Palo Alto Networks


The Presentation inside:

Slide 0

Palo Alto Networks


Slide 1

Межсетевые экраны нового поколения © 2009 Palo Alto Networks. Proprietary and Confidential. Page 2 | Тенденции развития современных сетевых приложений Современные требования к межсетевым экранам Межсетевые экраны нового поколения Уникальные технологии Palo Alto Межсетевые экраны Palo Alto


Slide 2

Межсетевые экраны © 2009 Palo Alto Networks. Proprietary and Confidential. Page 3 |


Slide 3

Приложения изменились


Slide 4

TCP 80: бизнес приложения


Slide 5

TCP 80: другие приложения


Slide 6

Тактика обхода систем безопасности


Slide 7

© 2010 Palo Alto Networks. Proprietary and Confidential 3.1-a FIREWALL Page 8 | Skype Порты закрыты Порты 80/443 открыты PingFU - Proxy BitTorrent Client Порт 6681 Закрыт Тактика обхода систем безопасности. Пример


Slide 8

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 9 | Вывод: Приложения изменились, а файерволы - нет Файервол должен восстановить контроль над сетью Политики файерволов базируются на контроле портов, протоколов и IP адресов… … а должны контролировать приложения, пользователей и передаваемые данные


Slide 9

«Помощники» файервола не помогают! © 2009 Palo Alto Networks. Proprietary and Confidential. Page 10 | Увеличивается сложность и стоимость Производительность ухудшается Сеть так и не становится прозрачной и контролируемой Internet


Slide 10

Internet © 2009 Palo Alto Networks. Proprietary and Confidential. Page 11 | Увеличивается сложность и стоимость Производительность ухудшается Сеть так и не становится прозрачной и контролируемой «Помощники» файервола не помогают! UTM (Unified Threat Management)


Slide 11

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 12 | Что должен уметь файервол нового поколения? Контроль на уровне приложений Должна быть возможность запретить приложение (вне зависимости от порта) Полностью интегрированные Дополнительные функции не должны влиять на производительность Функции для определения пользователей Интеграция со службами каталогов (Active Directory и т.д.) Функции обычных файерволов Фильтрация пакетов, NAT, динамическая маршрутизация и т.д.. Должен легко устанавливаться в сеть Легкая прозрачная установка в работающую сеть Gartner: Требования к файерволу нового поколения


Slide 12

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 13 | Устройства UTM (Unified Threat Management) это НЕ файерволы нового поколения DLP (Data Leak Prevention) это НЕ файерволы нового поколения Web шлюзы это НЕ файерволы нового поколения E-mail шлюзы это НЕ файерволы нового поколения Что должен уметь файервол нового поколения? Gartner: Не являются файерволами нового поколения:


Slide 13

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 14 | Файервол нового поколения


Slide 14

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 15 | Уникальные технологии изменили файервол App-ID Идентификация приложений User-ID Идентификация пользователей Content-ID Контроль данных


Slide 15

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 16 | «Однопроходная» архитектура Один проход Одна операция на пакет Классификация трафика (App-ID) Определение пользователей/групп Сканирование данных – угрозы, URLы, конфиденциальные данные Единая политика Политика применяется к приложению, IP адресу, пользователю и т.д. Параллельная обработка Специализированное аппаратное обеспечение Разделение контрольной платы от платы данных Производительность до 10 Гбит/с, маленькая задержка


Slide 16

© 2008 Palo Alto Networks. Proprietary and Confidential. Page 17 | Специализированная архитектура (PA-4000) Сигнатурный движок Сигнатуры Palo Alto Балансировка ресурсов (памяти) Многоядерный процессор Многопроцессорная обработка для обеспечения высокой производительности Аппаратная обработка сложных, но стандартизованных функций (SSL, IPSec) Контрольная плата Высокопроизводительное управление Высокоскоростное логирование 10Gbps Dual-core CPU RAM RAM HDD 10 Гбит/с сетевой процессор Сетевой процессор разгружает основные процессор Аппаратно реализованный QoS, маршрутизация, коммутация и NAT CPU 16 . . SSL IPSec De-Compression CPU 1 CPU 2 10Gbps Контрольная плата Плата данных RAM RAM CPU 3 QoS Route, ARP, MAC lookup NAT


Slide 17

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 18 | App-ID Распознавание приложений (1000+): Дешифрация (SSL) Распознавание/ декодирование протоколов 7 уровня Сигнатурный анализ Эвристический анализ (коммуникации) stateful inspection


Slide 18

User–ID: Active Directory © 2010 Palo Alto Networks. Proprietary and Confidential 3.1-b Page 19 | Агент подключается к контроллеру домена Считываются данные о пользователях и группах AD Строится таблица соответствия Пользователь - IP Контроллер домена Агент один!


