firewall hardware

[urbanstrike]

Olá
Estou a desenvolver um trabalho de pesquisa relacionado com firewall’s por hardware (nada de sygate’s zonealarm’s ou parecido) e ando à procura de informação sobre o assunto, desde marcas de fabricantes a experiencias (vantagens e desvantagens) no uso e implementação das mesmas em ambientes empresariais. O que tenho ate ao momento relativo a marcas que produzem estes equipamentos é:
Cisco (pix, fwsm, asa)
Checkpoint
Juniper http://www.juniper.net
Enterasys http://www.enterasys.com/
Barracuda networks http://www.barracudanetworks.com
Fortigate http://www.fortinet.com
Sonicwall http://www.sonicwall.com
Netasq http://www.netasq.com
Lucent http://www.alcatel-lucent.com/
Ingate http://www.ingate.com
Global Technologies http://www.gta.com

Desde já agradeço toda a ajuda e sugestões que me possam dar sobre este assunto.

[cyberj]

Ora boas....

Antes de mais tenho de te dizer que as PIX da Cisco estão descontinuadas... e foram substituidas pelas ASA....
Em relação à fwsm... nem sei do que estás a falar... isso não existe, ou não é cisco, ou é mesmo muito velho...

Mas o que realmente necessitas? que tipo de informação queres? Características dos equipamentos? É isso?

Em relação às ASAs posso arranjar-te muita informação, tens é de dizer o que precisas..

[cyberj]

Já agora... de todas as marcas que falas-te, apenas as 3 primeiras contao realmente para o jogo...

[urbanstrike]

Antes de mais obrigado pela rápida resposta.
Eu primeiramente preciso saber fabricantes deste tipo de equipamento, para depois poder fazer a selecção de quais os melhores.
Posteriormente, seleccionar dos vários equipamentos os mais adequados para usar em varias situações, em que vou ter de ver quais os prós e contras de cada um. Para esta segunda etapa vou ter de ver as características de cada um e o que permitem realmente efectuar.

Resumindo:
1º ver fabricantes e seleccionar os melhores (quer em níveis de equipamento, quer a nível de assistência técnica)
2º analise de cada equipamento para ver as suas características.

Pelo que vi das marcas que referi falas de Cisco, Checkpoint e Juniper, as restantes desconheces ou já tiveste más experiências com alguma delas ?

[cyberj]

Os unicos 3 players a serios são cisco, checkpoint e juniper...

PQ? Porque 90% de todas as solução de segurança a nivel mundial passam por estes 3 fabricantes....

Por esse motivo, o meu conselho vai para que foques o teu trabalho nestes 3...

Em relação a comparação entre os 3... são muito idênticas... apesar de na minha opinião, que devo dizer-te que é muito suspeita, penso que a solução cisco quando integrada com outros produtos como por exemplo o CSA, ou mesmo qualquer equipamento activo, é mais abrangente, e como tal melhor...

[Fresh_fruit]

Ve no site da IportalMais que tem alguma info.

[flexow]

yep, firewalls a sério Check Point, Juniper... e... ok, as ASA da Cisco (as PIX esquece, mais vale um iptables ou um pf).

agora revê os conceitos... firewalls por hardware? o que é isso?
isso na prática não existe... deduzo que te refiras a appliances, que são compostas por um conjunto de hardware+software... agora és capaz de ficar surpreendido se eu te disser que a esmagadora maioria das marcas que referiste pode correr em qualquer PC/Servidor comum.

As Check Point, que na minha opinião é a melhor solução para firewalls (standalone, em cluster com n nós etc), por exemplo instalas em PCs absurdamente comuns...

[urbanstrike]

Ainda sou de facto muito novato nesta matéria...

Sempre imaginei as firewall para o mercado empresarial em maquinas dedicadas para esse fim.
Mas é interessante esse ponto de se poder instalar em servidores comuns esse software especifico . Já utilizei esse sistema mas foi em linux com iptables

[flexow]

Sempre imaginei as firewall para o mercado empresarial em maquinas dedicadas para esse fim.

e é o que se espera, a única coisa que quis sublinhar foi o facto de "firewalls por hardware" ser uma tanga de marketing.

