Bezpieczeństwo

Rozszerzenie ochrony o oddalone ośrodki

W dużych sieciach VPN, w szczególności gdy istnieją setki lub tysiące oddalonych ośrodków wyzwaniem jest zagwarantowanie tym ośrodkom wiarygodnego połączenia i ich zabezpieczenie. Pozostawienie sieci bez ochrony mogłoby narazić na niebezpieczeństwo ośrodek centralny. NetScreen oferuje rozwiązania do zabezpieczania dużych sieci VPN, w tym narzędzia do ochrony oddalonych ośrodków:

• Strefa domowa oraz strefa pracy możliwe do zdefiniowania w przypadku produktu NetScreen-5XT pozwalają na segmentację sieci aż do zdefiniowanego obszaru sieci domowej. Komputery domowe, które nie są zazwyczaj chronione przed wirusami z Internetu, koniami trojańskimi i robakami nie mają dostępu do komputerów wykorzystywanych w pracy lub sieci VPN. Takie podejście umożliwia ochronę centralnego ośrodka przed urządzeniami, które nie są monitorowane.
• Funkcja uwierzytelniania użytkowników jak i możliwości sieci VPN pozwalają na wymuszenie uwierzytelniania w sieci VPN. Takie rozwiązanie uwiarygodnia bieżącego użytkownika, a nie tylko odległą bramę sieci VPN.
• Obsługiwane są nadmiarowe interfejsy Untrust, co pozwala na tworzenie rezerwowych połączeń internetowych. Można to zrealizować zależnie od sieci za pomocą albo interfejsu 10/100 FastEthernet albo zewnętrznego modemu analogowego dołączonego do portu modemu. Jeżeli pierwotne połączenie zostanie przerwane cały ruch korzysta z połączenia zapasowego.
• Określone w specyfikacji IPSec zakończenie tunelowania dowolnym interfejsem umożliwia ochronę sieci bezprzewodowych (WLAN) za pomocą sieci IPSec VPN. Wykorzystuje się tutaj protokoły IPSec na dowolnym urządzeniu bezprzewodowym i zezwala na połączenie z siecią tylko po ustanowieniu poprawnego połączenia VPN. Funkcja ta może być rozszerzona na telepracowników oraz oddalone oddziały gdyż wszystkie urządzenia NetScreen zapewniają taką funkcjonalność.

Bezpieczeństwo zapory Firewall

Linia produktów NetScreen dostarcza pełne, skalowalne rozwiązania dotyczące zabezpieczenia sieci, które obejmują również telepracowników, duże oddziały korporacyjne, ośrodki biznesu elektronicznego oraz sieci komunikacyjne. Zapora Firewall z pełnym zestawem funkcji wykorzystuje technologię opartą o Pełnostanową Inspekcję (Stateful Inspection) do zabezpieczenia przez intruzami i atakami DoS. Wszystkie urządzenia oferują:

• zintegrowane rozwiązanie wraz ze sprzętem, systemem operacyjnym i zaporą Firewall zoptymalizowanymi pod kątem bezpieczeństwa i wydajności, które posiadają znacznie wyższy poziom zabezpieczeń niż połączenie oddzielnych rozwiązań programowych,
• skuteczne zapobieganie przed atakami, konfigurowane niezależnie dla interfejsu, w tym ochronę przed atakami SYN, ICMP oraz skanowaniem portów,
• mechanizm translacji adresów sieciowych (NAT) oraz translacji portów (PAT), które ukrywają wewnętrzne, prywatne adresy IP,
• tryb transparentny (Transparent Mode), gdzie urządzenie NetScreen funkcjonuje jako bezpieczny pomost między sieciami (Layer 2 IP), realizując przy tym funkcje zapory Firewall, sieci VPN i ochrony przed atakami DoS bez konieczności wprowadzania zmian w istniejącej strukturze i adresaci sieci,
• tryb rutingu (Route Mode) realizujący wszystkie funkcje bezpieczeństwa NetScreen wraz z rutingiem IP,
• ScreenOS jest certyfikowaną (certyfikat Common Criteria i ICSA) zaporą Firewall opartą na technologii Stateful Inspection.

Ochrona przed atakami DoS (Denial of Service)

Ochrona przed atakami destabilizującymi i destrukcyjnymi DoS oraz DDoS (Distribiuted Denial of Service) wymaga specjalnie zbudowanych rozwiązań, które poradzą sobie z ogromną liczbą przesyłanych pakietów i otwieranych sesji. Urządzenia NetScreen sprzętowo przyspieszają obsługę sesji i dzięki temu są w stanie skutecznie chronić sieci przed atakami DoS i DDoS, kontynuując jednocześnie obsługę standardowych usług w przypadku poprawnych pakietów.

