UserGate: מה שער האבטחה הזה יודע לעשות בשביל החברה

UserGate התחיל בשנות האלפיים כשרת פרוקסי למשרד: לחלק אינטרנט, לספור תעבורה, לסגור אתרי בידור. מאז המוצר צמח לשער אבטחה שהענף קורא לו NGFW, חומת אש מדור חדש. השם נשאר, סוג המשימות השתנה, והוא מעניין בעיקר כנציג של הסוג הזה: כל השערים הארגוניים המודרניים בנויים בצורה דומה.

המקום ברשת

השער יושב בגבול: כל תעבורת המשרד לאינטרנט ובחזרה עוברת דרכו. מכאן גם היכולות וגם האחריות: זה המקום הנוח ביותר לסנן, לספור ולהגן, וגם נקודת כשל יחידה, ולכן תצורות גדולות עובדות בזוג עם גיבוי. הוא מסופק כחומרה וכמכונה וירטואלית, ולמשרדים בינוניים מספיקה בדרך כלל הגרסה הווירטואלית.

מודולים עיקריים

מילת המפתח בכל מקום היא משתמש. השער משתלב עם שירות הספרייה, והכללים נכתבים לאנשים ולקבוצות במקום לכתובות IP: אחד להנהלת חשבונות, אחר לפיתוח, שלישי ל-Wi-Fi אורחים. בדיקת TLS ראויה להסתייגות נפרדת: טכנית זו פתיחה מנוהלת של ערוץ מוצפן בהחלפת תעודה, והיא דורשת התקנת תעודה ארגונית במכשירים ויידוע כן של העובדים. קטגוריות בנקאות ורפואה נהוג להחריג מהבדיקה.

מדיניות מקשרת את המודולים לתרחישים. דוגמה מהחיים: קבוצת השיווק רשאית להשתמש ברשתות חברתיות אבל לא להעלות אליהן קבצים; קבלנים רואים רק רשימת שירותי עבודה; לשאר סגורים שירותי שיתוף קבצים ודומיינים שנרשמו זה עתה, כלי אהוב של פישינג. כל כלל מלווה בדוח, והוויכוח «אני צריך את האתר הזה לעבודה» מוכרע בנתונים ולא בצעקות.

למי זה דרוש

• חברות עם דרישות רגולטוריות. לארגונים רוסיים חשוב שהמוצר מאושר על ידי הרגולטורים המקומיים ונשאר נתמך.
• מוסדות חינוך. סינון תוכן מחייב נפתר בקטגוריות וברשימות שחורות מובנות.
• משרדים מחמישים איש ומעלה. מתחת לסף הזה מספיק בדרך כלל נתב טוב; מעליו מתחיל גן חיות של שירותי צללים, שבלי בקרת אפליקציות לא רואים כלל.
• רשתות עם עבודה מרחוק וסניפים. VPN, מדיניות אחידה ודוחות במקום אחד.

קיימות חלופות פתוחות לסוג הזה: ‏pfSense ו-OPNsense מכסים חומת אש ו-VPN בחינם, וסינון מתווסף בתוספים. העלות מגיעה מכיוונים הפוכים: על הפתוחות משלמים בזמן של מנהל מערכת ובדוחות שנבנים ידנית, על המסחריות בכסף על מנויי מודולים. מה שמכריע בדרך כלל הוא אנשים שמוכנים לחיות עם הפתרון שנים, יותר מהתכונות.

איך בוחרים ומטמיעים

את הסוג הזה קונים דרך פיילוט על התעבורה שלכם יותר מאשר לפי רשימת תכונות, כי כל היצרנים דומים בזה. מפעילים את השער במצב צפייה, בלי חסימות, לשבועיים: הדוחות מראים את תמונת התעבורה האמיתית ואת העומס. המספר החשוב מהפיילוט הוא ביצועים עם בדיקת TLS ו-IPS פעילים. התפוקה בקטלוג נמדדת בלעדיהם ויורדת פי כמה עם כל הבדיקות, וכאן טועים בגודל החומרה. התוצאה השנייה היא רשימת מה שצריך להחריג מהבדיקה, מבנקאות ועד שיחות וידאו, ולכל חברה רשימה משלה.

1. נסחו מדיניות מראש: מה חוסמים, מה מנטרים, במי לא נוגעים. השער מיישם מדיניות ולא מחליף אותה.
2. ספרו משתמשים ורוחב פס בשיא עם מרווח לשנתיים: רישיונות וחומרה קונים לצמיחה.
3. בדקו שילוב עם שירות הספרייה שלכם ואת עמידות הרשת בנפילת השער: צריך מעקף או זוג גיבוי?
4. הבהירו את תכולת המנוי: סינון, ‏IPS ומאגרי אנטי-וירוס מורשים כמודולים, והמחיר החשוף של המכשיר מטעה.
5. מנו אחראי. שער בלי אדם שקורא את הדוחות שלו הופך בתוך שנה לנתב יקר.

לא לבלבל עם פרוקסי מסחרי

שער ארגוני ושירותי פרוקסי כמו שלנו פותרים משימות הפוכות, אף ששניהם נקראים «פרוקסי». השער מבקר את התעבורה היוצאת של העובדים: נראות, סינון, משמעת. פרוקסי מסחרי משנה את נקודת היציאה למשימות עבודה: נתוני מיקום, מאגרי כתובות, חשבונות, כפי שכתבנו בניתוח המשימות של שרתי פרוקסי. הראשון עוסק ב«אנחנו רואים ומגבילים את התעבורה שלנו», השני ב«התעבורה שלנו נראית מבחוץ כמו שצריך». בחברה בוגרת הם חיים יחד בשקט: השער בגבול המשרד, מאגרי הכתובות אצל השיווק והאנליטיקה. עם זאת השער צריך להכיר את המאגרים הלגיטימיים של העמיתים, אחרת האנליטיקה תיתקל יום אחד במערכת האבטחה שלה, ותיקון אי-ההבנה ייקח יותר מכל ההגדרה. הראינו איפה שער כזה משתלב בשאר התשתית בסקירת סוגי השרתים.