1. Sprawdzona skuteczność

Podstawowym zadaniem systemu Next Generation Firewall jest ochrona zasobów IT przedsiębiorstwa. Ale nie wszystkie takie systemy działają z równą efektywnością. Niektórzy dostawcy korzystają bowiem z rozwiązań open source, aby obniżyć ich koszt. Są też tacy, którzy oferują zapory NGFW innych producentów jako dodatek do swojej podstawowej oferty. Trzeba zatem szukać systemu Next Generation Firewall, który pomyślnie przeszedł niezależne, rutynowe testy w zakresie skuteczności zabezpieczeń, aby poznać rzeczywisty stopień oferowanej przez niego ochrony.

2. Zakres funkcjonalności

Zagrożenia nieustannie się zmieniają, co oznacza, że producent powinien stale rozwijać funkcje zabezpieczeń w swoich systemach NGFW. Zatem warto rozważyć współpracę z dostawcami, którzy na bieżąco uzupełniają własne produkty o najnowsze usługi ochronne (np. zaporę aplikacji WWW i bezpieczne środowisko testowe w chmurze, tzw. sandbox) oraz zapewniają wiele opcji, takich jak np. zarządzanie siecią bezprzewodową czy przełącznikami sieciowymi.

3. Łatwość zarządzania

Inwestycja w różne platformy bezpieczeństwa i urządzenia sieciowe od wielu dostawców może nie tylko okazać się kosztowna, ale również sprawić, że konfiguracja całego systemu i bieżące zarządzanie będą czasochłonne. Warto zatem zwrócić uwagę w jakim stopniu zintegrowane są takie produkty oraz czy istnieje możliwość sterowania nimi z jednej konsoli. Zawsze trzeba zadawać sobie pytanie, jak długo trwa wdrażanie danego rozwiązania i ile czasu wymaga administrowanie nim.

4. Liczba wdrożeń

W 2016 r. sprzedano ponad milion urządzeń NGFW, co ułatwiło przeprowadzenie analiz i wskazanie dostawców oraz produktów zapewniających odpowiednią ochronę i oczekiwane korzyści. Decydując się na współpracę z konkretnym dostawcą, zawsze warto sprawdzić, jak dużą popularnością cieszy się na rynku i – jeśli to możliwe – zasięgnąć opinii znajomych z branży. Uzyskuje się wówczas informacje o jego urządzeniach z pierwszej ręki.

Na kłopoty – Fortinet

Wymienione kwestie brała po uwagę firma Fortinet podczas rozwijania stosowanego w urządzeniach NGFW systemu Connected UTM. Zapewnia on efektywne zabezpieczenia klasy korporacyjnej, które osiągnęły najwyższe oceny w niezależnych testach. Do dziś sprzedano już ponad 3 mln urządzeń z systemem Connected UTM.

Producent ma najszerszą ofertę zintegrowanych rozwiązań. Urządzenia NGFW FortiGate zapewniają pełen zestaw usług ochronnych i funkcji sieciowych. Z kolei wiele specjalistycznych, ale nadal zintegrowanych elementów systemu zabezpieczeń znajduje się m.in. w bezpiecznych bramach poczty e-mail (FortiMail), zaporach aplikacji web (FortiWeb) oraz urządzeniach sieciowych (FortiSwitch oraz  FortiAP). Dzięki takiej konstrukcji oferty przedsiębiorcy mogą, w miarę rozwoju działalności, rozszerzać system NGFW o kolejne zaawansowane funkcje klasy korporacyjnej.
Ponadto zaporę FortiGate można zainstalować w ciągu kilku minut z domyślną, zalecaną konfiguracją zabezpieczeń, a następnie systematycznie je aktualizować danymi przesyłanymi przez FortiGuard Labs. Zarządzanie takim rozwiązaniem wymaga niewielkiego nakładu pracy, a dodatkowe elementy (takie jak przełączniki oraz punkty dostępowe Wi-Fi) są automatycznie wykrywane i można zarządzać nimi za pomocą tego samego interfejsu użytkownika.