• Obsługa przez dowolny interfejs dla zapewnienia ochrony przed wewnętrznymi atakami DoS typu konie trojańskie lub robaki, które generują ataki DoS z wewnętrznych komputerów.
• Podział na pozwalające się konfigurować strefy bezpieczeństwa umożliwia ustawienie dowolnej wartości progowej dla każdego interfejsu i każdego rodzaju ataku DoS.

Wirtualne sieci prywatne (VPN)

Moduły IPSec zintegrowane ze wszystkimi urządzeniami NetScreen umożliwiają zdalny (wdzwaniany) lub stały (typu site-to-site) dostęp do zasobów systemu informatycznego poprzez bezpieczne kanały VPN. Kluczowe funkcje to m. in.:

• szyfrowanie 3DES, DES i AES z wykorzystaniem cyfrowych certyfikatów (PKI X.509), IKE z automatyczną i manualną wymianą kluczy,
• silne uwierzytelnianie SHA-1 i MD5,
• obsługa tuneli VPN dla każdego interfejsu z wykorzystaniem IPSec w celu zabezpieczenia sieci wewnętrznych (np. sieci bezprzewodowych WLAN),
• technologia IPSec NAT Traversal, umożliwiająca bezproblemowe zestawianie tuneli VPN w sieciach gdzie na ich drodze wykonywana jest translacja adresów NAT,
• możliwość tworzenia sieci VPN typu Mesh jak i Hub&Spoke lub stosowania obu typów na raz w celu sprostania każdym, nawet najbardziej nietypowym wymaganiom wdrożeniowym,
• nadmiarowe bramy VPN, które tworzą dodatkowy poziom redundancji w sieci VPN poprzez wykorzystanie rezerwowych tuneli na wypadek utraty podstawowego połączenia VPN,
• interfejsy tuneli, które pozwalają na wybranie rutowanego tunelu VPN, zapewniają wybranie najkorzystniejszej ścieżki oraz redundancje na wypadek uszkodzenia sieci,
• przetestowana (ICSA oraz VPNC) zgodność z innymi certyfikowanymi urządzeniami wspierającymi IPSec.

Uwierzytelnianie użytkowników

Wszystkie urządzenia NetScreen posiadają rozbudowane możliwości uwierzytelniania użytkowników w celu wiarygodnego kontrolowania dostępu do zasobów sieci.

• Uwierzytelnianie użytkowników poprzez zewnętrzną bazę na serwerach RADIUS (np. ActivCard ActivPack), SecurID lub LDAP z możliwością definiowania zapasowych serwerów.
• Wewnętrzna baza użytkowników w celu zminimalizowania odwołań do serwerów zewnętrznych.
• Uwierzytelnianie poprzez WWW umożliwiające użytkownikom dostęp do dowolnego serwisu poprzez przeglądarkę internetową.
• Obsługa protokołu XAUTH w celu dodatkowego uwierzytelniania użytkowników korzystających z sieci VPN poprzez połączenie dial-up. Uniemożliwia to dostęp nieupoważnionych użytkowników (poprzez urządzenia naruszające ochronę danych) do sieci VPN.

Wirtualizacja (sieci VLAN, wirtualne rutery i strefy bezpieczeństwa)

Urządzenia można opcjonalnie rozbudować o tzw. klucz wirtualizacji (virtualization key) w celu obsługi sieci VLAN oraz dodatkowych wirtualnych ruterów (virtual routers) i stref bezpieczeństwa. Wirtualizacja umożliwia dalsze rozszerzenie funkcjonalności dotyczącej bezpieczeństwa na sieć przełączaną (switched network), co z kolei pozwala na zwiększenie liczby poziomów segmentacji sieci.

• Można wykorzystać znaczniki standardu 802.1Q VLAN, aby stworzyć wirtualne interfejsy, które są traktowane jak fizyczne interfejsy.
• Wirtualne rutery obsługują nakładające się podsieci adresów IP np. w przypadku sieci ekstranetowych wdrożonych przez kontrahentów, gdzie często nakładają się prywatne podsieci adresów IP.
• Dodatkowe niestandardowe strefy bezpieczeństwa pozwalają administratorowi na podział sieci na dodatkowy poziom szczegółowości w celu lepszej segmentacji i skuteczniejszej ochrony.