UserGate: o que este gateway de segurança sabe fazer

O UserGate nasceu nos anos 2000 como servidor proxy de escritório: distribuir internet, contar tráfego, fechar sites de lazer. Desde então cresceu até virar um gateway de segurança que o setor chama de NGFW, firewall de nova geração. O nome ficou, a classe de tarefas mudou, e ele é interessante justamente como representante dessa classe: todos os gateways corporativos atuais são construídos de forma parecida.

Seu lugar na rede

O gateway fica na fronteira: todo o tráfego do escritório para a internet e de volta passa por ele. Daí as possibilidades e a responsabilidade: é o lugar mais prático para filtrar, contar e proteger, e também um ponto único de falha, por isso as configurações maiores funcionam em par redundante. Vem como hardware e como máquina virtual, e escritórios médios costumam ficar bem com a versão virtual.

Módulos principais

A palavra-chave em tudo é "usuário". O gateway se integra ao serviço de diretório, e as regras são escritas para pessoas e grupos em vez de endereços IP: uma coisa para a contabilidade, outra para o desenvolvimento, outra para o Wi-Fi de visitantes. A inspeção TLS merece uma ressalva: tecnicamente é uma abertura controlada do canal criptografado com substituição de certificado, que exige instalar um certificado corporativo nos aparelhos e informar os funcionários com honestidade. Categorias bancárias e médicas costumam ficar fora da inspeção.

As políticas unem os módulos em cenários. Um exemplo real: o grupo de marketing pode usar redes sociais, mas não enviar arquivos; terceirizados só acessam uma lista de serviços de trabalho; os demais têm fechados os serviços de troca de arquivos e os domínios recém-registrados, ferramenta favorita do phishing. Cada regra vem com um relatório, e a discussão "preciso deste site para trabalhar" se resolve com dados, sem gritos.

Quem precisa

• Empresas com exigências regulatórias. Para organizações russas importa que o produto seja certificado pelos reguladores locais e continue com suporte.
• Instituições de ensino. A filtragem obrigatória de conteúdo se resolve com categorias e listas negras prontas.
• Escritórios a partir de cinquenta pessoas. Abaixo desse limite, um bom roteador costuma bastar; acima começa um zoológico de serviços paralelos que, sem controle de aplicativos, nem aparece.
• Redes com trabalho remoto e filiais. VPN, políticas unificadas e relatórios em um só lugar.

Existem alternativas abertas a essa classe: pfSense e OPNsense cobrem firewall e VPN de graça, e a filtragem entra por plugins. O custo vem de lados opostos: as abertas são pagas com tempo de administrador e relatórios feitos à mão, as comerciais com dinheiro em assinaturas de módulos. O que costuma decidir é ter pessoas dispostas a conviver anos com a solução, mais do que as funções.

Como escolher e implantar

Essa classe é comprada por um piloto no seu próprio tráfego, mais do que por lista de funções, pois todos os fabricantes se parecem nisso. Implanta-se o gateway em modo de observação, sem bloqueios, por duas semanas: os relatórios mostram o tráfego real e a carga. O principal número a tirar do piloto é o desempenho com inspeção TLS e IPS ativas. A taxa do catálogo é medida sem elas e cai várias vezes com o conjunto completo de verificações, e é aqui que se erra no tamanho do hardware. O segundo resultado do piloto é a lista do que excluir da inspeção, do internet banking às videochamadas, e cada empresa tem a sua.

1. Defina a política antes: o que bloquear, o que observar, quem não tocar. O gateway executa a política e não a substitui.
2. Conte usuários e banda de pico com folga para dois anos: licenças e hardware são comprados pensando no crescimento.
3. Verifique a integração com seu serviço de diretório e a tolerância da rede à queda do gateway: é preciso um bypass ou um par redundante?
4. Esclareça o conteúdo da assinatura: filtragem, IPS e bases antivírus são licenciados como módulos, e o preço da caixa sozinha engana.
5. Nomeie um responsável. Um gateway sem ninguém para ler os relatórios vira um roteador caro em um ano.

Não confundir com proxies comerciais

Um gateway corporativo e serviços de proxy como o nosso resolvem tarefas opostas, embora ambos se chamem "proxy". O gateway controla o tráfego de saída dos funcionários: visibilidade, filtragem, disciplina. Um proxy comercial muda o ponto de saída para tarefas de trabalho: dados geográficos, pools de endereços, contas, como mostramos na análise das tarefas de servidores proxy. O primeiro é sobre "vemos e limitamos nosso tráfego", o segundo sobre "nosso tráfego parece como deve por fora". Em uma empresa madura eles convivem tranquilamente: o gateway na fronteira do escritório, os pools com marketing e análise. O gateway, porém, deve conhecer os pools legítimos dos colegas, ou um dia a análise vai esbarrar no próprio sistema de segurança, e corrigir esse mal-entendido levará mais do que toda a configuração. Mostramos onde esse gateway se encaixa no resto da infraestrutura no panorama dos tipos de servidores.