Kohët e fundit, të ashtuquajturat pajisje UTM janë bërë gjithnjë e më të njohura në botë, duke kombinuar një gamë të tërë funksionesh të sigurisë së IT në një sistem harduerësh. Për të kuptuar më mirë këto produkte dhe për të kuptuar avantazhet e tyre ndaj zgjidhjeve konvencionale, ne iu drejtuam Rainbow Technologies. Deyan Momchilovich, Shef i Marrëdhënieve me Partnerët në Rainbow, u përgjigjet pyetjeve tona.
Deyan Momchilovich, Shef i Departamentit të Marrëdhënieve me Partnerët, Rainbow
Alexey Dolya: A mund të na tregoni për produktet UTM (Unified Threat Management) në përgjithësi? Çfarë është dhe për çfarë përdoren?
Deyan Momchilovich: Kohët e fundit, kur flasim për sigurinë e informacionit, mediat po përdorin gjithnjë e më shumë një term të ri - pajisjet UTM. Koncepti i Unified Threat Management (UTM), si një klasë e veçantë e pajisjeve për mbrojtjen e burimeve të rrjetit, u prezantua nga agjencia ndërkombëtare IDC, e cila studion tregun e IT. Sipas klasifikimit të tyre, zgjidhjet UTM janë sisteme harduerësh dhe softuerësh shumëfunksionalë që kombinojnë funksionet e pajisjeve të ndryshme: një mur zjarri, një sistem zbulimi dhe parandalimi i ndërhyrjeve në rrjet dhe një portë antivirus.
Pajisjet UTM përdoren për të ndërtuar lehtësisht, shpejt dhe me efikasitet një sistem sigurie për burimet e rrjetit. Ato janë veçanërisht të njohura me kompanitë SMB (Biznesi i Vogël dhe i Mesëm) për shkak të lehtësisë së përdorimit dhe efektivitetit të kostos.
Për t'u quajtur një UTM e plotë, një pajisje duhet të jetë aktive, e integruar dhe e shtresuar. Kjo do të thotë, duhet të kryejë tre funksionet e mëposhtme. Së pari, siguroni siguri me shumë shtresa në të gjithë rrjetin. Së dyti, ai shërben si një filtër antivirus, sistem parandalimi i ndërhyrjeve dhe mbrojtje kundër spyware në nivelin e portës së rrjetit. Së treti, mbroni nga faqet e internetit të pasigurta dhe spam. Për më tepër, çdo funksion është përgjegjës për operacione të caktuara. Për shembull, mbrojtja me shumë shtresa siguron një analizë të thellë proaktive të rrjedhës së të dhënave dhe siguron informacion në lidhje me trafikun e dyshimtë në module të ndryshme të pajisjes, të cilat janë të angazhuara në zbulimin e anomalive të trafikut, analizimin e sjelljes së hostit dhe skanimin e nënshkrimit të skedarit.
Më vete, ia vlen të ndalemi në mbrojtjen nga faqet e internetit të pasigurta dhe spam. Lëvizja e pakontrolluar e punonjësve të kompanisë në internet rrit mundësinë e infektimit me spyware, trojanë dhe shumë viruse. Për më tepër, produktiviteti i punës zvogëlohet, gjerësia e brezit të rrjetit zvogëlohet, madje mund të ndodhë që kompania të mbajë përgjegjësi para ligjit për shkelje të caktuara. Shërbimi i Filtrimit të URL-ve ju lejon të bllokoni sajte me përmbajtje të pasigurt ose të pakëndshme. Mund të organizoni akses në burimet e Uebit bazuar në ditën e javës, nevojat e departamentit ose kërkesat individuale të përdoruesve. Kur bëhet fjalë për postën e padëshiruar, ai mund të mbushë plotësisht serverin tuaj të postës, të mbingarkojë burimet e rrjetit dhe të ndikojë negativisht në produktivitetin e punonjësve. Ai gjithashtu mund të bartë lloje të ndryshme sulmesh të rrezikshme, duke përfshirë viruse, inxhinieri sociale ose phishing. Duke përdorur një shërbim të dedikuar për bllokimin e postës së padëshiruar, ju mund të ndaloni efektivisht trafikun e panevojshëm në portën e rrjetit përpara se të hyjë në rrjet dhe të shkaktojë dëm.
Alexey Dolya: Cili është avantazhi i zgjidhjeve UTM ndaj produkteve të tjera të sigurisë IT?
Deyan Momchilovich: Mund të blihen dhe instalohen pajisje individuale si muri i zjarrit, porta anti-virus, sistemi i parandalimit të ndërhyrjeve, etj. Ose mund të përdorni një pajisje që kryen të gjitha këto funksione. Krahasuar me përdorimin e sistemeve të veçanta, puna me kompleksin UTM ka një sërë përparësish. Së pari, përfitimi financiar. Sistemet e integruara, në kontrast me zgjidhjet e sigurisë me shtresa që janë ndërtuar me shumë pajisje të veçanta, përdorin shumë më pak pajisje. Kjo reflektohet në koston totale. Një zgjidhje plotësisht e integruar mund të përfshijë një mur zjarri, VPN, siguri me shumë shtresa, filtër antivirus, sisteme parandalimi të ndërhyrjeve dhe anti-spyware, filtër URL dhe sisteme të centralizuara monitorimi dhe menaxhimi.
Së dyti, ndalimi i sulmeve në portën e rrjetit pa ndërprerë rrjedhën e punës. Një qasje e shtresuar shmang fatkeqësinë duke bllokuar sulmet e rrjetit ku ata përpiqen të depërtojnë në rrjet. Duke qenë se nivelet ofrojnë mbrojtje së bashku, trafiku i kontrolluar me një kriter të caktuar ri-kontrollohet, në nivele të tjera, me të njëjtin kriter, nuk kontrollohet më. Prandaj, shpejtësia e trafikut nuk ulet dhe aplikacionet e ndjeshme ndaj shpejtësisë mbeten të disponueshme për punë.
Së treti, lehtësia e instalimit dhe përdorimit. Sistemet e integruara me menaxhim të centralizuar e bëjnë të lehtë konfigurimin dhe menaxhimin e pajisjeve dhe shërbimeve. Kjo thjeshton shumë punën e administratorëve dhe ul kostot operative. Aftësia për të vendosur dhe vendosur lehtësisht sisteme duke përdorur magjistarë, standarde optimale dhe mjete të tjera të automatizuara heq shumë nga pengesat teknike për ndërtimin e shpejtë të sigurisë së rrjetit.
