Palo Alto firewall nowej generacji
Agenda Wprowadzenie do koncepcji firewall-a nowej generacji Główne funkcjonalności firewalla Palo Alto Dostępne modele sprzętowe Firewall nowej generacji w nawiązaniu do Rekomendacji D Integracja Palo Alto z rozwiązaniem Enterasys NAC
Wprowadzenie do koncepcji firewall-a nowej generacji
Next-Generation Firewall
Konkurencja? Stateful Inspection Przed 2010 NGFW Stateful Inspection * A * Palo Alto *??? * B Networks Gartner: What a Next-Generation Firewall is NOT! * C * D * UTMs are not next-generation firewalls UTM * DLP is not a next-generation Gartner s firewalls Recommendation: Move to * Secure web gateways next-generation are not next-generation firewalls at firewalls the next refresh * Email Proxies security gateways opportunity UTM are not next-generation whether for firewall, firewalls *??? IPS, or the combination of the two. 2010 NGFW * Palo Alto Networks * A ** B ** C * D * F * E * F * A * B * C * D * E Proxies
Next-Generation Firewall Fundamentalna zasada bezpieczeństwa "Least Privilege" wymaga aby zabezpieczenia sieciowe blokowały KOMUNIKACJĘ, która nie została zdefiniowana w polityce jako DOZWOLONA. Zasada "Least Privilege jest elementem standarów bezpieczeństwa IT (ISO 27001, PCI, itd.). Zgodność z zasadą "Least Privilege" wymaga od zabezpieczeń sieci poprawnej identyfikacji aplikacji sieciowych bez względu na port, protokół, tunelowanie i szyfrowanie.
Główne funkcjonalności firewalla Palo Alto
Aplikacje działają dynamicznie - Port Aplikacja - Adres IP Użytkownik - Dane pakietu Treść (np. zaszyfrowane) Większość aplikacji internetowych działa na bazie protokołów HTTP i HTTPS, używa dynamicznych portów lub zaszyfrowanych tuneli. Zabezpieczenia sieci identyfikują aplikacje Web (80, 443-tcp), a w rzeczywistości działają tam setki innych aplikacji - P2P, IM, Skype, Gry online, file sharing, poczta, itd.
App-ID: Identyfikacja aplikacji Identyfikacja ponad 1800 aplikacji, podzielonych na kategorie Definiowane własnych aplikacji Rozpoznawanie aplikacji za pomocą sygnatur i heurystyki ~ 5-10 nowych aplikacji tygodniowo
User-ID: Identyfikacja użytkowników Korelacja adresów IP z użytkownikami aplikacji. Polityki Firewall operują na nazwach/grupach użytkowników. Incydenty przypisane do konkretnych użytkowników. Integracja z Active Directory - PAN Agent komunikuje się z kontrolerami domeny lub stacjami użytkowników. Obsługa Citrix i MS TS agent. Dla gości Captive Portal (Web i NTLM).
Content-ID: Skanowanie zawartości Wykrywanie i blokowanie ataków i złośliwego kodu, nielegalnego transferu plików oraz kontrolowanie wykorzystania usług Web Baza uniwersalnych sygnatur dla zabezpieczeń Intrusion Prevention, Anti- Virus, Anti-Spyware, itd. Web Filtering - baza URL dostarczana przez BrightCloud. Data Filtering - identyfikacja wrażliwych danych (m.in. SSN, CC#) dla różnych aplikacji na podstawie wyrażeń regularnych (regex). File Filtering - identyfikacja plików na podstawie typu MIME i nagłówka pliku.
Wydajność Odpowiednia architektura Single pass software Udokumentowana wydajność Sygnatury App-ID stale włączone. Dedykowana platforma sprzętowa z odpowiednimi zasobami do przetwarzania sieciowego, bezpieczeństwa, inspekcji zawartości i zarządzania
Elastyczność pracy zabezpieczeń WAN Zone DMZ DB Zone Internal Zones WAN File server Untrust Zone Email server Web, DNS server SQL servers Intranet server Internet L3 - router sniffer VLAN Trunk L2 - transparent ` User workstations ` Właściwa ochrona systemów IT wymaga aby zabezpieczenia były dostosowane do zmian w sieci i nowych zagrożeń. Urządzenia zabezpieczeń powinny posiadać wiele interfejsów sieciowych, które w zależności pod potrzeb mogą pracować w różnych trybach (L2, L3, Tap). Efektywność kosztowa wymaga wirtualizacji zabezpieczeń - interfejsy VLAN, wirtualne rutery, wirtualne systemy.
Kontrola aplikacji bez degradacji wydajności IPS module AV module WF module FW module Inspekcja ruchu aplikacyjnego dokonywana na wielu modułach inspekcji (IPS, AV, itd.), które wzajemnie przekazują sobie dane powoduje duże obniżenie wydajności. Potrzebne są zabezpieczenia, które w jednym module inspekcji z wydajnością wielo-gigabitową wykonują identyfikację i pełną kontrolę ruchu aplikacyjnego.
Dostępne modele sprzętowe
Wydajność Modele sprzętowe Seria PA-5000 20Gb Seria PA-2000 5Gb 10Gb 4Gb 2Gb Seria PA-3000 1Gb 500Mb 250Mb Odziały korporacji/ Średniej wielkości firmy Duże firmy
Firewall nowej generacji w nawiązaniu do Rekomendacji D
Rekomendacja D Aktualizacja Rekomendacji D z roku 2002 Zalecenia wejdą w życie z dniem 31 grudnia 2014
Rekomendacja D
Rekomendacja D
Integracja Palo Alto z rozwiązaniem Enterasys NAC
Integracja Palo Alto z Enterasys NAC
Integracja Palo Alto z Enterasys NAC Korzyści wynikające z integracji Palo Alto z Enterasys NAC: dla Palo Alto gwarancja aktualnego mapowania adresu IP do nazwy użytkownika dla Enterasys NAC statystyki z wykorzystywanych przez użytkownika aplikacji
Dziękujemy www.ascomp.com.pl