Partner za OPNsense od leta 2016
OPNsense ščiti vaše omrežje z IDS/IPS, VPN in visoko razpoložljivostjo, brez licenc na uporabnika ali funkcijo. Načrtujemo napravo, vas varno prenesemo z obstoječega požarnega zidu, skrbimo za obratovanje in ga po želji povežemo s SOC 24/7 našega partnerja NEOSEC.
Dve poti, znan konec
Večina organizacij konča pri enem od dveh modelov. Oba nekaj časa delujeta.
Pot 1
Pot 2
OPNsense združuje oboje: odprto kodo in poslovne funkcije, z obratovanjem kot pri komercialnem požarnem zidu.
Funkcije
Vse je vključeno standardno, brez doplačila za posamezno funkcijo.
Zaznavanje in preprečevanje vdorov v načinu inline, z odprtimi in po izbiri komercialnimi nabori pravil.
IPsec za lokacije, WireGuard in OpenVPN za mobilne sodelavce, vsakič z dvofaktorsko avtentikacijo.
Dve napravi v gruči CARP s sinhroniziranimi povezavami. Posodobitve in zamenjava strojne opreme brez prekinitve.
Toliko VLAN-ov in con, kolikor jih potrebujete za upravo, proizvodnjo, medicinsko tehniko, goste in IoT.
Več ponudnikov s preklopom ob izpadu in porazdelitvijo obremenitve, poleg tega OSPF in BGP prek vtičnikov.
Vse nastavitve prek REST API, zgodovina konfiguracije s primerjavo in povrnitvijo.
Primerjava
| Merilo | Tipičen komercialni UTM | OPNsense |
|---|---|---|
| Licenčni model | naročniški paketi, nekatere funkcije licencirane ločeno | Community Edition brezplačna, Business Edition na požarni zid |
| Po poteku licence | zaščitne funkcije in posodobitve se pogosto ustavijo | požarni zid še naprej deluje v celoti |
| Obseg funkcij | odvisen od paketa | IDS/IPS, VPN, HA in spletni filter vključeni |
| Izvorna koda | lastniška | odprta (licenca BSD) |
| Upravljanje | pogosto oblak proizvajalca | lokalno, prek API ali centralno z OPNcentral |
| Cikel izdaj | odvisen od proizvajalca | dve glavni različici na leto, januarja in julija |
| Poznejša menjava | draga, lastniška konfiguracija | odprti formati in popolna dokumentacija |
Migracija
Za vsak izvorni sistem opišemo, kaj je mogoče prenesti, kako in na kaj morate biti pozorni.
Pristop
Migracija redko spodleti zaradi novega požarnega zidu, temveč zaradi pozabljenih pravil in posebnih primerov. Zato začnemo pri tem, kar že imate.
Izvoz konfiguracije, pogovor z vašo ekipo IT, analiza pravil, NAT, VPN-jev, potrdil in posebnih primerov. Števci zadetkov pokažejo, katera pravila se dejansko uporabljajo.
Pretvorba v logiko OPNsense: aliasi, pravila vmesnikov, NAT, tuneli VPN, vključitev uporabnikov. Posebne funkcije proizvajalcev preslikamo z vgrajenimi orodji ali vtičniki.
Postavitev v laboratoriju ali vzporedno v testnem segmentu. Kritične aplikacije, tunele VPN in posebne primere preverimo po skupnem kontrolnem seznamu.
Preklop v vzdrževalnem oknu po izvedbenem načrtu. Stari požarni zid ostane priključen in pripravljen, vrnitev traja nekaj minut.
Analiza dnevnikov glede blokiranih legitimnih povezav, fino nastavljanje nabora pravil, predaja dokumentacije.
SOC z NEOSEC
Po želji se dnevniki iz OPNsense stekajo v SIEM našega varnostnega partnerja NEOSEC. Glede na stopnjo NEOSEC nadzoruje, podpira ali prevzame odziv, vse do obratovanja 24/7.
Stopnja 1
Kako začeti s strukturiranim nadzorom?
NEOSEC postavi SIEM in skrbi za njegovo delovanje. Dogodki požarnega zidu, končnih točk in omrežja se centralno zbirajo in preverjajo s preizkušenimi nabori pravil.
Stopnja 2
Kako dobim aktivno podporo?
Upravljano zaznavanje in odziv: NEOSEC vzdržuje nabore pravil, ocenjuje opozorila in se skupaj z vami odziva po vnaprej določenih poteh.
Stopnja 3
Kdo se odzove ponoči in ob koncih tedna?
Varnostni operativni center deluje neprekinjeno. NEOSEC nadzoruje, se v dogovorjenih mejah samostojno odziva in dokumentira vsak incident.
UI in MCP
Naš lastni strežnik MCP za OPNsense asistentom umetne inteligence omogoča strukturiran dostop do pravil, vmesnikov, VPN-jev in dnevnikov. Vsako dejanje je razvrščeno po tveganju, kritične spremembe zahtevajo potrditev. Po želji umetna inteligenca deluje v celoti v vaših prostorih.
Katera pravila na lokaciji Sever se v zadnjih 90 dneh niso uporabila?
Branje pravil, poizvedba števcev zadetkov
7 od 64 pravil nima zadetkov, med njimi 2 dovoljenji za VPN, ki je bil ukinjen. Naj jih onemogočim? Najprej bom ustvaril točko obnovitve.
Da, onemogočite jih.
Ustvarjanje točke obnovitve, onemogočanje pravil (stopnja tveganja srednja, potrjeno)
Končano. Točka obnovitve je ustvarjena, 7 pravil je onemogočenih, kar je mogoče kadar koli razveljaviti.
Za koga
Več lokacij, delo od doma, proizvodnja in uprava v istem omrežju. Varnost na ravni velikih podjetij brez licenčnega modela velikih podjetij.
OPNsense za srednje velika podjetjaMedicinske naprave brez posodobitev, nemška telematska infrastruktura (TI) in revizijske obveznosti. Požarni zid postane orodje za segmentacijo in dokazila.
OPNsense v zdravstvuZakaj mi
Ne: kopiranje vrstic
Analiziramo, katera pravila se dejansko uporabljajo, in prenesemo logiko, ne pa starih ostankov.
Ne: upanje ob preklopu
Stari požarni zid ostane priključen do vaše potrditve. Vrnitev traja nekaj minut.
Ne: znanje kot vezava
Strukturirana tako, da bi jo lahko prevzel tudi drug ponudnik storitev.
FAQ
Community Edition je brezplačna. Stroški nastanejo za strojno opremo, po izbiri za Business Edition (letna licenca na požarni zid) ter za postavitev in obratovanje. Licenc na uporabnika, funkcijo ali prepustnost ni.
Osrednje komponente OPNsense, kot so paketni filter pf, Suricata, strongSwan in Unbound, spadajo med najtemeljiteje preverjene varnostne projekte. Za njim stoji proizvajalec Deciso s komercialno podporo, mi pa smo na voljo na kraju samem.
Sam preklop običajno traja eno do dve uri v vzdrževalnem oknu. Priprava in testiranje trajata od nekaj dni do več tednov, odvisno od obsega.
Po želji naš varnostni partner NEOSEC. Dnevniki se stekajo v njegov SIEM, glede na stopnjo pa se NEOSEC odziva neprekinjeno. Več na strani SOC z NEOSEC.
Kontakt
Uvodni pogovor z inženirjem za OPNsense, ne prodajna predstavitev. Če OPNsense ni prava izbira, vam bomo to povedali.