Ekziston një ndryshim më i rëndësishëm midis sistemeve UTM dhe zgjidhjeve tradicionale. Çështja është se zgjidhjet e bazuara në nënshkrime kanë qenë shtylla kurrizore e një arsenali sigurie për shumë vite dhe përdorin një bazë të dhënash të modeleve të njohura për të zbuluar dhe bllokuar trafikun keqdashës përpara se ai të hyjë në rrjet. Këto sisteme ofrojnë mbrojtje kundër kërcënimeve dhe shkeljeve të politikave të sigurisë si trojanët, tejmbushjet e buferit, ekzekutimi aksidental i SQL me qëllim të keq, mesazhet e çastit dhe komunikimi pikë-për-pikë (përdorur nga Napster, Gnutella dhe Kazaa).
Megjithatë, pasi të jetë identifikuar dhe identifikuar një kërcënim i dyshuar, mund të duhen nga disa orë në disa javë për të krijuar skedarët përkatës të nënshkrimit të disponueshëm për shkarkim. Ky "lag" krijon një dritare dobësie (Fig. 1), gjatë së cilës rrjetet janë të hapura për të sulmuar:
Oriz. 1. "Cikli i jetës së sulmit dhe dritarja e cenueshmërisë"
Në pajisjet UTM, siguria me shtresa funksionon së bashku me zgjidhjet e bazuara në nënshkrime dhe shërbime të tjera për të mbrojtur më mirë kundër kërcënimeve komplekse që shfaqen me frekuencë alarmante.
Alexey Dolya:Çfarë zgjidhjesh UTM ofron kompania juaj? Çfarë funksionesh kryejnë?
Deyan Momchilovich: Rainbow Technologies është një distributor i kompanisë amerikane WatchGuard në Rusi dhe vendet e CIS. Sipas agjencisë analitike me famë botërore IDC, WatchGuard është pajisja numër 1 e shitjes UTM për SMB në SHBA dhe Evropë (të dhënat e 2005). Një linjë e pajisjeve UTM Firebox X ofrohet në tregun tonë, e krijuar si për korporatat e mëdha ashtu edhe për firmat e vogla.
Firebox X Edge është një mur zjarri i biznesit të vogël dhe një pajisje pikë fundore VPN. Është projektuar për zyra në distancë dhe përdorues celularë dhe mbron burimet e korporatës nga "kërcënimet e paqëllimta" nga përdoruesit e largët kur hyjnë në rrjet.
Kuti zjarri x skaj
Firebox X Core e WatchGuard është linja kryesore e produkteve UTM që ofron Mbrojtje Zero-Day - duke mbrojtur kundër kërcënimeve të reja dhe të panjohura para se ato të ndodhin dhe të zbulohen. Trafiku që hyn në rrjet skanohet në shumë nivele, gjë që bllokon në mënyrë aktive: viruset, krimbat, spyware, Trojans dhe kërcënimet e përziera pa përdorimin e nënshkrimeve.
Firebox X Peak është mbrojtje UTM për rrjete më të gjera, duke siguruar deri në 1 GB gjerësi bandë të murit të zjarrit.
Alexey Dolya: Si ndryshojnë produktet tuaja UTM nga produktet UTM të konkurrentëve tuaj?
Deyan Momchilovich: Sot, vetëm pajisjet UTM të prodhuesve të huaj janë paraqitur në Rusi. Për më tepër, shumica prej tyre, duke paraqitur pajisjet e tyre dhe duke i quajtur ato UTM, thjesht kombinojnë funksionalitetin e pajisjeve të pavarura të sigurisë së rrjetit (si: muri i zjarrit, porta kundër viruseve, sistemi i zbulimit / parandalimit të ndërhyrjeve) në një rast me një sistem të unifikuar monitorimi dhe kontrolli. . Së bashku me avantazhet e pamohueshme të përmendura më herët, kjo qasje ka gjithashtu disavantazhe serioze:
Pajisjet individuale që përdorin një platformë të përbashkët konsumojnë një sasi të madhe burimesh kompjuterike, gjë që çon në rritjen e kërkesave për komponentin harduer të një zgjidhjeje të tillë, duke rritur kështu koston e përgjithshme.
Duke qenë formalisht të bashkuara në një kuti, pajisjet individuale janë në thelb të pavarura nga njëra-tjetra dhe nuk shkëmbejnë me njëra-tjetrën rezultatet e analizës së trafikut që kalon nëpër to. Kjo bën që trafiku që hyn ose del nga rrjeti të kalojë nëpër të gjitha pajisjet, shpesh subjekt i kontrolleve të dyfishta. Si rezultat, shpejtësia e trafikut që kalon përmes pajisjes bie ndjeshëm.
Për shkak të mungesës së ndërveprimit midis blloqeve funksionale individuale të pajisjes, të përmendura më lart, gjasat e hyrjes së trafikut potencialisht të rrezikshëm në rrjet rriten.
Në zemër të zgjidhjeve UTM të WatchGuard është arkitektura Intelligent Layered Security (ILS), e cila eliminon këto disavantazhe të qenësishme në zgjidhjet e tjera UTM. Le të hedhim një vështrim më të afërt se si funksionon ILS. Kjo arkitekturë është në qendër të gamës së pajisjeve UTM Firebox X të WatchGuard dhe ofron mbrojtje efektive për bizneset në rritje. Duke shfrytëzuar ndërveprimet dinamike midis shtresave, ILS ofron siguri në performancën optimale të pajisjes.
Arkitektura ILS përbëhet nga gjashtë shtresa mbrojtjeje (Figura 2) që ndërveprojnë me njëra-tjetrën. Për shkak të kësaj, trafiku i dyshimtë zbulohet dhe bllokohet në mënyrë dinamike, dhe trafiku normal lejohet brenda rrjetit. Kjo ju lejon t'i rezistoni sulmeve të njohura dhe të panjohura, duke siguruar mbrojtje maksimale me koston më të ulët.
Oriz. 2. "Arkitektura e Sigurisë me Shtresa Inteligjente dhe UTM"
Çdo shtresë e mbrojtjes kryen funksionet e mëposhtme:
1. Shërbimet e jashtme të sigurisë ndërveprojnë me mbrojtjen e brendshme të rrjetit (antiviruset në stacionet e punës, etj.).
2. Kontrolluesi i integritetit të të dhënave kontrollon integritetin e paketave që kalojnë përmes pajisjes dhe përputhshmërinë e këtyre paketave me protokollet e transmetimit.
3. Shërbimi VPN kontrollon trafikun për përkatësinë në lidhjet e jashtme të koduara të organizatës.
4. Firewall-i me gjendje dinamike kufizon trafikun drejt burimeve dhe destinacioneve sipas politikës së konfiguruar të sigurisë.
5. Shërbimi i analizës së aplikimit të thellë shkurton skedarët e rrezikshëm sipas modeleve ose llojeve të skedarëve, bllokon komandat e rrezikshme, konverton të dhënat në mënyrë që të shmangë rrjedhjen e të dhënave kritike.
6. Shërbimi i Inspektimit të Përmbajtjes përdor teknologji të bazuara në nënshkrime, bllokim të postës së padëshiruar dhe filtrim URL.
Të gjitha këto shtresa mbrojtëse ndërveprojnë në mënyrë aktive me njëra-tjetrën, duke transferuar të dhënat e marra nga analiza e trafikut në një shtresë në të gjitha shtresat e tjera. Çfarë lejon:
1. Zvogëloni përdorimin e burimeve llogaritëse të pajisjes UTM dhe duke reduktuar kërkesat e harduerit, ulni koston e përgjithshme.
2. Për të arritur ngadalësimin minimal të trafikut që kalon përmes pajisjes UTM, falë jo të gjithëve, por vetëm kontrolleve të nevojshme.
3. Rezistoni jo vetëm kërcënimet e njohura, por gjithashtu siguroni mbrojtje kundër sulmeve të reja, ende të paidentifikuara.
Alexey Dolya:Çfarë lloj mbështetjeje teknike marrin përdoruesit e produkteve tuaja UTM?
Deyan Momchilovich: Në zemër të të gjitha zgjidhjeve të WatchGuard është ruajtja e vazhdueshme e nivelit më të lartë të sigurisë në perimetrin e rrjetit, e cila arrihet përmes shërbimit elektronik LiveSecurity. Abonentëve u ofrohen rregullisht përditësime të softuerit, mbështetje teknike, këshilla ekspertësh, masa për të parandaluar dëmtimet e mundshme nga metodat e reja të sulmit, etj. Të gjitha produktet e Firebox X mbështeten nga një abonim 90-ditor falas në LiveSecurity, shërbimi më gjithëpërfshirës në IT sot. -industri me një sistem mbështetjeje dhe shërbimesh teknike në distancë.
LiveSecurity përbëhet nga disa module. Këto, nga ana tjetër, përfshijnë: mbështetje teknike në kohë reale, mbështetje dhe përditësime të softuerit, trajnime dhe udhëzues, si dhe mesazhe speciale të LiveSecurity Broadcasts (njoftim i shpejtë i kërcënimeve dhe metodave të luftimit të tyre).
Kutia e zjarrit x
Alexey Dolya: Sa kushtojnë zgjidhjet tuaja UTM dhe sa kushton përdorimi i tyre çdo vit? Ku mund t'i blini produktet tuaja?
Deyan Momchilovich: Ne nuk punojmë me përdoruesit përfundimtarë, pasi nuk kemi një strukturë të shitjeve me pakicë - kjo është politika jonë tregtare. Ju mund të blini pajisjet WatchGuard Firebox X UTM nga partnerët tanë - integrues të sistemit ose rishitës, lista e të cilave është në dispozicion në faqen e internetit http://www.rainbow.msk.ru. Ju gjithashtu mund të merrni informacion rreth kostos së shitjes me pakicë të këtyre pajisjeve prej tyre.
Alexey Dolya: Cilat janë parashikimet tuaja për shitjet e pajisjeve UTM në vendin tonë?
Deyan Momchilovich: Në të gjithë botën, shitjet e pajisjeve UTM janë në rritje. Dhe tregu ynë nuk bën përjashtim. Krahasuar me 2002, segmenti i pajisjeve UTM deri në vitin 2005 u rrit me 160% (sipas hulumtimit të tregut botëror nga agjencia IDC). Kjo shifër flet për një rritje shumë të shpejtë, dhe, përkundër faktit se tregu rus është dukshëm "ngelur" pas SHBA dhe Evropës, ne parashikojmë gjithashtu një rritje të konsiderueshme të popullaritetit të pajisjeve UTM në të në të ardhmen shumë të afërt.
Alexey Dolya: Faleminderit për kohën tuaj dhe për t'iu përgjigjur të gjitha pyetjeve. Suksese dhe gjithe te mirat!
Besohet se UTM dhe NGFW janë një dhe e njëjta gjë. Unë dua të hedh poshtë këtë mendim.
Çfarë erdhi e para?
Kjo është e drejtë, së pari ishin UTM (Unified Threat Management). Është një sistem gjithëpërfshirës. Dikush i zgjuar mendoi të vendoste disa motorë mbrojtës në një server menjëherë. Oficerët e sigurisë patën mundësinë të merrnin kontrollin dhe funksionimin e disa motorëve të sigurisë nga një kuti. Tani muri i zjarrit, VPN, IPS, antivirus, filtri i uebit dhe antispam po punojnë së bashku. Dikush tjetër po instalon motorë të tjerë, për shembull, DLP. Tani është i detyrueshëm motori i deshifrimit SSL dhe SSH dhe motori i analizimit dhe bllokimit të aplikacioneve në të 7 shtresat e modelit OSI ISO. Si rregull, motorët merren nga shitës të ndryshëm apo edhe të lirë, për shembull, IPS nga SNORT, antivirus clamav ose muri i zjarrit iptables. Meqenëse muri i zjarrit është ende një ruter ose ndërprerës për trafikun, motori dinamik i rrugëzimit është gjithashtu më shpesh nga disa prodhues. Ndërsa kërkesa u rrit, në treg u shfaqën lojtarë të mëdhenj, të cilët ishin në gjendje të blinin disa zhvillime të mira për funksionimin e motorit të dëshiruar dhe të kombinonin punën e tyre brenda një pajisjeje UTM. Për shembull, Check Point bleu IPS nga NFR, Cisco bleu IPS nga Sourcefire. Markat e njohura janë të dukshme në sheshin Gartner UTM. Në vitin 2017, drejtuesit e UTM sipas Gartner janë Check Point, Fortinet dhe Sophos.