É de pasmar mais não vai há muito e estive num cliente em que ele corria a Check Point em cima de um Windows 2000, é raro e foi a primeira que encontrei... mas se a Check Point ainda suporta é porque é usado (pelo menos lá fora)... agora adivinha o que lá fui fazer? Claro, retirar aquela porcaria e colocar lá uma appliance.

Para terminar... e reforçar a ideia de que "firewall por hardware" é um conceito errado... Check Point usa um sistema operativo desenvolvido por eles (SecurePlatform) que mais não é do que um linux modificado por eles... e Juniper (JunOS) mais não é do que um FreeBSD modificado por eles... Quanto ao IOS da Cisco há alguns rumores sobre de onde o mesmo surgiu... e todos eles no minímo curiosos

[cyberj]

Bem.... Tudo o que foi dito atrás é verdade... Apesar de não ser possivel colocar o software de uma ASA dentro de um PC... muito menos um PC com Windows...

Em relação ao aparecimento do IOS.... O IOS é o sisema operativo da cisco... tem pelo menos 10 anos... e é usado em TODOS os equipamentos cisco...

Desde um Router aos Switchs, às ASAS, telefones, AP's... etc etc etc.....

Penso que ai é sem duvida a grande vantagem da cisco em relação à concorrencia...

Apesar de achar que se comparar-mos uma asa a uma aplianca da Checkpoint a ASA fica a perder no confronto directo, no seu todo torna-se uma solução bem mais fiavel...


Se unirmos uma ASA, ao CS Mars, ao IPS/IDS e ao CSA chegamos ao conceito de SelfDefence Network...

Ou seja... temos toda a Nossa rede protegida, tanto interna como externamente....

Envia-me um mail com o teu indereço de mail que eu fasso chegar-te toda a informação sobre o conceito e os produtos.


O meu mail é: joselias@cisco.com

[Fresh_fruit]

Desculpem o offtopic

cyberj


Ando a pensar em comprar 2 x AP 1231 da Cisco para por lá em casa ... que antenas me aconselhas para este modelo ? posso colocar 4 ou só duas as duas ?
O meu switch é POE neste caso nao preciso de power injectors certo ?

[alr_tech]

boas

mais exactamente, o IOS é uma shell que trabalha por cima de uma versão especial de linux...
embora a cisco garanta que desenvolveu a partir de uma base em unix dos tempos em que estes trabalhavam com a IBM..

embora no seu todo seja considerado muito seguro..
ainda há pouco tempo a CISCO lançou um patch para o sistema de DNS implementado... logo a seguir aos avisos lançados para o linux de modo a se instalar o patch do Bind (DNS srv)

tal como foi dito, firewall por hardware...é apenas marketing...
no fundo é um PCzeco com caracteristicas especiais e um OS que suporta os serviços necessários....

a questão aqui põem-se no seu tamanho, consumo e caracteristicas suportadas...

qual o melhor fornecedor/Produto...
é dificil... para dizer a verdade a escolha varia de país para país... e depende do primeiro fornecedor a lá chegar e a implantar-se...

embora devido aos seus custos elevados se tenham implantado em primeiro lugar nas grandes empresas, bancos, seguros, etc..

só agora baixaram suficientemente de preço para as pequenas empresas conseguirem adquirir um destes "appliances"....

nada, que um PC de boa qualidade não o faça e mais uma versão de Linux adaptada...
adaptei muitos 386 para isso...

cumps

[flexow]

Bem.... Tudo o que foi dito atrás é verdade... Apesar de não ser possivel colocar o software de uma ASA dentro de um PC... muito menos um PC com Windows...

e se eu te disser que consigo colocar uma imagem de IOS de uma PIX a correr num PC e transformar o meu PC numa PIX? Obviamente isso é loucura já que a performance é pior de que qualquer solução caseira inclusivé... mas com o dynamips já há maluquinhos a fazê-lo. De qualquer das formas eu referi Check Point e Juniper especificamente... e não Cisco.

