UserGate: bu güvenlik ağ geçidi şirketler için neler yapar

UserGate 2000'lerde ofis proxy sunucusu olarak başladı: interneti paylaştır, trafiği say, eğlence sitelerini kapat. O günden beri sektörün NGFW, yani yeni nesil güvenlik duvarı dediği bir güvenlik ağ geçidine dönüştü. Ad kaldı, iş sınıfı değişti ve en çok bu sınıfın temsilcisi olarak ilginç: tüm modern kurumsal ağ geçitleri benzer şekilde kuruludur.

Ağdaki yeri

Ağ geçidi sınırda durur: ofisin internete giden ve gelen tüm trafiği içinden geçer. Hem yetenekleri hem sorumluluğu buradan gelir: süzmek, saymak ve korumak için en kolay yer burasıdır, ama tek arıza noktası da burasıdır, bu yüzden büyük yapılandırmalar yedekli çift olarak çalışır. Hem donanım hem sanal makine olarak sunulur, orta ölçekli ofislere genelde sanal sürüm yeter.

Ana modüller

Her yerde anahtar sözcük "kullanıcı"dır. Ağ geçidi dizin hizmetiyle bütünleşir, kurallar IP adresleri yerine kişiler ve gruplar için yazılır: muhasebeye bir, geliştirmeye başka, misafir Wi-Fi'ına başka. TLS inceleme ayrı bir uyarıyı hak eder: teknik olarak sertifika değiştirerek şifreli kanalın denetimli açılmasıdır, cihazlara kurumsal sertifika kurmayı ve çalışanları dürüstçe bilgilendirmeyi gerektirir. Bankacılık ve tıp kategorileri genelde inceleme dışında tutulur.

Politikalar modülleri senaryolara bağlar. Gerçek bir örnek: pazarlama grubu sosyal medyayı kullanabilir ama dosya yükleyemez; yüklenicilere yalnızca iş hizmetleri listesi açıktır; diğerlerine dosya paylaşım servisleri ve oltalamanın gözdesi yeni kayıtlı alan adları kapalıdır. Her kural bir raporla gelir, "bu siteye işim için ihtiyacım var" tartışması bağırarak değil veriyle çözülür.

Kime gerekir

• Düzenleyici gereklilikleri olan şirketler. Rus kuruluşları için ürünün yerel düzenleyicilerce sertifikalı olması ve desteğin sürmesi önemlidir.
• Eğitim kurumları. Zorunlu içerik süzme, kutudan çıkan kategoriler ve kara listelerle çözülür.
• Elli kişiden büyük ofisler. Bu eşiğin altında genelde iyi bir yönlendirici yeter; üstünde, uygulama denetimi olmadan hiç görünmeyen gölge hizmetler hayvanat bahçesi başlar.
• Uzaktan çalışma ve şubeli ağlar. VPN, ortak politikalar ve raporlar tek yerde.

Bu sınıfın açık alternatifleri var: pfSense ve OPNsense güvenlik duvarı ve VPN'i ücretsiz kapsar, süzme eklentilerle gelir. Maliyet zıt yönlerden gelir: açık olanlar yönetici zamanı ve elle hazırlanan raporlarla, ticari olanlar modül aboneliği parasıyla ödenir. Genelde karar veren şey işlevlerden çok, çözümle yıllarca yaşamaya hazır insanların varlığıdır.

Nasıl seçilir ve kurulur

Bu sınıf işlev listesinden çok kendi trafiğinizdeki pilotla alınır, çünkü tüm üreticiler bu konuda benzerdir. Ağ geçidini engellemesiz izleme modunda iki hafta çalıştırın: raporlar gerçek trafik tablosunu ve yükü gösterir. Pilottan alınacak ana rakam, TLS inceleme ve IPS açıkken başarımdır. Katalogdaki verim onlarsız ölçülür ve tüm denetimlerle kat kat düşer, donanım boyutunda da burada yanılınır. Pilotun ikinci sonucu, bankacılık istemcilerinden görüntülü görüşmeye inceleme dışı bırakılacakların listesidir, her şirketin kendine özgüdür.

1. Politikayı önceden belirleyin: neyi engelliyorsunuz, neyi izliyorsunuz, kime dokunmuyorsunuz. Ağ geçidi politikayı uygular, onun yerine geçmez.
2. Kullanıcıları ve zirve bant genişliğini iki yıl paylı sayın: lisanslar ve donanım büyümeye göre alınır.
3. Dizin hizmetinizle bütünleşmeyi ve ağın ağ geçidi arızasına toleransını denetleyin: atlama mı yoksa yedekli çift mi gerekir?
4. Abonelik kapsamını netleştirin: süzme, IPS ve antivirüs veritabanları modül olarak lisanslanır, kutunun çıplak fiyatı yanıltıcıdır.
5. Bir sorumlu atayın. Raporlarını okuyan kimsesi olmayan ağ geçidi bir yılda pahalı bir yönlendiriciye döner.

Ticari proxy'lerle karıştırmayın

Kurumsal ağ geçidi ile bizimki gibi proxy hizmetleri, ikisine de "proxy" dense de zıt işler yapar. Ağ geçidi çalışanların giden trafiğini denetler: görünürlük, süzme, disiplin. Ticari proxy ise iş görevleri için çıkış noktasını değiştirir: konum verileri, adres havuzları, hesaplar; bunu proxy sunucusu görevleri yazısında anlattık. İlki "trafiğimizi görür ve sınırlarız", ikincisi "trafiğimiz dışarıdan olması gerektiği gibi görünür" demektir. Olgun bir şirkette birlikte sakince yaşarlar: ofis sınırında ağ geçidi, pazarlama ve analitik birimlerinde adres havuzları. Ama ağ geçidi meslektaşların yasal havuzlarını bilmelidir, yoksa analitik bir gün kendi güvenlik sistemine çarpar ve bu yanlış anlaşmayı düzeltmek tüm kurulumdan uzun sürer. Böyle bir ağ geçidinin sunucu altyapısının geri kalanına nasıl oturduğunu sunucu türleri özetinde gösterdik.