Disavantazhet e arkitekturës UTM. Pse u shfaq NGFW?
Fig 1. Një shembull i arkitekturës së UTM-së.
Problemi i parë arkitektonik i UTM ishte se të gjithë motorët brenda nga ana e tyre transmetonin paketa rrjeti tek njëri-tjetri dhe prisnin që motori i mëparshëm të përfundonte punën e tij në mënyrë që të fillonte të tijin. Si rezultat, sa më shumë funksione të ndërtojë një shitës në pajisjen e tyre, aq më ngadalë funksionon. Si rezultat, përdoruesit e pajisjeve të tilla duhet të çaktivizojnë IPS dhe antivirus ose disa nga nënshkrimet e tyre në mënyrë që trafiku të shkojë fare. Kjo do të thotë, ata paguanin si për një pajisje sigurie, por e përdorin atë vetëm si një ruter. Ishte e nevojshme të dilte me diçka në mënyrë që motorët e mbrojtjes të mos prisnin njëri-tjetrin dhe të punonin paralelisht.
Një lëvizje e re nga prodhuesit e NGFW ishte se ata përdorën çipa të specializuar që njëkohësisht shikojnë të njëjtin trafik. Kjo u bë e mundur, pasi secili procesor filloi të ishte përgjegjës për funksionin e tij: nënshkrimet IPS futen në njërën, nënshkrimet antivirus në tjetrën dhe nënshkrimet URL në të tretën. Mund të aktivizoni të gjitha nënshkrimet në të gjithë motorët - trafiku mbrohet plotësisht pa degraduar performancën. Çipat e programueshëm të këtij lloji quhen FPGA (Programmable Logic Integrated Circuit) ose FPGA në literaturën angleze. Ato ndryshojnë nga ASIC në atë që mund të riprogramohen në fluturim dhe të kryejnë funksione të reja, për shembull, duke kontrolluar për nënshkrime të reja, pas një përditësimi të mikrokodit ose ndonjë funksion tjetër. Kjo është ajo që përdor NGFW - të gjitha përditësimet janë të lidhura drejtpërdrejt në çipat FPGA.
Fig 2. Një shembull i arkitekturës së Rrjeteve Palo Alto NGFW.
Problemi i dytë arkitektonik i UTM u bë që të gjitha operacionet e skedarëve kërkonin punën e diskut të ngurtë. Sa është shpejtësia e leximit nga hard disku? 100 megabajt për sekondë. Çfarë do të bëjë UTM nëse qendra juaj e të dhënave ka shpejtësi 10 Gbps? Nëse 300 njerëz në kompaninë tuaj vendosin të shkarkojnë një baba me skedarë përmes rrjetit Microsoft (protokolli SMB), atëherë çfarë do të bëjë UTM? UTM-të e këqija thjesht do të ngarkojnë 100% dhe do të ndalojnë së punuari. Për këtë rast, UTM-të e avancuara kanë të integruar mekanizma të ndryshëm për çaktivizimin automatik të motorëve të mbrojtjes: anashkalim antivirus, anashkalim ips dhe të tjerë, të cilët çaktivizojnë funksionet e sigurisë kur ngarkesa e harduerit tejkalon aftësitë e saj. Dhe nëse ju duhet jo vetëm të ruani skedarin, por edhe të shpaketoni arkivin? Shpejtësia e punës ulet edhe më shumë. Prandaj, UTM-të përdoren kryesisht në kompani të vogla ku shpejtësitë nuk ishin të rëndësishme, ose ku siguria është një opsion.
Praktika tregon se sapo të rritet shpejtësia e rrjetit, atëherë në UTM duhet të fikni të gjithë motorët, përveç routerit dhe murit të zjarrit të paketave, ose thjesht të instaloni një mur zjarri të rregullt. Kjo do të thotë, për një kohë të gjatë tashmë ekzistonte një detyrë për të shpejtuar disi punën e antivirusit të skedarit.
Një ndryshim i ri arkitekturor për prodhuesin e parë NGFW, i cili u shfaq në 2007, ishte se skedarët nuk ruheshin më në disk, domethënë, të gjitha analizat e trafikut, dekodimi dhe montimi i skedarëve për skanim nga antivirus filluan të kryheshin në memorie. Kjo përmirësoi shumë performancën e pajisjeve mbrojtëse dhe i shkëputi ato nga performanca e disqeve të ngurtë. Shpejtësitë e rrjetit rriten më shpejt se shpejtësia e hard drive-it. Vetëm NGFW do t'i shpëtojë rojet e sigurisë. Tani, sipas Gartner, ka dy liderë në NGFW: Palo Alto Networks dhe Check Point.
Si funksionojnë ata me aplikacionet e nivelit 7 në UTM dhe NGFW?
Me ardhjen e NGFW, klientët kanë një mundësi të re - përcaktimin e aplikacioneve të Layer 7. Inxhinierët e rrjetit po studiojnë modelin e rrjeteve me shtatë shtresa OSI ISO. Në nivelin e 4-të të këtij modeli funksionojnë protokollet TCP dhe UDP, të cilat në 20 vitet e fundit rrjetet IP konsideroheshin të mjaftueshme për analizën e trafikut dhe menaxhimin e trafikut. Kjo do të thotë, një mur zjarri konvencional thjesht shfaq adresat IP dhe portet. Dhe çfarë bëhet në 5-7 nivelet e ardhshme? Firewall-i i gjeneratës së ardhshme sheh të gjitha nivelet e abstraksionit dhe tregon se cili aplikacion ka transferuar cilin skedar. Kjo rrit shumë të kuptuarit e profesionistëve të TI-së për ndërveprimet në rrjet dhe rrit sigurinë duke ekspozuar tunelimin brenda aplikacioneve të hapura dhe duke bllokuar aplikacionin, jo vetëm portin. Për shembull, si të bllokoni skype ose bittorent me një firewall të zakonshëm të gjeneratës së vjetër? Po, në asnjë mënyrë.
Shitësit UTM përfundimisht shtuan një motor përkufizimi të aplikacionit. Sidoqoftë, ata kanë dy motorë të kontrollit të trafikut - portin 4 në nivelin TCP, UDP dhe ICMP dhe në nivelin e kërkimit të përmbajtjes së aplikacionit në trafik si teamviewer, tor, skype. Doli që UTM ka disa politika: njëra kontrollon portet, e dyta kontrollon aplikacionet. Dhe kjo krijon shumë vështirësi, si rezultat, askush nuk përdor politikën e kontrollit të aplikacionit.
Po bashkangjit një prezantim me temën e vizualizimit në nivel aplikimi. Ai gjithashtu prek temën e Shadow IT. Por më shumë për këtë më vonë..
Serveri i Kontrollit të Internetit ju lejon të zgjidhni më shumë se 80 detyra, të vendosni shërbime shtesë të rrjetit. Megjithatë, nëse prioriteti juaj është të garantoni sigurinë e rrjetit tuaj lokal dhe rezistencën ndaj kërcënimeve të ndryshme kibernetike, mund të përdorni vetëm mjetet e mbrojtjes së të dhënave në ICS.
Rrjeti i korporatës duhet të mbrohet nga ndërhyrja, shkatërrimi ose modifikimi i paautorizuar, ndërkohë që është i disponueshëm gjatë orarit të punës për marrjen e menjëhershme të të dhënave. Besueshmëria absolute e një rrjeti lokal mund të garantohet vetëm nga një qasje e integruar për formimin e një sistemi të sigurisë së informacionit. IKS KUB mbron:
- Rrjetet kompjuterike ose nyjet individuale nga aksesi i paautorizuar (firewall).
- Rrjeti lokal nga depërtimi i skedarëve me qëllim të keq. Serveri i Kontrollit të Internetit integron antiviruset ClamAv (moduli falas), Kaspersky Anti-Virus, Dr.Web (module komerciale).
- Informacion konfidencial nga rrjedhjet (moduli DLP).
- Rrjeti i korporatës nga botnets.
- Serveri i postës kundër spamit, sulmeve të phishing (moduli Kaspersky Anti-Spam).
- Telefonia (shërbimi fail2ban).
IKS KUB është një zgjidhje softuerike dhe harduerike, dhe kjo lejon jo vetëm të përjashtojë mundësinë e shpenzimeve për softuer dhe pajisje shtesë, por edhe të rrisë ndjeshëm shkallën e sigurisë së rrjetit.
Menaxhimi dhe monitorimi
ICS KUB me mundësinë e menaxhimit të centralizuar bën të mundur lehtësimin e ndjeshëm të punës së administratorit të sistemit në organizatat me shumë degë, ku ndarjet strukturore janë të vendosura në zyra fizikisht të largëta. Zgjidhja plotëson të gjitha kërkesat e konfigurimit të sistemit, rrjedhës së punës dhe rikuperimit nga fatkeqësitë, duke i lejuar teknikut të kryejë të gjitha cilësimet nga një ndërfaqe e vetme.
Revista. Raportet
Ky funksion është veçanërisht i rëndësishëm për administratorët e sistemit, pasi ju lejon të gjurmoni aktivitetin e përdoruesit për çdo periudhë të kërkuar.
Raportet standarde në IKS:
- raport i përgjithshëm përmbledhës;
- sipas aktivitetit të përdoruesit;
- konsumi sipas vëllimit të trafikut;
- top 5 adresat IP dhe domenet.
Është gjithashtu e mundur të shikoni statistikat e përdoruesve të grupuara sipas kategorive të trafikut.
Projektuesi i raportit ju lejon të grumbulloni të dhëna sipas kritereve që nuk janë paraqitur në raportet standarde (sipas llojeve të mimave, protokolleve, ndërfaqeve, domeneve, grupeve të adresave, burimeve të trafikut, kohës).
Regjistrimi i sistemit në ICS shfaq mesazhe në lidhje me veprimet e përdoruesit, ndryshimet në statuset e shërbimit dhe gabimet e sistemit. Për të qenë të vetëdijshëm për atë që po ndodh dhe për t'u përgjigjur shpejt, administratori i sistemit mund të zgjedhë llojin e ngjarjeve me interes, të konfigurojë njoftimet me e-mail, jabber ose icq dhe ta kontrollojë atë nga distanca duke përdorur komanda shtesë.
Kontrolli i aksesit dhe kontabiliteti i trafikut
Sot, pothuajse çdo rrjet lokal është i lidhur me internetin, prandaj, për të shmangur humbjen e trafikut gjatë orarit të punës, është e nevojshme të kontrollohet aksesi i punonjësve në rrjetin e jashtëm.
IKS CUB do të lejojë:
- caktoni të drejta të ndryshme aksesi për punonjësit individualë dhe grupet e përdoruesve;
- kufizoni gjerësinë e brezit për faqet individuale, kuotën e trafikut sipas kohës dhe përdoruesve (për shembull, lejoni përdorimin e rrjetit për qëllime personale gjatë orarit jo të punës);
- zgjidhni një mënyrë për të autorizuar përdoruesit. ICS CUBE mbështet autorizimin me IP, MAC, hyrje / fjalëkalim, përmes një kontrolluesi të domenit, lidhjes VPN, programit të agjentit;
- filtro trafikun sipas kategorive të integruara dhe të integruara, listat e Ministrisë së Drejtësisë dhe Roskomnadzor;
- mbani një regjistër të sistemit, përpiloni raporte të aktivitetit të përdoruesit (ka të integruara të standardizuar + projektues raportesh).
Këto aftësi do t'ju lejojnë të monitoroni aktivitetin e rrjetit të çdo përdoruesi të regjistruar në rrjet.
Sistemi i zbulimit dhe mbrojtjes së ndërhyrjeve (IDS / IPS)
ICS përdor një sistem IPS / IDS me burim të hapur - Suricata (shumë detyra, me performancë të lartë, mbështet përdorimin e GPU në modalitetin IDS, lejon përpunimin e trafikut deri në 10 Gbit). ICS CUB lejon zbulimin e fakteve të aksesit të paautorizuar në rrjet ose aktivitetit të tepërt të dyshimtë të rrjetit të përdoruesve.
Sistemi i parandalimit të ndërhyrjes ICS funksionon duke siguruar akses në shërbimet e brendshme dhe të publikuara. Serveri i Kontrollit të Internetit regjistron dhe ruan informacione rreth aktiviteteve të dyshimta, bllokon botnet-et, sulmet Dos, si dhe TOR, anonimizuesit, klientët p2p dhe torrent.
Trafiku i rrjetit monitorohet në kohë reale dhe kur zbulohet një kërcënim, merren masa të ndryshme: rivendosja e lidhjes, regjistrimi i nënshkrimeve të zbuluara ose kalimi i trafikut. IPS defragmenton paketat, rirendit paketat TCP për t'u mbrojtur nga paketat me numra të modifikuar SEQ dhe ACK.
