'

Palo Alto Networks

Понравилась презентация – покажи это...





Слайд 0

Palo Alto Networks


Слайд 1

Межсетевые экраны нового поколения © 2009 Palo Alto Networks. Proprietary and Confidential. Page 2 | Тенденции развития современных сетевых приложений Современные требования к межсетевым экранам Межсетевые экраны нового поколения Уникальные технологии Palo Alto Межсетевые экраны Palo Alto


Слайд 2

Межсетевые экраны © 2009 Palo Alto Networks. Proprietary and Confidential. Page 3 |


Слайд 3

Приложения изменились


Слайд 4

TCP 80: бизнес приложения


Слайд 5

TCP 80: другие приложения


Слайд 6

Тактика обхода систем безопасности


Слайд 7

© 2010 Palo Alto Networks. Proprietary and Confidential 3.1-a FIREWALL Page 8 | Skype Порты закрыты Порты 80/443 открыты PingFU - Proxy BitTorrent Client Порт 6681 Закрыт Тактика обхода систем безопасности. Пример


Слайд 8

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 9 | Вывод: Приложения изменились, а файерволы - нет Файервол должен восстановить контроль над сетью Политики файерволов базируются на контроле портов, протоколов и IP адресов… … а должны контролировать приложения, пользователей и передаваемые данные


Слайд 9

«Помощники» файервола не помогают! © 2009 Palo Alto Networks. Proprietary and Confidential. Page 10 | Увеличивается сложность и стоимость Производительность ухудшается Сеть так и не становится прозрачной и контролируемой Internet


Слайд 10

Internet © 2009 Palo Alto Networks. Proprietary and Confidential. Page 11 | Увеличивается сложность и стоимость Производительность ухудшается Сеть так и не становится прозрачной и контролируемой «Помощники» файервола не помогают! UTM (Unified Threat Management)


Слайд 11

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 12 | Что должен уметь файервол нового поколения? Контроль на уровне приложений Должна быть возможность запретить приложение (вне зависимости от порта) Полностью интегрированные Дополнительные функции не должны влиять на производительность Функции для определения пользователей Интеграция со службами каталогов (Active Directory и т.д.) Функции обычных файерволов Фильтрация пакетов, NAT, динамическая маршрутизация и т.д.. Должен легко устанавливаться в сеть Легкая прозрачная установка в работающую сеть Gartner: Требования к файерволу нового поколения


Слайд 12

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 13 | Устройства UTM (Unified Threat Management) это НЕ файерволы нового поколения DLP (Data Leak Prevention) это НЕ файерволы нового поколения Web шлюзы это НЕ файерволы нового поколения E-mail шлюзы это НЕ файерволы нового поколения Что должен уметь файервол нового поколения? Gartner: Не являются файерволами нового поколения:


Слайд 13

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 14 | Файервол нового поколения


Слайд 14

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 15 | Уникальные технологии изменили файервол App-ID Идентификация приложений User-ID Идентификация пользователей Content-ID Контроль данных


Слайд 15

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 16 | «Однопроходная» архитектура Один проход Одна операция на пакет Классификация трафика (App-ID) Определение пользователей/групп Сканирование данных – угрозы, URLы, конфиденциальные данные Единая политика Политика применяется к приложению, IP адресу, пользователю и т.д. Параллельная обработка Специализированное аппаратное обеспечение Разделение контрольной платы от платы данных Производительность до 10 Гбит/с, маленькая задержка


Слайд 16

© 2008 Palo Alto Networks. Proprietary and Confidential. Page 17 | Специализированная архитектура (PA-4000) Сигнатурный движок Сигнатуры Palo Alto Балансировка ресурсов (памяти) Многоядерный процессор Многопроцессорная обработка для обеспечения высокой производительности Аппаратная обработка сложных, но стандартизованных функций (SSL, IPSec) Контрольная плата Высокопроизводительное управление Высокоскоростное логирование 10Gbps Dual-core CPU RAM RAM HDD 10 Гбит/с сетевой процессор Сетевой процессор разгружает основные процессор Аппаратно реализованный QoS, маршрутизация, коммутация и NAT CPU 16 . . SSL IPSec De-Compression CPU 1 CPU 2 10Gbps Контрольная плата Плата данных RAM RAM CPU 3 QoS Route, ARP, MAC lookup NAT


Слайд 17

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 18 | App-ID Распознавание приложений (1000+): Дешифрация (SSL) Распознавание/ декодирование протоколов 7 уровня Сигнатурный анализ Эвристический анализ (коммуникации) stateful inspection


Слайд 18

User–ID: Active Directory © 2010 Palo Alto Networks. Proprietary and Confidential 3.1-b Page 19 | Агент подключается к контроллеру домена Считываются данные о пользователях и группах AD Строится таблица соответствия Пользователь - IP Контроллер домена Агент один!


