (Bridge, Instradato)
Il Security Gateway (SG) può funzionare in due modalità di base:

• instradato- l'opzione più comune. In questo caso, il gateway viene utilizzato come dispositivo L3 e instrada il traffico su se stesso, ovvero Check Point è il gateway predefinito per la rete protetta.
• Ponte- modalità trasparente. In questo caso, il gateway viene installato come un normale “ponte” e passa il traffico attraverso di esso al secondo strato (OSI). Questa opzione viene solitamente utilizzata quando non vi è alcuna possibilità (o desiderio) di modificare l'infrastruttura esistente. Praticamente non è necessario modificare la topologia di rete e non è necessario pensare a modificare l'indirizzamento IP.

Vorrei sottolineare che ci sono alcune limitazioni funzionali nella modalità Bridge, quindi, come integratore, consigliamo a tutti i nostri clienti di utilizzare la modalità Routed, ovviamente, se possibile.

Blade software (lame software Check Point)

Siamo arrivati ​​quasi all'argomento più importante di Check Point, che solleva il maggior numero di domande da parte dei clienti. Cosa sono queste "lame software"? Le lame si riferiscono a determinate funzioni di Check Point.

Queste funzioni possono essere attivate o disattivate in base alle proprie esigenze. Allo stesso tempo, ci sono blade che si attivano esclusivamente sul gateway (Network Security) e solo sul server di gestione (Management). Le immagini seguenti mostrano esempi per entrambi i casi:

1) Per la sicurezza della rete(funzionalità gateway)

Descriviamo brevemente, perché ogni lama merita un articolo separato.

• Firewall - funzionalità firewall;
• IPSec VPN - creazione di reti virtuali private;
• Mobile Access - accesso remoto da dispositivi mobili;
• IPS - sistema di prevenzione delle intrusioni;
• Anti-Bot - protezione contro le reti botnet;
• AntiVirus - antivirus in streaming;
• AntiSpam & Email Security - protezione della posta aziendale;
• Identity Awareness - integrazione con il servizio Active Directory;
• Monitoraggio: monitoraggio di quasi tutti i parametri del gateway (carico, larghezza di banda, stato VPN, ecc.)
• Controllo delle applicazioni - firewall a livello di applicazione (funzionalità NGFW);
• Filtro URL - Sicurezza Web (+ funzionalità proxy);
• Prevenzione della perdita di dati - protezione dalla perdita di informazioni (DLP);
• Emulazione Minaccia - tecnologia sandbox (SandBox);
• Threat Extraction - tecnologia di pulizia dei file;
• QoS - prioritizzazione del traffico.

Tra pochi articoli daremo un'occhiata più da vicino alle lame di Emulazione Minaccia e Estrazione Minaccia, sono sicuro che sarà interessante.

2) Per la gestione(funzionalità del server di gestione)

• Network Policy Management - gestione centralizzata delle policy;
• Endpoint Policy Management - gestione centralizzata degli agenti Check Point (sì, Check Point produce soluzioni non solo per la protezione della rete, ma anche per la protezione delle postazioni (PC) e degli smartphone);
• Logging & Status - raccolta ed elaborazione centralizzata dei registri;
• Portale di gestione - gestione della sicurezza dal browser;
• Flusso di lavoro: controllo sulle modifiche alle politiche, audit delle modifiche, ecc.;
• Directory utenti - integrazione con LDAP;
• Provisioning - automazione della gestione dei gateway;
• Smart Reporter - sistema di reportistica;
• Smart Event - analisi e correlazione di eventi (SIEM);
• Conformità - verifica automatica delle impostazioni ed emissione di raccomandazioni.

Ora non considereremo in dettaglio i problemi di licenza, per non gonfiare l'articolo e confondere il lettore. Molto probabilmente lo toglieremo in un post separato.

L'architettura dei blade consente di utilizzare solo le funzioni di cui si ha realmente bisogno, il che incide sul budget della soluzione e sulle prestazioni complessive del dispositivo. È logico che più blade attivi, meno traffico può essere "allontanato". Ecco perché a ciascun modello Check Point è allegata la seguente tabella delle prestazioni (ad esempio, abbiamo preso le caratteristiche del modello 5400):

Come puoi vedere, qui ci sono due categorie di test: su traffico sintetico e su vero - misto. In generale, Check Point è semplicemente costretto a pubblicare test sintetici, perché. alcuni fornitori utilizzano tali test come benchmark senza esaminare le prestazioni delle loro soluzioni sul traffico reale (o nascondono deliberatamente tali dati a causa della loro insoddisfazione).

In ogni tipo di test, puoi notare diverse opzioni:

1. prova solo per Firewall;
2. Firewall + test IPS;
3. Test Firewall+IPS+NGFW (Application control);
4. Firewall+Controllo applicazioni+Filtro URL+IPS+Antivirus+Anti-Bot+SandBlast test (sandbox)

Osserva attentamente questi parametri quando scegli la tua soluzione o chiedi consiglio.

Penso che questa sia la fine dell'articolo introduttivo sulle tecnologie Check Point. Successivamente, esamineremo come testare Check Point e come affrontare le moderne minacce alla sicurezza delle informazioni (virus, phishing, ransomware, zero-day).

PS Un punto importante. Nonostante l'origine straniera (israeliana), la soluzione è certificata nella Federazione Russa dalle autorità di vigilanza, che ne legalizzano automaticamente la presenza nelle istituzioni statali (commento di ).