VPN e sigurt
VPN në ICS CUB është një rrjet privat virtual që ju lejon të kombinoni përdoruesit që janë fizikisht të largët nga njëri-tjetri (përpunues të pavarur, njësi strukturore në zyra të ndryshme, partnerë, punonjës që punojnë në distancë) në një rrjet të vetëm logjik. Pavarësisht se transmetimi i të dhënave kryhet nëpërmjet një rrjeti publik të jashtëm, siguria e lidhjes dhe transmetimit të të dhënave sigurohet nga rrjeti logjik duke përdorur super-kriptimin.
IKS KUB mbështet llojet e mëposhtme të lidhjeve në distancë: PPTP, L2TP, PPoE, GRE / IPIP, OpenVPN.
Lidhja e qëndrueshme dhe e sigurt VPN me Serverin e Kontrollit të Internetit ju lejon të zgjidhni çështjet urgjente në kohë reale, edhe pas orëve.
Artikulli shqyrton rolin e sistemeve UTM në kontekstin e kërkesave të sigurisë së rrjetit të biznesit. Është kryer një analizë bazë e "balancës së fuqisë" në tregjet globale dhe ruse. Me sisteme UTM (porta universale të sigurisë) nënkuptojmë një klasë pajisjesh rrjeti shumëfunksionale, kryesisht mure zjarri, të cilat përmbajnë shumë funksione, si antispam, antivirus, mbrojtje nga ndërhyrjet (IDS/IPS) dhe filtrim të përmbajtjes.
Prezantimi
Rreziqet e përdorimit të rrjeteve janë të njohura. Megjithatë, në kushtet moderne, nuk është më e mundur të braktisësh këtë të fundit. Kështu, gjithçka që mbetet është që ato të minimizohen në një nivel të pranueshëm.
Në parim, mund të dallohen dy qasje në sigurimin e sigurisë së integruar. E para shpesh quhet klasike ose tradicionale. Thelbi i tij bazohet në aksiomën "një produkt i specializuar është më i mirë se një korrës multifunksional".
Megjithatë, krahas rritjes së mundësive të zgjidhjeve të ndryshme, filluan të shfaqen edhe pengesa në përdorimin e përbashkët të tyre. Pra, për shkak të autonomisë së secilit produkt, pati një dyfishim të përmbajtjes funksionale, e cila, në fund të fundit, ndikoi në shpejtësinë dhe koston përfundimtare jo për mirë. Përveç kësaj, nuk kishte asnjë garanci që zgjidhje të ndryshme nga prodhues të ndryshëm do të "bashkëjetonin në mënyrë paqësore" me njëri-tjetrin dhe nuk do të konfliktoheshin. Kjo, nga ana tjetër, krijoi gjithashtu vështirësi shtesë për zbatimin, menaxhimin dhe mirëmbajtjen e sistemeve. Së fundi, lindi pyetja e ndërveprimit të zgjidhjeve të ndryshme me njëra-tjetrën (shkëmbimi i informacionit për të ndërtuar një "pamje të përgjithshme", korrelacioni i ngjarjeve, etj.) dhe komoditeti i menaxhimit të tyre.
Nga pikëpamja e biznesit, çdo zgjidhje duhet të jetë efektive, jo vetëm në aspektin praktik. Është e rëndësishme që, nga njëra anë, të lejojë uljen e kostos totale të pronësisë, dhe nga ana tjetër, të mos rrisë kompleksitetin e infrastrukturës. Prandaj, çështja e shfaqjes së sistemeve UTM ishte vetëm çështje kohe.
Cilat janë Portat Universale të Sigurisë (UTM)?
Le të japim një përshkrim të shkurtër për zgjidhjet më të njohura.
Fortinet (e certifikuar nga FSTEC)
Fortinet ofron një gamë të gjerë pajisjesh, nga seria FortiGate-20 për bizneset dhe zyrat e vogla deri te seria FortiGate-5000 për ndërmarrjet dhe ofruesit e shërbimeve shumë të mëdha. Platformat FortiGate përdorin sistemin operativ FortiOS me bashkëprocesorë FortiASIC dhe pajisje të tjera. Çdo pajisje FortiGate përfshin:
- Firewall, VPN dhe Traffic Shaping;
- Sistemi i Parandalimit të Ndërhyrjeve (IPS);
- Anti-virus / Anti-malware;
- Kontrollues i integruar Wi-Fi;
- Kontrolli i aplikacionit;
- Mbrojtje kundër rrjedhjeve të të dhënave;
- Kërkoni për dobësi;
- mbështetje IPv6;
- Filtrimi i ueb-it;
- Anti-spam;
- mbështetje VoIP;
- Routing / switching;
- Optimizimi i WAN dhe memoria e uebit.
Pajisjet marrin përditësime dinamike nga qendra globale e kërkimit FortiGuard Labs. Gjithashtu, produktet e bazuara në FortiGate kanë funksionalitet kompleks të rrjetit, duke përfshirë grupimin (aktive / aktive, aktive / pasive) dhe domenet virtuale (VDOM), të cilat bëjnë të mundur ndarjen e rrjeteve që kërkojnë politika të ndryshme sigurie.
Pika e kontrollit (e certifikuar nga FSTEC)
Check Point thekson përfitimet e mëposhtme për pajisjet e tij Check Point UTM-1:
- Teknologji e provuar e besuar nga kompanitë e Fortune 500;
- Gjithçka që ju nevojitet për të mbrojtur rrjetin tuaj: funksionalitetin, përditësimet dhe menaxhimin e sigurisë;
- Mbrojtja e rrjeteve, sistemeve dhe përdoruesve nga shumë lloje sulmesh nga interneti
- Sigurimi i konfidencialitetit duke mbrojtur aksesin në distancë dhe komunikimin ndërmjet nyjeve;
- Vendosni dhe administroni sigurinë shpejt dhe me lehtësi me funksione të shumta sigurie në një pajisje dhe një gamë të gjerë pajisjesh për bizneset e të gjitha madhësive - nga zyrat e vogla deri tek ndërmarrjet e mëdha;
- Mbroni kundër kërcënimeve të reja me shërbimin e përditësimit të pikës së kontrollit.
Të gjitha pajisjet UTM mund të përfshijnë blades softuerësh si: Firewall, VPN, Sistemi i Parandalimit të Ndërhyrjeve, SSL VPN, Virus, Spyware dhe Mbrojtje nga Spam, Firewall i Dedikuar i Aplikacioneve Ueb dhe Filtrim Ueb. Mund të shtohen Blades shtesë softuerësh sipas dëshirës. Më shumë detaje mbi karakteristikat teknike mund të gjenden.
Dell
Një tjetër lider në industri, më shumë i fokusuar tek kompanitë e mëdha sesa tek bizneset e mesme dhe të vogla. Blerja e Sonicwall në vitin 2012 ka një ndikim pozitiv në portofolin e zgjidhjeve. Të gjitha zgjidhjet, nga SuperMassive E10800 deri te TZ 100, janë ndërtuar në platformën e pronarit të Sigurisë së Rrjetit SonicOS dhe përfshijnë:
- Firewall i gjeneratës së ardhshme;
- Kontrolli i aplikacionit;
- Hulumtim i thellë i paketave (përfshirë ato të koduara duke përdorur SSL);
- Organizimi VPN dhe SSL VPN;
- Antivirus;
- Filtrimi i ueb-it;
- Sistemi i Parandalimit të Ndërhyrjeve (IPS).
Më shumë detaje mbi karakteristikat teknike mund të gjenden.
WatchGuard (ekziston një certifikatë FSTEC)
Në linjën UTM, WatchGuard përfaqësohet nga pajisjet Firebox X të bazuara në arkitekturën Inteligjente të Sigurisë me Shtresa. Arkitektura përbëhet nga gjashtë shtresa mbrojtjeje që ndërveprojnë me njëra-tjetrën:
- "Shërbimet e Sigurisë së Jashtme" - ofrojnë teknologji që zgjerojnë mbrojtjen e rrjetit pas një muri zjarri;
- Integriteti i të dhënave - kontrollon integritetin e paketave dhe përputhshmërinë e tyre me protokollet;
- "VPN" - kontrollon lidhjet e jashtme të koduara të organizatës;
- Firewall-i i analizës dinamike kufizon trafikun nga burimet në ato destinacione dhe porte që lejohen në përputhje me politikën e sigurisë;
- "Analiza e thellë e aplikacionit" - siguron përputhjen e tyre me nivelin e aplikimit të modelit ISO, shkurton skedarët e rrezikshëm sipas modelit ose llojit të skedarit, bllokon komandat e rrezikshme dhe transformon të dhënat për të shmangur rrjedhjet;
- Siguria e përmbajtjes - Analizon dhe menaxhon trafikun për aplikacionin përkatës. Shembuj të kësaj janë teknologjitë e bazuara në nënshkrime, shërbimet e bllokimit të spamit dhe filtrimi i URL-ve.
Për shkak të kësaj, trafiku i dyshimtë zbulohet dhe bllokohet në mënyrë dinamike, dhe trafiku normal lejohet brenda rrjetit.
Sistemi përdor gjithashtu të vetin:
- Antivirus / Sistemi i Parandalimit të Ndërhyrjeve në portë;
- WebBlocker;
- SpamBlocker.
Më shumë detaje mbi karakteristikat teknike mund të gjenden.
Sophos (ekziston një certifikatë FSTEC)
Gama e modeleve të pajisjeve të kompanisë përfaqësohet nga linja UTM xxx (nga modeli më i ri UTM 100 tek ai i vjetër UTM 625). Dallimet kryesore janë xhiroja.
Zgjidhjet përfshijnë një sërë aplikacionesh të integruara të rrjetit:
- DPI firewall;
- Sistemi i zbulimit të ndërhyrjeve dhe filtrimi i uebit;
- Siguria dhe mbrojtja e emailit
- filtra të përmbajtjes;
- Kontrolli i trafikut antivirus;
- Shërbimi i rrjetit (VLAN, DNS, DHCP, VPN);
- Raportimi.
Zgjidhjet ju lejojnë të siguroni sigurinë dhe mbrojtjen e segmenteve të rrjetit dhe shërbimeve të rrjetit në infrastrukturën e telekomunikacionit SOHO, SME, Enterprise, ISP dhe të siguroni kontroll dhe rregullim të imët të trafikut IP në nivel rrjeti. nivelet e aplikacionit (FW, IDS / IPS, VPN, Siguria e Postës, Siguria WEB / FTP / IM / P2P, Anti-virus, Anti-spam).
Më shumë detaje mbi karakteristikat teknike mund të gjenden.
NETASQ
NETASQ, pjesë e EADS, është e specializuar në muret e zjarrit të shkallës së mbrojtjes për të mbrojtur me besueshmëri rrjetet e të gjitha madhësive. Pajisjet NETASQ UTM janë të çertifikuara nga NATO dhe Bashkimi Evropian, si dhe janë në përputhje me klasën EAL4 + "Kriteret e përgjithshme për vlerësimin e sigurisë së teknologjisë së informacionit".
Kompania thekson avantazhet e produkteve të saj:
- Menaxher i Vulnerability NETASQ;
- Antispam me filtrim të postimeve;
- Integrimi me Kaspersky Anti-Virus;
- Filtrimi i URL-së me përditësime të vazhdueshme nga cloud;
- Filtrimi brenda SSL / TLS;
- Zgjidhje VPN me përshpejtim harduerik;
Portofoli i kompanisë përfshin ekrane harduerike dhe virtuale UTM (përkatësisht seritë U dhe seritë V). Seria V është e certifikuar nga Citrix dhe VMware. Seria U, nga ana tjetër, ka një MTBF mbresëlënëse prej 9-11 vjetësh.
Më shumë detaje mbi karakteristikat teknike mund të gjenden.
Cisco (certifikatë FSTEC)
Kompania ofron zgjidhje si për bizneset e mëdha (Cisco ASA XXXX Series) ashtu edhe për bizneset e vogla/të mesme (Cisco Small Business ISA Series XXX). Funksionet mbështetëse të zgjidhjeve:
- Kontrolli i aplikacionit dhe sjellja e aplikimit;
- Filtrimi i ueb-it;
- Mbrojtja e botnetit;
- Mbrojtje ndaj kërcënimeve të internetit në një mënyrë sa më të afërt me kohën reale;
Ofrohet gjithashtu:
- Mbështet dy VPN për komunikim midis zyrave dhe partnerëve, të zgjerueshëm në 25 (ASA 5505) ose 750 (ASA 5520) punonjës
- Mbështet 5 (ASA 5505) deri në 250 (ASA 5550) përdorues LAN nga kudo
Më shumë detaje mbi karakteristikat teknike mund të gjenden.
Rrjetet Juniper
Drejtimi funksional UTM mbështetet nga linjat e produkteve të Serive SRX dhe Series J.
Përfitimet kryesore përfshijnë:
- Mbrojtje gjithëpërfshirëse, me shumë shtresa, duke përfshirë anti-malware, IPS, filtrim URL, filtrim të përmbajtjes dhe anti-spam;
- Kontrolloni dhe mbroni aplikacionet duke përdorur politika të bazuara në rolet e përdoruesve për të kundërshtuar sulmet në aplikacionet dhe shërbimet e Web 2.0;
- Mjete UTM të para-instaluara, të lidhura shpejt;
- Kostot minimale për blerjen dhe mirëmbajtjen e një porte të sigurt brenda një prodhuesi të vetëm të kompleksit të sigurisë.
Zgjidhja përbëhet nga disa përbërës:
- Antivirus. Mbron rrjetin tuaj nga malware, viruse, spyware, krimba, trojan dhe sulme të tjera, si dhe nga kërcënimet e postës elektronike dhe ueb-it që mund të vënë në rrezik biznesin tuaj dhe asetet e korporatës. Sistemi i mbrojtjes kundër malware i integruar në UTM bazohet në motorin antivirus të Kaspersky Lab.
- IPS... Përdoren metoda të ndryshme zbulimi, përfshirë. zbulimi i anomalive të protokollit dhe trafikut, nënshkrimet e kontekstit, zbulimi i përmbytjeve SYN, mashtrimi i mashtrimit dhe zbulimi i dyerve të pasme.
- AppSecure... Një grup shërbimesh sigurie të ndërgjegjshëm për aplikacionet që analizon trafikun, ofron shikueshmëri të gjerë të aplikacionit, zbaton rregullat e murit të zjarrit për aplikacionet, kontrollon përdorimin e aplikacionit dhe mbron rrjetin.
- Filtrim i përmirësuar i uebit (EWF) siguron mbrojtje kundër faqeve të internetit potencialisht të dëmshme në disa mënyra. Teknologjia përdor 95 kategori URL-sh për kontroll fleksibël, ndihmon administratorët të gjurmojnë aktivitetin e rrjetit dhe zbaton politikat e korporatës për përdorimin e burimeve të uebit. EWF përdor një analizë të shpejtë të reputacionit në kohë reale bazuar në një rrjet të teknologjisë moderne që kontrollon më shumë se 40 milionë faqe interneti në orë për kode me qëllim të keq. EWF gjithashtu ruan një numër kumulativ të rrezikut për të gjitha URL-të, të kategorizuara dhe të pakategorizuara, duke i lejuar kompanitë të gjurmojnë dhe/ose bllokojnë sajte me reputacion të dobët.
- Anti-spam.
Më shumë detaje mbi karakteristikat teknike mund të gjenden.
konkluzionet
Tregu rus për sistemet UTM është padyshim me interes si për prodhuesit ashtu edhe për blerësit e mundshëm. Megjithatë, për shkak të "traditave" të vendosura mirë, prodhuesit duhet të bëjnë një "betejë" të njëkohshme si në frontin e certifikimit dhe ndërtimit të një kanali partner, ashtu edhe në fushën e marketingut dhe promovimit.
Pra, tashmë mund të vërehet sot se si pothuajse të gjitha kompanitë e konsideruara po punojnë në përkthimin e materialeve në rusisht, duke blerë partnerë të rinj dhe gjithashtu duke certifikuar zgjidhjet e tyre. Për shembull, në vitin 2012 Dell krijoi një kompani të veçantë Dell Russia posaçërisht për tregun rus (kompania nuk do të merret as me "fqinjët e saj më të afërt" - Ukrainën dhe Bjellorusinë). Zhvilluesit vendas po ecin gjithashtu përpara, duke zhvilluar zgjidhjet e tyre. Vlen të përmendet se shumë prodhues (si vendas ashtu edhe të huaj) integrojnë module të palëve të treta në produktet e tyre. Moduli antivirus është tregues në këtë drejtim: sisteme të ndryshme UTM përdorin ClamAV, Kaspersky Anti-Virus, Avira AV, Dr.Web, etj.
Sidoqoftë, përfundimi është i qartë: tregu rus po konsiderohet seriozisht dhe për një afat të gjatë. Deri më tani, askush nuk ka në plan të tërhiqet, që do të thotë se një luftë për një vend nën diellin e brendshëm na pret përpara. Në fund të fundit, "Nr. 1 në botë" nuk është aspak e njëjtë me "Nr. 1 në Rusi".
Koncepti i Unified Threat Management (UTM), si një klasë e veçantë e pajisjeve për mbrojtjen e burimeve të rrjetit, u prezantua nga agjencia ndërkombëtare IDC, e cila studion tregun global të IT. Sipas klasifikimit të prezantuar, zgjidhjet UTM janë sisteme harduerike dhe softuerike shumëfunksionale që kombinojnë funksionet e pajisjeve të ndryshme: muri i zjarrit, sistemet e zbulimit dhe parandalimit të ndërhyrjeve në rrjet dhe funksionet e portës antivirus.
Tregu rus i pajisjeve UTM përfaqësohet vetëm nga prodhues të huaj. Për më tepër, disa kompani, duke paraqitur zgjidhjet e tyre dhe duke i quajtur ato UTM, thjesht kombinojnë funksionalitetin e pajisjeve të pavarura të sigurisë së rrjetit (si: firewall, porta antivirus, sistemi i zbulimit / parandalimit të ndërhyrjeve) në një ndërtesë me një sistem të unifikuar monitorimi dhe kontrolli. Pajisjet e tilla nuk mund të konsiderohen si një sistem UTM i plotë.
Shkurtesa UTM qëndron për Unified Threat Management, e cila fjalë për fjalë mund të përkthehet në Rusisht afërsisht si: Unified Threat Management. Në këtë artikull, ne do të shikojmë saktësisht se cilat funksione duhet të kryejë një pajisje në mënyrë që të konsiderohet një UTM e plotë, cilat janë avantazhet e përdorimit të sistemeve të tilla dhe cilat lloje kërcënimesh mund të mbrojnë.