Слайд 19

Использование App-ID и User-ID В логах Сортировка по приложениям/ пользователям Фильтрация по приложениям/ пользователям В политиках Применение к приложениям Применение к пользователям и группам © 2010 Palo Alto Networks. Proprietary and Confidential 3.1-b Page 20 |


Слайд 20

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 21 | Content-ID Потоковое (не файловое!) сканирование на широкий спектр угроз Сигнатурный движок сканирует на вирусы, бот-неты, шпионское ПО и т.д. Интегрированная защита от уязвимостей (IPS) Защищает от утечек конфиденциальной информации Блокирование передачи файлов определенного типа (в различных приложениях) Блокирование по маске (например, номера кредитных карт, по грифу «Конфиденциально») Фильтрация по URL Локальная база URL (20М, 76 категорий, 1000 URL/сек) Динамическая база (с кэшированием)


Слайд 21

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 22 | Интерфейс Application Command Center (ACC) Мониторинг приложений, URL, угроз, фильтрации данных Графики ACC, добавление/удаление фильтров Фильтр на Skype Убрать Skype и посмотреть все приложению O. Harris Фильтр для Skype и пользователя O. Harris


Слайд 22

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 23 | © 2008 Palo Alto Networks. Proprietary and Confidential. Page 23 | © 2008 Palo Alto Networks. Proprietary and Confidential. Page 23 | Система отчетов Построение отчетов по пользователям, приложениям (по конкретному или top) Отчет по URL, посещенным пользователем (все или top) Отслеживание изменений трафика в сети Карта распределения трафика Отчет по сетевым атакам Настраиваемые (custom) отчеты Сводный отчет AVR Оформление в PDF Настройка рассылки по времени


Слайд 23

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 24 | PAN-OS (Palo Alto Networks Operating System) Сетевые функции Динамическая маршрутизация (OSPF, RIPv2, BGP) Удаленные доступ SSL VPN Подключение к SPAN Прозрачный in-line режим (“Layer 1”) Режим L2/L3 Зоновый подход Все интерфейсы могут быть помещены в зоны безопасности Резервирование Активный / пассивный Синхронизация конфигураций QoS шейпинг Приоритезация Применение политик к конкретным приложениям, пользователям, зонам и т.д. Виртуальные системы Несколько виртуальных файерволов на одном устройстве Простое, гибкое управление CLI, Web, Panorama, SNMP, Syslog Функции ОС:


Слайд 24

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 25 | Семейство платформ Производительность Удаленные офисы/ Средние корпорации Большие корпорации PA-2000 Series 1Gbps; 500Mbps threat prevention PA-4000 Series 500Mbps; 200Mbps threat prevention 2Gbps; 2Gbps threat prevention 10Gbps; 5Gbps threat prevention 10Gbps; 5Gbps threat prevention (XFP interfaces) PA-500 250Mbps; 100Mbps threat prevention


Слайд 25

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 26 | Способы установки в сеть Мониторинг Прозрачный In-Line Firewall Мониторинг без вмешательства в работу сети Функции защиты от угроз IPS + AV + URL фильтрации Вместо Firewall Firewall + IPS + AV + URL фильтрация


Слайд 26

© 2009 Palo Alto Networks. Proprietary and Confidential Page 27 | Palo Alto в data-центре Cisco 6513/6509, Cisco Nessus с VmWare or Xen PA-4060 с Threat Prevention Palo Alto: Интерфейсы 10G Производительность до 10 Гбит/с Сканирование на все угрозы до 5 Гбит/с Одновременное сканирование на 3 млн. сигнатур Защита от bot-net Написание собственных приложений Отказоустойчивость Движок DLP Централизованное управление


Слайд 27

Итог © 2009 Palo Alto Networks. Proprietary and Confidential. Page 28 | Применение политик к приложениям, а не к портам Применение политик к пользователям, а не к IP адресам Контроль передаваемых данных Защита от вирусов, уязвимостей, шпионского ПО, bot-net Контроль передаваемых файлов по типам Контроль передаваемых данных по маске


Слайд 28

© 2009 Palo Alto Networks. Proprietary and Confidential. Page 29 | Тестирование независимой лабораторией: Тестирование Демонстрационное тестирование на вашей площадке: PA-2050 Полный функционал 1-2 недели Итоговый отчет AVR


Слайд 29

Спасибо Дополнительная информация на http://www.paloaltonetworks.com


×

HTML:





Ссылка: