OPNsense partner 2016 óta
Az OPNsense IDS/IPS-szel, VPN-nel és magas rendelkezésre állással védi hálózatát, felhasználónkénti vagy funkciónkénti licencek nélkül. Megtervezzük az appliance-t, biztonságosan átvisszük Önt a jelenlegi tűzfaláról, üzemeltetjük, és kívánság szerint bekötjük partnerünk, a NEOSEC 24/7 SOC-jába.
Két út, ismerős végkifejlet
A legtöbb szervezet két modell egyikénél köt ki. Mindkettő működik egy ideig.
1. út
2. út
Az OPNsense ötvözi a kettőt: nyílt forráskód és vállalati funkciók, kereskedelmi tűzfalként üzemeltetve.
Funkciók
Minden alapból benne van, funkciónkénti felár nélkül.
Behatolásészlelés és -megelőzés inline módban, nyílt és opcionálisan kereskedelmi szabálykészletekkel.
IPsec a telephelyekhez, WireGuard és OpenVPN a mobil munkatársakhoz, mindegyik kétfaktoros hitelesítéssel.
Két eszköz CARP-klaszterben, szinkronizált kapcsolatokkal. Frissítés és hardvercsere megszakítás nélkül.
Annyi VLAN és zóna, amennyire szüksége van: adminisztráció, gyártás, orvostechnika, vendégek és IoT.
Több szolgáltató failoverrel és terheléselosztással, valamint OSPF és BGP pluginokon keresztül.
Minden beállítás elérhető REST API-n keresztül, konfigurációs előzmények összehasonlítással és visszaállítással.
Összehasonlítás
| Szempont | Tipikus kereskedelmi UTM | OPNsense |
|---|---|---|
| Licencmodell | előfizetéses csomagok, egyes funkciók külön licencelve | Community Edition ingyenes, Business Edition tűzfalanként |
| A licenc lejárta után | a védelmi funkciók és a frissítések gyakran leállnak | a tűzfal teljes körűen tovább működik |
| Funkciókészlet | a csomagtól függ | IDS/IPS, VPN, HA és webszűrés benne van |
| Forráskód | zárt | nyílt (BSD-licenc) |
| Kezelés | gyakran a gyártó felhője | helyben, API-n keresztül vagy központilag OPNcentrallal |
| Kiadási ciklus | gyártófüggő | évente két főverzió, januárban és júliusban |
| Későbbi váltás | drága, zárt konfiguráció | nyílt formátumok és teljes dokumentáció |
Migráció
Minden forrásrendszernél leírjuk, mi vihető át, hogyan, és mire kell figyelni.
Módszer
A migráció ritkán az új tűzfalon bukik el, sokkal inkább az elfelejtett szabályokon és a különleges eseteken. Ezért a meglévő környezetből indulunk ki.
Konfigurációs export, egyeztetés az informatikai csapatával, a szabályok, a NAT, a VPN-ek, a tanúsítványok és a különleges esetek elemzése. A találati számlálók megmutatják, mely szabályokat használják ténylegesen.
Átalakítás OPNsense-logikára: aliasok, interfészszabályok, NAT, VPN-alagutak, felhasználói integráció. A gyártóspecifikus funkciókat beépített eszközökkel vagy pluginokkal képezzük le.
Felépítés laborban vagy párhuzamosan egy tesztszegmensben. A kritikus alkalmazásokat, a VPN-alagutakat és a különleges eseteket közös ellenőrzőlista alapján vizsgáljuk.
Átállás karbantartási ablakban, forgatókönyv szerint. A régi tűzfal bekötve és üzemkészen marad, a visszaállás perceket vesz igénybe.
Naplóelemzés a blokkolt legitim kapcsolatok felderítésére, a szabálykészlet finomhangolása, a dokumentáció átadása.