Apesar de achar que se comparar-mos uma asa a uma aplianca da Checkpoint a ASA fica a perder no confronto directo, no seu todo torna-se uma solução bem mais fiavel...

mais fiável? You don't have a clue, do you?

Se unirmos uma ASA, ao CS Mars, ao IPS/IDS e ao CSA chegamos ao conceito de SelfDefence Network...

Ou seja... temos toda a Nossa rede protegida, tanto interna como externamente....

Yup, 31000 equipamentos diferentes para gerir, de qualidade duvidosa, sem performance nenhuma... e com Check Point fazes isso tudo (e muito mais ainda) de forma centralizada com o SmartCenter.

Envia-me um mail com o teu indereço de mail que eu fasso chegar-te toda a informação sobre o conceito e os produtos.

eu conheço as soluções, obrigado na mesma

O meu mail é: joselias@cisco.com

Ahhh, cisco.com... está explicado e agora percebo porque defendes cisco com unhas e dentes hehe.

[net_shark]

Da minha experiencia profissional na area posso falar do seguinte...

Acho que a checkpoint está acima da media quer em performance quer em usabilidade. Infelizmente no preço...é um assalto.

Ha checkpoints para firewalls Nokia aka IPSO (openBSD), windows server e Linux. Em quaisquer das plataformas impoe respeito.

Um exemplo simples da vantagem da checkpoint sobre cisco é que uma tabela de regras equivalente pode ser varias vezes maior (e mais confusa) em cisco. Pela forma completamente diferente de funcionamento, a checkpoint tem a capacidade de entender coisas a nivel de routing, que em cisco pode ser necessario explicar mais detalhadamente e explicitamente. Contudo nem sempre é assim.
(É um paradoxo, pois o principal ficheiro de configuração em checkpoint é muitissimo maior, do que um para fins equivalentes em cisco)

Por outro lado o preço para performance equivalente pode chegar a ser METADE em cisco. Estamos a falar de equipamentos de dezenas de milhares de euros.

Já as fortigates estão mais orientadas para as camadas superiores do modelo OSI. São (muito) boas para inspecção antispam e antivirus.

Flexow: as apliances não são nenhuma dadiva de deus. Morrem como qualquer outro equipamento. Já tive uma nokia que de um momento para o outro entregou a alma ao criador, teve funeral na belgica, de onde veio prontamente outra substituta.
Ate porque a maior parte dos componentes desses equipamentos, não são nada demais. Há uma quantidade enorme de ciscos que são power pcs do mais rasca (sem se portarem mal) e grande parte das nokias são pentiuns 3 /4 com discos IDE.

O que é caro nas apliances é o *software* e não o hardware.

Estão a esquecer-se do produto nacional: As IPbricks da iportalmais ou as firewalls da critical links (spin-off da critical software). Ambas são plataformas intel com linux martelado, embora as ipbricks tenham sido praticamente pioneiras nesta area no mercado.

Alex

[net_shark]

Desculpem o offtopic

cyberj


Ando a pensar em comprar 2 x AP 1231 da Cisco para por lá em casa ... que antenas me aconselhas para este modelo ? posso colocar 4 ou só duas as duas ?
O meu switch é POE neste caso nao preciso de power injectors certo ?

AFAIK...os 1200 podem ter duas. Mas suportam qualquer tipo de antenas omni/bidireccionais com conectores tipo N.
Ou seja, embora sejam APs apropriados para distribuição final a clientes (omnidireccional), tambem pode ser usado para ligações wireless ponto-a-ponto (bidireccional). Neste contexto os 1300 são unicamente apropriados (e melhores) para ligações PP.
Em principio não são necessario injectores. De qualquer forma todos os aironets tem entrada para transformador apropriado (os externos, como os 1300, tem essa entrada no injector incluido), embora muitos como se destinam a ambientes PoE não trazem transformador incluido.

Alex