Artykuł Fortinet – najszersza oferta zintegrowanych rozwiązań ochronnych pochodzi z serwisu CRN.

Warto zastanowić się, co w tym kontekście dla konkretnej firmy oznacza sformułowanie „odpowiednie bezpieczeństwo”? Przede wszystkim trzeba założyć, że kluczowym wyzwaniem dla przedsiębiorstw jest bezpieczne przechowywanie danych osobowych. Do tego niezbędne są stabilne i wydajne serwery połączone z systemami gromadzenia, przesyłania i udostępniania danych, a także ich odtworzenia w przypadku awarii. Konieczna staje się wiedza o tym, jakie dane osobowe są wytwarzane oraz gdzie są one przechowywane. Z pomocą przychodzą nowoczesne rozwiązania zapewniające lokalizowanie, przeszukiwanie i monitorowanie danych osobowych znajdujących się w zasobach serwerowych oraz pamięci masowej. Zaawansowane raportowanie i wizualizacja umożliwiają zaś przedsiębiorcom zrozumienie tego, jakie dane przechowują i w jaki sposób są one wykorzystywane.

Z kolei podstawą bezpieczeństwa sieciowego są rozwiązania klasy NGFW/UTM. W tym przypadku wiele firm korzysta ze starych urządzeń, niemających aktualnych subskrypcji i zmuszających administratorów do stosowania ograniczonych polityk bezpieczeństwa. Trudno byłoby udowodnić, że taka infrastruktura zapewnia zgodność z nowymi przepisami. Warto szczególnie zwrócić uwagę na problem deszyfracji SSL, a więc element, bez którego ogromna część komunikacji pozostaje praktycznie bez kontroli. W zależności od szacowanego poziomu ryzyka rozwiązania NGFW/UTM warto uzupełnić o specjalistyczne systemy proxy dla ruchu http i https.

Ochronę przed nieznanymi zagrożeniami może znacząco podnieść zastosowanie systemów typu sandbox/ATP (razem z deszyfracją ruchu SSL). O kontrolę dostępu do sieci w warstwie fizycznej można zaś zadbać dzięki produktom typu Network Access Control (NAC). Przy czym skuteczna ochrona powinna być uzupełniona o cykliczny audyt polityk bezpieczeństwa oraz o analizę logów.

Kolejnym ważnym elementem jest ochrona stacji końcowych, szczególnie tych, które mają dostęp do danych poufnych. Współczesne rozwiązania łączą w sobie moduły, które nie tylko chronią przed znanymi i nieznanymi atakami, ale także zapewniają zgodność z regulacjami, wykrywają potencjalne anomalie i wycieki danych. Warto pamiętać, że podobne środki ochrony można zastosować w przypadku serwerów, również w środowiskach wirtualnych.

Przetwarzanie danych osobowych jest nieodłącznie związane z aplikacjami, gdzie interfejsem użytkownika jest zwykle przeglądarka internetowa. Niezależnie od tego, czy są one dostępne tylko wewnętrznie, czy również dla klientów – wymagają szczególnej ochrony. Zastosowanie rozwiązań Web Application Firewall (WAF) w znaczący sposób podnosi bezpieczeństwo aplikacji, równocześnie zapewniając ochronę przed atakami typu DDoS.

Istotnym obszarem bezpieczeństwa jest także zapewnienie odpowiedniego poziomu uwierzytelniania. Statyczne hasło nie jest już skutecznym zabezpieczeniem, szczególnie w przypadku celów administracyjnych oraz zdalnego dostępu. Odpowiednie w tej sytuacji są produkty zapewniające uwierzytelnianie i autoryzację w oparciu o hasła dynamiczne (tokeny) lub certyfikaty.

Niezależnie od tego, czy chodzi o stacje końcowe czy serwery, warto rozważyć szyfrowanie dysków i przenośnych mediów. Może to uchronić przed wyciekiem danych w przypadku fizycznej kradzieży sprzętu. Osobnym tematem jest też szyfrowanie i pseudonimizacja danych realizowana już na poziomie aplikacji. Z drugiej strony systemy typu Data Loss Prevention (DLP) mogą kontrolować różne kanały komunikacyjne i przeciwdziałać wyciekom poufnych informacji, zarówno na poziomie sieciowym, jak i urządzeń końcowych.

W większości przedsiębiorstw można znaleźć obszary, które wymagają poprawy, ale żaden pojedynczy produkt nie zapewni pełnej zgodności z rozporządzeniem. Dlatego, traktując RODO jako możliwość zwrócenia uwagi na problem zarządzania, audytowania i monitorowania infrastruktury IT, warto zaprezentować klientowi niezbędne rozwiązania z szerokiej gamy urządzeń dostępnych na rynku.

Artykuł Jak zabezpieczać dane w kontekście RODO pochodzi z serwisu CRN.

Producent ogłosił też wprowadzenie nowej rodziny urządzeń typu appliance Firepower 4100 Series, przeznaczonej dla średnich lub dużych firm wykorzystujących aplikacje wymagające dużej wydajności. Cisco zwraca uwagę, że są to jedne z pierwszych na rynku urządzeń o kompaktowej konstrukcji 1U, oferujące interfejsy Ethernet 40 Gb/s.

W zapanowaniu nad całym systemem zabezpieczeń ma pomóc klientom nowa konsola do zarządzania Cisco Firepower Management Center, oferująca jeden wielofunkcyjny interfejs administratora. Konsola umożliwia spójne wymuszanie zasad polityki bezpieczeństwa przez Firepower NGFW oraz inne urządzenia bezpieczeństwa i sieciowe Cisco zainstalowane w infrastrukturze IT. Co więcej, pozwala na integrację rozwiązań innych producentów, czego pierwszym przykładem jest system ochrony przed atakami DDoS (Distributed Denial of Service) firmy Radware.

Dodatkowo Cisco wprowadziło do oferty Cisco Security Segmentation Service, nową usługę doradczą, ułatwiającą klientom zwiększenie zgodności z regulacjami prawnymi, ograniczanie skutków potencjalnego włamania, szybkie jego wykrycie, a także zwiększenie poziomu zabezpieczenia danych przed wyciekiem lub nieuprawnionym dostępem w skali całej infrastruktury IT.

Od pewnego czasu bezpieczeństwo wydaje się być najważniejszym obszarem dla Cisco. Niedawno Wendy Bahr, odpowiedzialna za kanał partnerski wiceprezes firmy, stwierdziła, że resellerzy mogą na nim najwięcej zarobić.

Artykuł Firewall nowej generacji w ofercie Cisco pochodzi z serwisu CRN.

Sugerowane ceny netto: USG1900 – 3659 euro (15 258 zł po kursie 4,17 zł za 1 euro), USG1100 – 2424 euro (11 359 zł).

Artykuł ZyXEL: ekstremalne bramy zabezpieczające pochodzi z serwisu CRN.

Cyberoam NGFW oferują ochronę sieci (IPS/AV/AS), VPN, kontrolę aplikacji (ponad 2000 sygnatur), Web Application Firewall (WAF), obsługę modemów 3G/4G, mają wbudowany moduł raportowania. Wszystkie moduły zabezpieczeń integrują się z kontrolą bezpieczeństwa opartą na identyfikacji użytkowników (warstwa 8).

Przykładowa cena: CR1000iNG-XP – urządzenie z 10 portami gigabitowymi i 4 FleXi portami (do każdego z nich można włożyć moduł zawierający 8 portów Gigabit Ethernet lub 8 portów SFP lub 4 porty SFP+), z przepustowością firewalla z sięgającą 27,5 Gb/s, z rocznym pakietem licencji (antywirus, antyspam, IPS, filtr treści, serwis) – 29 tys. dol. netto.

Artykuł Cyberoam: firewalle nowej generacji pochodzi z serwisu CRN.