SOC a NEOSEC-kel
Kívánság szerint az OPNsense naplói biztonsági partnerünk, a NEOSEC SIEM-jébe kerülnek. A szinttől függően a NEOSEC felügyel, támogat vagy átveszi a reagálást, egészen a 24/7 üzemig.
1. szint
Hogyan kezdjek bele a strukturált felügyeletbe?
A NEOSEC kiépíti és üzemelteti a SIEM-et. A tűzfal-, végpont- és hálózati eseményeket központilag gyűjti, és bevált szabálykészletek alapján ellenőrzi.
2. szint
Hogyan kapok aktív támogatást?
Managed detection and response: a NEOSEC karbantartja a szabálykészleteket, értékeli a riasztásokat, és előre meghatározott módon Önnel együtt reagál.
3. szint
Ki reagál éjszaka és hétvégén?
Biztonsági műveleti központ éjjel-nappal. A NEOSEC felügyel, az egyeztetett kereteken belül önállóan reagál, és minden incidenst dokumentál.
MI és MCP
Saját fejlesztésű OPNsense MCP szerverünk strukturált hozzáférést ad az MI-asszisztenseknek a szabályokhoz, interfészekhez, VPN-ekhez és naplókhoz. Minden műveletet kockázat szerint osztályoz, a kritikus módosítások megerősítést igényelnek. Kívánság szerint az MI teljes egészében az Ön telephelyén fut.
Mely szabályokat nem használták az elmúlt 90 napban az északi telephelyen?
Szabályok beolvasása, találati számlálók lekérdezése
64 szabályból 7-nek nincs találata, köztük 2 engedély egy már leállított VPN-hez. Letiltsam őket? Előtte létrehozok egy visszaállítási pontot.
Igen, tiltsa le őket.
Visszaállítási pont létrehozása, szabályok letiltása (kockázati szint: közepes, megerősítve)
Kész. A visszaállítási pont létrejött, 7 szabály letiltva, bármikor visszavonható.
Kinek szól
Több telephely, otthoni munkavégzés, gyártás és adminisztráció ugyanazon a hálózaton. Vállalati szintű biztonság vállalati licencmodell nélkül.
OPNsense középvállalatoknakFrissítés nélküli orvostechnikai eszközök, a német telematikai infrastruktúra (TI) és auditkötelezettségek. A tűzfal a szegmentálás és az igazolások eszközévé válik.
OPNsense az egészségügybenMiért mi
Nem: sorok másolása
Elemezzük, mely szabályok érvényesülnek ténylegesen, és a logikát visszük át, nem a felhalmozott örökséget.
Nem: reménykedés az átállásnál
A régi tűzfal az átvételig bekötve marad. A visszaállás perceket vesz igénybe.
Nem: tudás mint függőség
Úgy felépítve, hogy egy másik szolgáltató is át tudja venni.
FAQ
A Community Edition ingyenes. Költségek a hardverre, opcionálisan a Business Editionre (éves licenc tűzfalanként), valamint a bevezetésre és az üzemeltetésre merülnek fel. Nincsenek felhasználónkénti, funkciónkénti vagy átviteli sebesség szerinti licencek.
Az OPNsense alapkomponensei, mint a pf csomagszűrő, a Suricata, a strongSwan és az Unbound, a legalaposabban átvizsgált biztonsági projektek közé tartoznak. Gyártóként a Deciso áll mögötte kereskedelmi támogatással, mi pedig helyben állunk rendelkezésre.
Maga az átállás általában egy-két órát vesz igénybe egy karbantartási ablakban. Az előkészítés és a tesztelés a terjedelemtől függően néhány naptól több hétig tart.
Kívánság szerint biztonsági partnerünk, a NEOSEC. A naplók a SIEM-jébe kerülnek, és a szinttől függően a NEOSEC éjjel-nappal reagál. Bővebben: SOC a NEOSEC-kel.
Kapcsolat
Első beszélgetés egy OPNsense-mérnökkel, nem értékesítési prezentáció. Ha az OPNsense nem a megfelelő választás, megmondjuk.
