A német tűzfalgyártó, a Gateprotect – amely tavaly Magyarországon is megjelent a termékeivel – jelentős mértékben szélesítette nemzetközi partnerei körét és értékesítési struktúráját. Maulis Csaba, a V-Detect termékfelelőse úgy látja, Magyarországon is jól fogadta a piac a cég UTM tűzfalait, melyek különlegessége, hogy az eszközökbe forgatott hálózati térképeken keresztül is menedzselhetők.



Amikor a szabályok okozzák a bajt ■ Ahogy a hálózatok a mind többféle számítógép, IP-alapú eszköz és mobil készülék megjelenésével egyre heterogénebbé váltak, úgy kellett mind több biztonsági ellenőrző pontot felállítani. Az így képződő szabályok (policy) mennyiségét tovább növelte az internetes, közösségi és felhős alkalmazások szaporodása, amiket szintén be kellett vonni a védelem alá.

Ilyen körülmények között a vállalati-intézményi infrastruktúrák esetében nem kell sok idő ahhoz, hogy egy tűzfal funkciókat ellátó eszköz vagy szoftver már olyan kiterjedt szabályrendszer alapján működjön, amelynek már a menedzselése is rengeteg hibalehetőséget rejt. Például előfordulhat, hogy egy nem használt, rég elfeledett szolgáltatáshoz tartozó szabály érvényben marad, és az így nyitva maradó hálózati port máris biztonsági rést képez. Ennél még komolyabb fejtörést okozhatnak azok az egymásra kiható szabályok, amelyeknek nyomon követése megfelelő menedzsment eszközök nélkül igencsak nehézkes lehet. A Gateprotect ezért helyezett nagy hangsúlyt hálózatbiztonsági eszközeinek menedzselésére.

Mit is tud az eGUI? ■ Az alapot ehhez a Gateprotectnél az koncepció adta, hogy a biztonsági feladatok ellátását össze kell kötni a hálózatok, illetve a hátárvédelmi rendszerek tervezésével, melyek alapjául jó esetben a hálózati térképek szolgálnak. Az eGUI kifejlesztését többek között az motiválta, hogy a szakembereknek ne kelljen előre hálózati térképeket készíteniük, hanem azok tulajdonképpen a tűzfalszabályok létrehozásával együtt álljanak elő, dinamikus módon. Az eGUI középpontjában napjainkban is e térképek állnak.

Az eGUI-s menedzsment felületnek két alapvető része van. A képernyő bal oldalán az aktív hálózati szolgáltatások láthatók, amiből első ránézésre leszűrhető, hogy az adott infrastruktúrában milyen jellegű hálózati kommunikáció zajlik, és lehet következtetni a nyitott portokra. A képernyő középső részét a fentebb említett hálózati térkép foglalja el. Ezen az egyes objektumok (felhasználók, számítógépek, szerverek, DMZ-be kihelyezett kiszolgálók, nyomtatók, VPN-kliensek stb.) lekérdezhetők, és a hozzájuk tartozó szabályok közvetlenül módosíthatók.




Középpontban a felhasználók ■ Az egyes hálózatbiztonsági szabályok felhasználónként is kezelhetők: nemcsak számítógépekhez, szerverekhez, illetve IP-címmel rendelkező egyéb eszközökhöz rendelhetők, hanem konkrét személyekhez vagy alkalmazottak egy csoportjához is. A Gateprotect alapvetően három hitelesítési eljárást támogat: lehet böngészőalapú, agentalapú és SSO (Single Sign On) technikát alkalmazó. Ez utóbbi esetben címtáralapú (Microsoft Active Directory vagy openLDAP) azonosítást is lehet használni. Ezáltal egy felhasználóra úgy érvényesülnek a biztonsági szabályok, hogy közben bármilyen hálózatelérésre alkalmas eszközt használhat (egy időben akár többet is). A felhasználói tevékenységek, hálózati események szintén a grafikus felületen követhetők nyomon.

Mindez kiegészül a kategória- vagy URL-alapú tartalomszűréssel, amelyhez fekete- és fehérlisták rendelhetők, és megadható a szabályok érvényességi időszaka is. A tartalomszűrés szintén az eGUI-n keresztül menedzselhető egyes felhasználónként vagy csoportonként.


Tűzfalak tucatjával ■ Ha egy szervezetnek több telephelye van, és emiatt több tűzfalat vagy UTM-eszközt kell üzemeltetnie, az úgynevezett Command Center segítségével vállalatonként vagy telephelyenként távolról is menedzselhetők a tűzfalak, beállítható a közöttük esetlegesen létesítendő VPN-kapcsolat, a magas rendelkezésre állású működés, elvégezhető a konfigurációk exportja/importja és a biztonsági mentés. A Gateprotectnek egyébként célja, hogy a hálózatbiztonsági szolgáltatásokat nyújtó cégeket is megnyerje: a Command Center segítségével a szolgáltatásalapú üzleti modellek is támogathatók.

Az eGUI mellett megmaradt a parancssoros adminisztrációs lehetőség is, amit többek között SSH-n keresztül lehet használni a jól megszokott linuxos tűzfalkörnyezeteknek megfelelően.

A cikk egy a Biztonságportálon megjelent írás szerkesztett változata.