Parceiro OPNsense desde 2016
O OPNsense protege a sua rede com IDS/IPS, VPN e alta disponibilidade, sem licenças por utilizador ou por funcionalidade. Planeamos a appliance, migramos com segurança a partir da sua firewall atual, operamo-la por si e, se o desejar, ligamo-la ao SOC 24/7 do nosso parceiro NEOSEC.
Dois caminhos, um desfecho conhecido
A maioria das organizações acaba num de dois modelos. Ambos funcionam durante algum tempo.
Caminho 1
Caminho 2
O OPNsense combina ambos: código aberto e funcionalidades empresariais, operado como uma firewall comercial.
Funcionalidades
Tudo incluído de base, sem custos adicionais por funcionalidade.
Deteção e prevenção de intrusões em modo inline, com conjuntos de regras abertos e, opcionalmente, comerciais.
IPsec para as instalações, WireGuard e OpenVPN para colaboradores móveis, sempre com autenticação de dois fatores.
Dois equipamentos num cluster CARP com ligações sincronizadas. Atualizações e substituição de hardware sem interrupção.
Tantas VLANs e zonas quantas precisar para administração, produção, tecnologia médica, convidados e IoT.
Vários fornecedores com failover e balanceamento de carga, além de OSPF e BGP através de plugins.
Todas as definições por REST API, histórico de configuração com comparação e reversão.
Comparação
| Critério | UTM comercial típica | OPNsense |
|---|---|---|
| Modelo de licenciamento | pacotes de subscrição, algumas funcionalidades licenciadas à parte | Community Edition gratuita, Business Edition por firewall |
| Após o fim da licença | funções de proteção e atualizações param frequentemente | a firewall continua a funcionar na íntegra |
| Funcionalidades | dependem do pacote | IDS/IPS, VPN, HA e filtragem web incluídos |
| Código-fonte | proprietário | aberto (licença BSD) |
| Gestão | frequentemente na cloud do fabricante | local, por API ou centralizada com OPNcentral |
| Ciclo de versões | depende do fabricante | duas versões principais por ano, em janeiro e julho |
| Mudança posterior | cara, configuração proprietária | formatos abertos e documentação completa |
Migração
Para cada sistema de origem descrevemos o que pode ser transferido, como e a que deve prestar atenção.
Abordagem
Uma migração raramente falha por causa da nova firewall, mas sim por regras esquecidas e casos especiais. Por isso, começamos pelo que já tem.
Exportação da configuração, conversa com a sua equipa de TI, análise de regras, NAT, VPNs, certificados e casos especiais. Os contadores de ocorrências mostram que regras são de facto utilizadas.
Conversão para a lógica OPNsense: aliases, regras de interface, NAT, túneis VPN, integração de utilizadores. Mapeamos as funcionalidades específicas do fabricante com ferramentas integradas ou plugins.
Montagem em laboratório ou em paralelo num segmento de teste. Verificamos aplicações críticas, túneis VPN e casos especiais com base numa lista de verificação comum.
Comutação numa janela de manutenção segundo um runbook. A firewall antiga fica ligada e pronta, e voltar atrás demora minutos.
Análise de registos à procura de ligações legítimas bloqueadas, afinação do conjunto de regras, entrega da documentação.
SOC com a NEOSEC
Se o desejar, os registos do OPNsense seguem para o SIEM do nosso parceiro de segurança NEOSEC. Consoante o nível, a NEOSEC monitoriza, apoia ou assume a resposta, até à operação 24/7.
Nível 1
Como começo uma monitorização estruturada?
A NEOSEC configura e opera o SIEM. Os eventos de firewall, endpoints e rede são recolhidos de forma centralizada e verificados com conjuntos de regras comprovados.
Nível 2
Como obtenho apoio ativo?
Managed detection and response: a NEOSEC mantém os conjuntos de regras, avalia os alertas e responde em conjunto consigo segundo procedimentos definidos.
Nível 3
Quem responde à noite e ao fim de semana?
Centro de operações de segurança a qualquer hora. A NEOSEC monitoriza, responde de forma autónoma dentro de limites acordados e documenta cada incidente.
IA e MCP
O nosso servidor MCP para OPNsense, de desenvolvimento próprio, dá aos assistentes de IA acesso estruturado a regras, interfaces, VPNs e registos. Cada ação é classificada por risco e as alterações críticas exigem confirmação. Se o desejar, a IA funciona inteiramente nas suas instalações.
Que regras na instalação Norte não foram utilizadas nos últimos 90 dias?
Ler regras, consultar contadores de ocorrências
7 de 64 regras não têm ocorrências, incluindo 2 autorizações para uma VPN já desativada. Devo desativá-las? Crio primeiro um ponto de restauro.
Sim, desative-as.
Criar ponto de restauro, desativar regras (nível de risco médio, confirmado)
Concluído. Ponto de restauro criado, 7 regras desativadas, reversível a qualquer momento.
Para quem
Várias instalações, teletrabalho, produção e administração na mesma rede. Segurança empresarial sem um modelo de licenciamento empresarial.
OPNsense para médias empresasDispositivos médicos sem atualizações, a infraestrutura telemática alemã (TI) e obrigações de auditoria. A firewall torna-se a ferramenta de segmentação e de prova.
OPNsense na saúdePorquê nós
Não: copiar linhas
Analisamos que regras são de facto aplicadas e transferimos a lógica, não o lastro acumulado.
Não: esperar que corra bem na comutação
A firewall antiga fica ligada até à sua aceitação. Voltar atrás demora minutos.
Não: conhecimento como dependência
Estruturada de forma a que outro prestador de serviços possa assumir.
FAQ
A Community Edition é gratuita. Os custos resultam do hardware, opcionalmente da Business Edition (licença anual por firewall) e da implementação e operação. Não há licenças por utilizador, funcionalidade ou débito.
Os componentes centrais do OPNsense, como o filtro de pacotes pf, Suricata, strongSwan e Unbound, estão entre os projetos de segurança mais minuciosamente analisados. A Deciso está por trás como fabricante com suporte comercial, e nós estamos presentes no local.
A comutação propriamente dita demora normalmente uma a duas horas numa janela de manutenção. A preparação e os testes levam de alguns dias a várias semanas, consoante a dimensão.
Se o desejar, o nosso parceiro de segurança NEOSEC. Os registos seguem para o seu SIEM e, consoante o nível, a NEOSEC responde a qualquer hora. Mais informação em SOC com a NEOSEC.
Contacto
Uma primeira conversa com um engenheiro OPNsense, não uma apresentação comercial. Se o OPNsense não for a escolha certa, dizemos-lhe.
