Партньор на OPNsense от 2016 г.
OPNsense защитава мрежата Ви с IDS/IPS, VPN и висока наличност, без лицензи на потребител или на функция. Ние планираме устройството, прехвърляме Ви безопасно от сегашната защитна стена, експлоатираме я за Вас и при желание я свързваме с 24/7 SOC на нашия партньор NEOSEC.
Два пътя, един познат край
Повечето организации стигат до един от два модела. И двата работят известно време.
Път 1
Път 2
OPNsense съчетава двете: отворен код и корпоративни функции, експлоатирани като търговска защитна стена.
Функции
Всичко е включено стандартно, без допълнително заплащане за отделни функции.
Откриване и предотвратяване на прониквания в inline режим, с отворени и по избор търговски набори от правила.
IPsec за обекти, WireGuard и OpenVPN за мобилни служители, всеки с двуфакторна автентикация.
Две устройства в CARP клъстер със синхронизирани връзки. Актуализации и подмяна на хардуер без прекъсване.
Толкова VLAN и зони, колкото са Ви необходими за администрация, производство, медицинска техника, гости и IoT.
Няколко доставчика с failover и балансиране на натоварването, плюс OSPF и BGP чрез плъгини.
Всяка настройка чрез REST API, история на конфигурацията със сравнение и връщане назад.
Сравнение
| Критерий | Типичен търговски UTM | OPNsense |
|---|---|---|
| Лицензионен модел | абонаментни пакети, някои функции се лицензират отделно | Community Edition безплатно, Business Edition на защитна стена |
| След изтичане на лиценза | защитните функции и актуализациите често спират | защитната стена продължава да работи изцяло |
| Функционалност | зависи от пакета | IDS/IPS, VPN, HA и уеб филтър са включени |
| Изходен код | собствен на производителя | отворен (BSD лиценз) |
| Управление | често облак на производителя | локално, чрез API или централно с OPNcentral |
| Цикъл на версиите | зависи от производителя | две основни версии годишно, през януари и юли |
| Последваща смяна | скъпа, собствена конфигурация на производителя | отворени формати и пълна документация |
Миграция
За всяка изходна система описваме какво може да бъде прехвърлено, как и на какво трябва да обърнете внимание.
Подход
Миграцията рядко се проваля заради новата защитна стена, а заради забравени правила и специални случаи. Затова започваме с това, което вече имате.
Експорт на конфигурацията, разговор с Вашия ИТ екип, анализ на правила, NAT, VPN, сертификати и специални случаи. Броячите на съвпаденията показват кои правила реално се използват.
Преобразуване в логиката на OPNsense: псевдоними, правила на интерфейса, NAT, VPN тунели, интеграция на потребителите. Специфичните за производителя функции изобразяваме с вградени инструменти или плъгини.
Изграждане в лаборатория или паралелно в тестов сегмент. Проверяваме критичните приложения, VPN тунелите и специалните случаи по общ контролен списък.
Превключване в прозорец за поддръжка по план за изпълнение. Старата защитна стена остава свързана и в готовност, а връщането отнема минути.
Анализ на журналите за блокирани легитимни връзки, фина настройка на набора от правила, предаване на документацията.
SOC с NEOSEC
При желание журналите от OPNsense постъпват в SIEM на нашия партньор по сигурността NEOSEC. В зависимост от нивото NEOSEC наблюдава, подпомага или поема реакцията, до експлоатация 24/7.
Ниво 1
Как да започна със структурирано наблюдение?
NEOSEC изгражда и експлоатира SIEM. Събитията от защитната стена, крайните устройства и мрежата се събират централно и се проверяват спрямо доказани набори от правила.
Ниво 2
Как да получа активна подкрепа?
Managed detection and response: NEOSEC поддържа наборите от правила, оценява сигналите и реагира заедно с Вас по предварително определени процедури.
Ниво 3
Кой реагира нощем и в почивните дни?
Център за операции по сигурността денонощно. NEOSEC наблюдава, реагира самостоятелно в съгласувани граници и документира всеки инцидент.
AI и MCP
Нашият собствен OPNsense MCP сървър дава на AI асистентите структуриран достъп до правила, интерфейси, VPN и журнали. Всяко действие се класифицира по риск, а критичните промени изискват потвърждение. При желание AI работи изцяло във Вашата инфраструктура.
Кои правила на обект Север не са използвани през последните 90 дни?
Четене на правилата, заявка за броячите на съвпаденията
7 от 64 правила нямат съвпадения, включително 2 разрешения за VPN, който е изключен. Да ги деактивирам ли? Първо ще създам точка за възстановяване.
Да, деактивирайте ги.
Създаване на точка за възстановяване, деактивиране на правила (ниво на риск средно, потвърдено)
Готово. Точката за възстановяване е създадена, 7 правила са деактивирани, промяната може да бъде отменена по всяко време.
За кого е
Няколко обекта, работа от вкъщи, производство и администрация в една мрежа. Корпоративна сигурност без корпоративен лицензионен модел.
OPNsense за средни предприятияМедицински устройства без актуализации, германската телематична инфраструктура (TI) и задължения за одит. Защитната стена става инструмент за сегментиране и доказателства.
OPNsense в здравеопазванетоЗащо ние
Не: копиране на редове
Анализираме кои правила реално се прилагат и прехвърляме логиката, а не наследения баласт.
Не: надежда при превключването
Старата защитна стена остава свързана, докато не дадете одобрение. Връщането отнема минути.
Не: знание като зависимост
Структурирана така, че друг доставчик на услуги да може да поеме.
FAQ
Community Edition е безплатна. Разходи възникват за хардуер, по избор за Business Edition (годишен лиценз на защитна стена), както и за настройка и експлоатация. Няма лицензи на потребител, функция или пропускателна способност.
Основните компоненти на OPNsense, като пакетния филтър pf, Suricata, strongSwan и Unbound, са сред най-задълбочено проверените проекти в областта на сигурността. Зад тях стои Deciso като производител с търговска поддръжка, а ние сме на място.
Самото превключване обикновено отнема един до два часа в прозорец за поддръжка. Подготовката и тестването отнемат от няколко дни до няколко седмици в зависимост от обхвата.
При желание нашият партньор по сигурността NEOSEC. Журналите постъпват в неговия SIEM и в зависимост от нивото NEOSEC реагира денонощно. Повече в SOC с NEOSEC.
Контакт
Първоначален разговор с инженер по OPNsense, а не търговска презентация. Ако OPNsense не е подходящото решение, ще Ви го кажем.