Slide 19

Использование App-ID и User-ID В логах Сортировка по приложениям/ пользователям Фильтрация по приложениям/ пользователям В политиках Применение к приложениям Применение к пользователям и группам © 2010 Palo Alto Networks. Proprietary and Confidential 3.1-b Page 20 |


Slide 20

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 21 | Content-ID Потоковое (не файловое!) сканирование на широкий спектр угроз Сигнатурный движок сканирует на вирусы, бот-неты, шпионское ПО и т.д. Интегрированная защита от уязвимостей (IPS) Защищает от утечек конфиденциальной информации Блокирование передачи файлов определенного типа (в различных приложениях) Блокирование по маске (например, номера кредитных карт, по грифу «Конфиденциально») Фильтрация по URL Локальная база URL (20М, 76 категорий, 1000 URL/сек) Динамическая база (с кэшированием)


Slide 21

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 22 | Интерфейс Application Command Center (ACC) Мониторинг приложений, URL, угроз, фильтрации данных Графики ACC, добавление/удаление фильтров Фильтр на Skype Убрать Skype и посмотреть все приложению O. Harris Фильтр для Skype и пользователя O. Harris


Slide 22

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 23 | © 2008 Palo Alto Networks. Proprietary and Confidential. Page 23 | © 2008 Palo Alto Networks. Proprietary and Confidential. Page 23 | Система отчетов Построение отчетов по пользователям, приложениям (по конкретному или top) Отчет по URL, посещенным пользователем (все или top) Отслеживание изменений трафика в сети Карта распределения трафика Отчет по сетевым атакам Настраиваемые (custom) отчеты Сводный отчет AVR Оформление в PDF Настройка рассылки по времени


Slide 23

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 24 | PAN-OS (Palo Alto Networks Operating System) Сетевые функции Динамическая маршрутизация (OSPF, RIPv2, BGP) Удаленные доступ SSL VPN Подключение к SPAN Прозрачный in-line режим (“Layer 1”) Режим L2/L3 Зоновый подход Все интерфейсы могут быть помещены в зоны безопасности Резервирование Активный / пассивный Синхронизация конфигураций QoS шейпинг Приоритезация Применение политик к конкретным приложениям, пользователям, зонам и т.д. Виртуальные системы Несколько виртуальных файерволов на одном устройстве Простое, гибкое управление CLI, Web, Panorama, SNMP, Syslog Функции ОС:


Slide 24

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 25 | Семейство платформ Производительность Удаленные офисы/ Средние корпорации Большие корпорации PA-2000 Series 1Gbps; 500Mbps threat prevention PA-4000 Series 500Mbps; 200Mbps threat prevention 2Gbps; 2Gbps threat prevention 10Gbps; 5Gbps threat prevention 10Gbps; 5Gbps threat prevention (XFP interfaces) PA-500 250Mbps; 100Mbps threat prevention


Slide 25

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 26 | Способы установки в сеть Мониторинг Прозрачный In-Line Firewall Мониторинг без вмешательства в работу сети Функции защиты от угроз IPS + AV + URL фильтрации Вместо Firewall Firewall + IPS + AV + URL фильтрация


Slide 26

© 2009 Palo Alto Networks. Proprietary and Confidential Page 27 | Palo Alto в data-центре Cisco 6513/6509, Cisco Nessus с VmWare or Xen PA-4060 с Threat Prevention Palo Alto: Интерфейсы 10G Производительность до 10 Гбит/с Сканирование на все угрозы до 5 Гбит/с Одновременное сканирование на 3 млн. сигнатур Защита от bot-net Написание собственных приложений Отказоустойчивость Движок DLP Централизованное управление


Slide 27

Итог © 2009 Palo Alto Networks. Proprietary and Confidential. Page 28 | Применение политик к приложениям, а не к портам Применение политик к пользователям, а не к IP адресам Контроль передаваемых данных Защита от вирусов, уязвимостей, шпионского ПО, bot-net Контроль передаваемых файлов по типам Контроль передаваемых данных по маске


Slide 28

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 29 | Тестирование независимой лабораторией: Тестирование Демонстрационное тестирование на вашей площадке: PA-2050 Полный функционал 1-2 недели Итоговый отчет AVR


Slide 29

Спасибо Дополнительная информация на http://www.paloaltonetworks.com


×

HTML:





Ссылка: