UserGate: Was dieses Sicherheits-Gateway für Firmen kann

UserGate begann in den 2000ern als Büro-Proxyserver: Internet verteilen, Traffic zählen, Unterhaltungsseiten sperren. Seitdem ist das Produkt zu einem Sicherheits-Gateway gewachsen, das die Branche NGFW nennt, also Next-Generation-Firewall. Der Name blieb, die Aufgabenklasse änderte sich, und interessant ist es gerade als Vertreter dieser Klasse: Alle modernen Firmen-Gateways sind ähnlich aufgebaut.

Der Platz im Netz

Das Gateway steht an der Grenze: Der gesamte Büro-Traffic ins Internet und zurück läuft hindurch. Daher kommen Möglichkeiten und Verantwortung: Hier filtert, zählt und schützt man am bequemsten, und hier liegt auch ein einzelner Ausfallpunkt, deshalb laufen größere Konfigurationen als redundantes Paar. Es gibt das Gateway als Hardware und als virtuelle Maschine, mittleren Büros reicht meist die virtuelle Ausführung.

Die wichtigsten Module

Das Schlüsselwort überall ist Benutzer. Das Gateway bindet den Verzeichnisdienst an, und Regeln gelten für Menschen und Gruppen statt für IP-Adressen: eine für die Buchhaltung, eine für die Entwicklung, eine für das Gast-WLAN. Die TLS-Prüfung verdient eine eigene Einschränkung: Technisch ist sie ein gesteuertes Öffnen des verschlüsselten Kanals mit ausgetauschtem Zertifikat, sie erfordert ein Firmenzertifikat auf den Geräten und eine ehrliche Information der Mitarbeiter. Banken und Medizin nimmt man üblicherweise aus der Prüfung aus.

Richtlinien verbinden die Module zu Szenarien. Ein Beispiel aus dem Leben: Das Marketing darf soziale Netze nutzen, aber keine Dateien hochladen; Auftragnehmer sehen nur eine Liste von Arbeitsdiensten; für alle anderen sind Filesharing und frisch registrierte Domains gesperrt, ein Lieblingswerkzeug des Phishings. Jede Regel liefert einen Bericht, und der Streit „Ich brauche diese Website für die Arbeit" wird mit Daten entschieden.

Wer es braucht

• Firmen mit regulatorischen Anforderungen. Für russische Organisationen zählt, dass das Produkt von lokalen Aufsichtsbehörden zertifiziert ist und weiter gepflegt wird.
• Bildungseinrichtungen. Die vorgeschriebene Inhaltsfilterung lösen Kategorien und Sperrlisten ab Werk.
• Büros ab fünfzig Personen. Unter dieser Schwelle reicht meist ein guter Router; darüber beginnt ein Zoo von Schattendiensten, den man ohne Anwendungskontrolle gar nicht sieht.
• Netze mit Homeoffice und Filialen. VPN, einheitliche Richtlinien und Berichte an einem Ort.

Offene Alternativen gibt es: pfSense und OPNsense decken Firewall und VPN kostenlos ab, Filterung kommt per Plugin. Die Kosten kommen von gegensätzlichen Seiten: Offene Lösungen zahlt man mit Administratorzeit und selbst gebauten Berichten, kommerzielle mit Geld für Modul-Abos. Entscheidend sind meist Menschen, die bereit sind, jahrelang mit der Lösung zu leben, mehr als die Funktionen.

Wie man auswählt und einführt

Diese Klasse kauft man über einen Pilotversuch mit eigenem Traffic und nicht nach Funktionsliste, denn alle Hersteller ähneln sich hier. Das Gateway läuft zwei Wochen im Beobachtungsmodus ohne Sperren: Berichte zeigen das echte Traffic-Bild und die Last. Die wichtigste Zahl aus dem Pilot ist die Leistung mit aktiver TLS-Prüfung und IPS. Der Katalogwert wird ohne sie gemessen und fällt mit allen Prüfungen um ein Vielfaches, genau hier irrt man sich bei der Hardwaregröße. Das zweite Ergebnis ist die Liste dessen, was aus der Prüfung ausgenommen wird, vom Online-Banking bis zur Videokonferenz, und jede Firma hat ihre eigene.

1. Legen Sie die Richtlinie vorab fest: Was sperren Sie, was beobachten Sie, wen lassen Sie in Ruhe. Das Gateway setzt die Richtlinie um und ersetzt sie nicht.
2. Zählen Sie Benutzer und Spitzenbandbreite mit Reserve für zwei Jahre: Lizenzen und Hardware kauft man für das Wachstum.
3. Prüfen Sie die Anbindung an Ihren Verzeichnisdienst und wie das Netz einen Gateway-Ausfall verkraftet: Braucht es einen Bypass oder ein redundantes Paar?
4. Klären Sie den Abo-Umfang: Filterung, IPS und Antiviren-Datenbanken werden als Module lizenziert, der reine Kistenpreis täuscht.
5. Benennen Sie einen Verantwortlichen. Ein Gateway ohne jemanden, der seine Berichte liest, wird binnen eines Jahres zum teuren Router.

Nicht mit kommerziellen Proxys verwechseln

Ein Firmen-Gateway und Proxy-Dienste wie unserer lösen gegensätzliche Aufgaben, obwohl beide „Proxy" heißen. Das Gateway kontrolliert den ausgehenden Traffic der eigenen Mitarbeiter: Sichtbarkeit, Filterung, Disziplin. Ein kommerzieller Proxy ändert den Austrittspunkt für Arbeitsaufgaben: Geodaten, Adresspools, Konten, wie wir in der Analyse der Aufgaben von Proxyservern beschrieben haben. Das Erste heißt „wir sehen und begrenzen unseren Traffic", das Zweite „unser Traffic wirkt von außen wie gewünscht". In einer reifen Firma leben beide friedlich zusammen: das Gateway an der Bürogrenze, die Adresspools bei Marketing und Analyse. Das Gateway sollte die legitimen Pools der Kollegen kennen, sonst läuft die Analyse eines Tages gegen das eigene Sicherheitssystem, und das Beheben dauert länger als die ganze Einrichtung. Wo ein solches Gateway in die übrige Infrastruktur passt, zeigen wir im Überblick über Servertypen.