Ervaring Hardware Firewalls

[bami82]

hallo,

Ik vroeg mij af of iemand ervaring had met hotbrick en dan met name de HSS4000

Of wellicht iemand die een andere firewall met IPS en anti spam kan aanraden in hetzelfde prijs segment.

Groeten,

Sander

[Freezer]

Waarvoor wil je het gaan gebruiken? Ik zie dat degene die je aanmerkt niet echt een krachtige cpu heeft? En ze zijn redelijk vaag over de specs.

[bami82]

Hmm vond de specs juist aardig uitgebreid. De bedoeling is om hem voor onze switch te hangen in onze hosting omgeving (+- 12 servers op het moment)

Is er niemand verder die een firewall appliance of evt. software kan aanraden?

[Aessence]

Wij "doen" SonicWALL - De PRO 3060 of PRO 4060 zouden een optie zijn, misschien zelfs de PRO 2040.

Het beste bel je me even O6 55 acht 5 twee 246 om te zien wat je precies nodig hebt.

Voordeel van de SonicWALLs is real-time Gateway Antivirus, AntiSpyware en IPS/IPD. AntiSpam d.m.v. RBL blocken connecties äan de poort".

Anhankelijk van het aantal connecties, doorvoersnelheid en te scannen protocollen (HTTP/SMTP/etc. t/m al het TCP/IP verkeer) heb je bepaalde hardware nodig. Verder is SonicOS Enhanced aan te raden, maar wellicht geen vereiste.

Groeten,
George/

[Apoc]

Ik kan vooral Endian aanbevelen, dat is software waarmee je van een server(tje) feitelijk een hardware firewall maakt.

[bami82]

Apoc, ok ik kwam endian in een ander topic ook al tegen en het ziet er veelbelovend uit. Ik ga het is even uittesten op een server, bedankt.

Aessence, de sonicwall pro3040 3060 en 4060 hebben toch geen spam protectie? Zie het namelijk niet op de site erbij staan, wel virus en spyware.

[Aessence]

de sonicwall pro3040 3060 en 4060 hebben toch geen spam protectie? Zie het namelijk niet op de site erbij staan, wel virus en spyware.

De anti-spam is op de UTM Security Appliances beperkt op het gebruik van RBL's, omdat de appliances het netwerkverkeer real-time scannen.

De RBL check(s) werken wel uitstekend, waardoor het je mailserver en/of anti-spam oplossing ontlast van de bulk van de connecties.

Voor het scannen van de content kan je een "aparte" oplossing gebruiken. Afhankelijk van je toepassing kan dat b.v. SpamAssasin zijn (geintegreerd in je CP), Barracuda (ook voor ISP setups), of SonicWALL E-mail Security (software of appliance, voor bedrijven).

George/

[Xtreme-IT]

De afscherming van je netwerk, en daarmee beveiling van gegevens van klanten is natuurlijk belangrijk. Je moet alleen goed bekijken wat het risico is (hoe ben je verzekerd, wat voor informatie host je voor je klanten, enz.) en daarmee kan je berekenen hoeveel geld je jaarlijks uit kan geven aan beveiliging om je ROSI (return on security investment) zo gunstig mogelijk te maken.

Verder zou ik er zelf altijd voor kiezen om een hardware firewall aan te schaffen. Dat apparaat staat er om "zijn leven te geven" ter bescherming van je gegevens. Een IP firewall op je servers zelf is een goede toevoeging, maar zeker niet voldoende in de meeste gevallen.

Tevens moet je goed kijken naar eventueele reviews, gartnerrapporten, enz. Een Cisco ISR appliance is bijvoorbeeld een leuke combi voor niet al te veel geld, maar het eerste wat deze box doet onder druk is zijn firewall functionaliteit afstaan. Cisco baseerd zijn spullen op routing en switching technieken, iets wat hier in terug komt. Ik zou dus zoeken naar een specifieke firewall vendor.
Een mooie keuze zou in mijn ogen een Juniper firewall zijn (bijv. SSG140), modulair uit te breiden, hoog aantal connecties, en een specialistische vendor. AV, AS en IPS zijn opties op de meeste Junipers/Netscreens.
Een andere keuze kan zijn Fortinet, deze doen het zeer goed in de all-in-one appliances, AV, AS, IPS, enz. Deze hebben in vergelijkinging tot de Junipers meer functie in het basis pakket, maar kunnen minder connecties aan (throughput is ongeveer gelijk). Bovendien kunnen de kleine fortinets virtual domains aanmaken, een soort van virtualisatie op firewall nivo.
Nog een optie met een goede firewall vendor kan zijn Checkpoint. Checkpoint levert op diverse platforms hun Checkpoint software (Nokia, Nortel?, Checkpoint eigen appliances, Linux)
Nadeel van Checkpoint is de hoge kosten, zowel eenmalig als jaarlijks.

Ik zou er zelf voor kiezen om een ASICs based systeem te kopen, veel betere performance.

Anti spam is leuk op dergelijke devices, maar de laatste tijd merk ik dat de performance achteruit gaat, metname op image spam. Hou hier wel rekening mee. Als je een hoge kwaliteit antispam wil leveren aan je klanten zou je eens moeten kijken naar eSafe of Ironport.

IDS of IPS is op de meeste firewall systemen ook een extratje. Is dus ook weer iets om over na te denken. Er zijn verschillende systemen, meestal signature based. Nadeel is dan dat hij pas reageerd of blocked zodra hij iets herkent. Anomely detection is dan alweer wat leuker. Ik weet dat je voor Fortinet en Juniper IDP licenties kan kopen, maar een losse IPS is toch het beste qua performance. Je kan bijvoorbeeld eens kijken naar Tippingpoint, zij maken signatures op basis van de vulnerabilities ipv op basis van de exploits. Hierdoor zijn ze vaak vele malen sneller met blocken dan de meest IPS'en nadat er problemen komen.

Kies in ieder geval voor iets wat bekend is, waar andere bedrijven support op kunnen leveren. Niet voor een excoot hard- of software firewall die door slechts een enkeling geleverd en supported kunnen worden.
Kijkend naar die Hotbrick kan ik niet eens op de website zien wat de echte specs zijn, throughput, connections, new connections, enz. Ik zie wel dat het x86 based is. Ik vermoed dus matige performance in een hosting omgeving waar je te maken hebt met veel concurrent connections.

Je kan je ook laten adviseren door een professional, of je firewall zelfs laten beheren. Dan heb je er ook geen omkijken naar. Alles is een optie. Als je beheerde firewalls wil moet je zoeken naar een MSSP (managed security service provider), een van de grooste is Kahuna.

Succes met je keuze!

[Aessence]

Ben het grotendeels met XTreme eens, maar wil wel een paar kanttekeningen plaatsen.

Juniper is net als Cisco als eerste een router/switch fabrikant, die door het overnemen van Netscreen (iets van 5 jaar terug) de firewalls erbij heeft gekocht. SonicWALL heeft zo'n beetje de ASIC security appliance uitgevonden

De SSG 140 serie is vergelijkbaar met de SonicWALL PRO 3060, maar mist de Real-Time "in-line" AV-engine en de mogelijkheid om alle TCP/IP pakketten te controleren. Hierdoor is het nodig om proxies te gebruiken (al dan niet transparant) voor ondersteunde protocollen. Dat merk je ook; b.v. een download zal eerst (volledig) op de box binnen moeten zijn om gescand te worden en kan pas daarna doorgestuurd worden naar de client.

SonicWALLs hebben daar geen last van doordat ze bestanden (inclusief ZIPs) real-time scannen ("on-the-fly", "in-line", etc.). Dat geldt ook voor de AntiSpyware en IDP functionaliteit.

Wat betreft IPS/IDP; van "anomaly detection" wordt steeds minder gebruik gemaakt omdat dit een vrij beheer-intensief proces is, Tegenwoordig maakt IDP vrijwel uitsluitend gebruik van op "signatures" gebaseerde technieken, aangevuld met zaken tegen o.m. (D)DoS. De "losse" IPS/IDP systemen zijn vaak ook voorzien van basis firewall functionaliteit.

Tippingpoint is zeker een van de beste IPS/IDP systemen, i.m.h.o. veel beter dan b.v. ISS, maar deze systemen hebben dan ook een behoorlijk hoog prijskaartje en vereisen ook de nodige beheerkennis.

Er zijn ook specialistiche fabrikanten zoals TopLayer, die zich specifiek op (high traffic) hosting richten en uitgebreide Anti DDoS functionaliteit bieden. Ook deze oplossingen zijn niet bepaald "bargain-bin" (maar wel goed in wat ze doen).

George/

[Xtreme-IT]

Inderdaad heeft Juniper Netscreen destijds gekocht. Ze hebben de firewallkennis in huis gehaald. Anders dan dat Cisco hun ACL's op routers tot een appliance omgetoverd hebben. Ik heb nog nooit een Cisco het zien overleven tov een Juniper.

Kijkend naar de Gartner magic quadrant zou ik zelf kiezen voor een leader (rechtsboven) tov een niche player (linksonder). Allicht heeft Sonicwall een goede basis, daar kan ik zelf niet over oordelen. Als je echter het budget hebt om voor Juniper te kiezen, dan zou ik dat zeker doen. Cisco en Checkpoint staan overigens ook als leaders in het laatste Gartner FW rapport.

Ik zal binnenkort eens een testje doen omtrent dat AV inline scanning, ik ben benieuwd hoe de verschillen zijn in detection en performance. Het klinkt als een stap die ten koste gaat van beveiliging. Maar ja, een firewall is eigenlijk ook niet bedoeld voor inline AV scanning.

Mijn ervaring met beheer van Tippingpoint is dat deze vele malen eenvoudiger in beheer zijn dan ISS, zolang je je maar aan hun ontwerp houd. ISS kan echt een beer zijn qua beheer, als je niet oppast kan je met elke update weer tientallen nutteloze meldingen krijgen.
Het voordeel van een IPS leverancier is dat de signatures gewoon goed moeten zijn (om een DoS te voorkomen), een IDS leverancier kan hier een stuk makkelijker in zijn omdat het toch alleen maar een melding is. Iets wat ISS dus nog moet leren.

Bami82 heeft nu wel een heel uitgebreid antwoord gekregen op zijn eigenlijk zo simpele vraag ;-)

[Aessence]

Kijkend naar de Gartner magic quadrant zou ik zelf kiezen voor een leader (rechtsboven) tov een niche player (linksonder).

Het "Magic" kwadrant is misschien wel "sexy", maar is zeker niet voor iedereen. In de IDC UTM monitor staat/stond (vorig jaar) SonicWALL op #1 en op #2 voor Securit Appliances. Verder doen ze het heel goed met hun "Value Leader" SSL-VPN appliance (#1) en de Web Filter Appliance (#3). Met de overname van MailFrontier, vorig najaar, hebben ze ook een ijzersterk e-mail security product in huis gehaald, en tevens "time zero" AntiVirus technologie, een breed detectienetwerk en aanzienlijke uitbreiding van hun security response groep.

Ik zal binnenkort eens een testje doen omtrent dat AV inline scanning, ik ben benieuwd hoe de verschillen zijn in detection en performance. Het klinkt als een stap die ten koste gaat van beveiliging. Maar ja, een firewall is eigenlijk ook niet bedoeld voor inline AV scanning.

Mee eens, en natuurlijk zijn de signatures beperkt (top 23500 virussen, top 3000 Spyware, top 2500 IPS). Het is een compromis; scannen kost tijd, dus wat je real-time kan scannen is beperkt.

Het is echter bedoeld als een eerste "filter" en zeker niet als enige oplossing. Daarvoor doen ze/we een één-tweetje met AntiVirus/AntiSpyware (McAfee) op desktops en McAfee Enterprise op servers. En daarnaast nog de E-mail Security met Kaspersky (en evntueel ook McAfee) en de Content Security Managers met Layer 7 bescherming.

Maar hoe dan ook patchen (en hardenen) blijft toch altijd noodzakelijk.

Voor wat betreft Spyware en dergelijke is het efficient om aan de gateway te kunnen blocken, i.p.v. op het werkstation, maar dat terzijde.

Bami82 heeft nu wel een heel uitgebreid antwoord gekregen op zijn eigenlijk zo simpele vraag ;-)

Duidelijk

George/

[bami82]

Thanks voor de reacties. Heb inderdaad een duidelijk antwoord gekregen