Sophos w firmie: urządzenie brzegowe filtrujące ruch, ochrona komputerów i serwerów oraz wspólna konsola, w której obie warstwy wymieniają się informacjami.
Oferta Sophosa dla firmy dzieli się na dwie części, które można kupować osobno, a które projektowano do pracy razem. Pierwsza to urządzenie brzegowe stojące między siecią firmową a internetem: zapora z filtrowaniem stron, kontrolą aplikacji, obsługą tuneli dla pracowników zdalnych i skanowaniem ruchu. Druga to ochrona końcówek, czyli agent instalowany na komputerach i serwerach, który pilnuje, co uruchamia się na maszynie.
Obie zarządzane są z konsoli w przeglądarce, w której widać jednocześnie stan urządzenia brzegowego i listę komputerów wraz z ich stanem. To jest przy tym producencie punkt, o który warto pytać w pierwszej kolejności, bo z niego wynika reszta.
Zapora podejmuje decyzje na podstawie reguł: kto, dokąd, jaką usługą. Nowsze urządzenia patrzą przy tym nie tylko na adres i port, lecz także na to, jaka aplikacja generuje ruch i jaka jest reputacja miejsca po drugiej stronie. Do tego dochodzi wykrywanie włamań, czyli porównywanie przechodzącego ruchu ze wzorcami znanych ataków, oraz skanowanie plików przed ich dostarczeniem do komputera.
Osobną funkcją jest wgląd w ruch szyfrowany. Zdecydowana większość połączeń jest dziś zaszyfrowana, więc urządzenie, które ich nie rozszywa, widzi wyłącznie adresy. Rozszywanie jest możliwe, tylko wymaga wgrania własnego certyfikatu na wszystkie komputery i kosztuje wydajność, dlatego bywa włączane wybiórczo.
Mechanizm, który producent nazywa biciem serca, polega na tym, że agent na komputerze przekazuje urządzeniu brzegowemu informację o stanie maszyny. Kiedy na komputerze wykryto coś złośliwego, brzeg dowiaduje się o tym natychmiast i potrafi odciąć tę maszynę od reszty sieci, zanim ktokolwiek zdąży zareagować. Odwrotnie też: ruch do znanego adresu sterującego atakiem, zauważony na brzegu, wskazuje konkretną maszynę do sprawdzenia.
Ta wymiana jest głównym argumentem za kupowaniem obu warstw u jednego producenta. Dwa dobre produkty od dwóch dostawców zrobią każdy swoje, ale nie powiedzą sobie nawzajem, co widziały.
Klasyczny antywirus broni jednej maszyny i na tym jego rola się kończy. Ochrona firmowa raportuje do konsoli, a jej wartością jest widok na całą flotę oraz możliwość wymuszenia ustawień na wszystkich maszynach naraz.
Router zostawiony przez operatora przepuszcza ruch i wykonuje translację adresów, natomiast nie filtruje treści, nie wykrywa włamań i nie zna pojęcia polityki dla grupy urządzeń. Nazywanie go firewallem jest skrótem myślowym, który kończy się zdziwieniem w dniu incydentu.
W małej firmie zwykle jako urządzenie brzegowe zamiast routera operatora, plus agent na komputerach i serwerach. W firmie z oddziałami dochodzą tunele między lokalizacjami zestawiane z tej samej konsoli. Bywa też, że kupowana jest wyłącznie ochrona końcówek, bo brzeg obsługuje sprzęt innego producenta.
Cena urządzenia jest tylko pierwszą pozycją. Funkcje, dla których je się kupuje, sprzedawane są jako subskrypcje odnawiane co roku, osobno na filtrowanie treści, ochronę przed włamaniami i skanowanie plików. Urządzenie z wygasłymi subskrypcjami dalej przepuszcza ruch, tylko przestaje być tym, za co zapłacono, i nie zawsze widać to na pierwszy rzut oka.
Druga rzecz to przepustowość podawana w danych technicznych. Liczba z pierwszej linii karty katalogowej dotyczy zwykle ruchu bez włączonej inspekcji. Po włączeniu skanowania i rozszywania szyfrowania realna przepustowość jest ułamkiem tamtej wartości, więc urządzenie dobrane pod łącze na papierze zaczyna dławić ruch zaraz po włączeniu ochrony.
Trzecia to ustawienia domyślne. Sam zakup niczego nie zmienia: reguły trzeba napisać, a polityki dla grup komputerów przypisać, bo urządzenie wyjęte z pudełka przepuszcza wszystko z sieci do internetu.
Firma, która nie ma własnej sieci, bo pracuje w całości na usługach chmurowych i laptopach w domach, więcej zyska na ochronie końcówek i na zabezpieczeniu logowania niż na urządzeniu brzegowym pilnującym pustego biura. Podobnie zakup samego sprzętu bez decyzji, kto czyta alerty i kto reaguje: konsola pełna wykryć, których nikt nie przegląda, jest wydatkiem, a nie ochroną.
Mogę Ci jakoś pomóc?
Odbiorca przysłał ankietę bezpieczeństwa, w której pada nazwa Palo Alto Networks, i ktoś w firmie zaczyna szukać wykonawcy. Opisujemy, co daje Palo Alto ponad zwykły firewall, co psuje się przy złej konfiguracji i na czym stoi rachunek za drugi rok.
Czytaj wpisKlikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.