Αξιοποιήστε στο έπακρο το firewall Next- Generation

Transcript

1 Ενημερωτικό έντυπο Αξιοποιήστε στο έπακρο το firewall Next- Generation Η ολοκληρωμένη ορατότητα και ο έλεγχος δικτύου αυξάνουν την επιχειρηματική απόδοση και επιτρέπουν την επιχειρηματική ανάπτυξη με παράλληλη μεγιστοποίηση της ασφάλειας. Για την αντιμετώπιση αυτής της επιχειρηματικής πρόκλησης: Διατηρεί τη ρυθμιστική συμμόρφωση Να παρέχει λεπτομερή ορατότητα και ελέγχο Το firewall επόμενης γενιάς πρέπει: Να εκτελεί προσδιοριστική επίβλεψη της κατάστασης Να ταυτοποιεί και να ελέγχει εφαρμογές και μικροεφαρμογές, ανεξάρτητα από το ποιες θύρες και ποια πρωτόκολλα χρησιμοποιούνται Να ταυτοποιεί χρήστες μέσω παθητικών και ενεργητικών μεθόδων ελέγχου ταυτότητας Να υποστηρίζει επιχειρηματικές ανάγκες με ταυτόχρονο περιορισμό της επικίνδυνης συμπεριφοράς Να εξουσιοδοτεί την κατάλληλη χρήση προσωπικών συσκευών Νο προστατεύει από απειλές Internet Να ταυτοποιεί και να ελέγχει συγκεκριμένες συμπεριφορές εντός των επιτρεπόμενων μικροεφαρμογών Να επιτρέπει τη θεμιτή πρόσβαση στο Internet με ταυτόχρονο αποκλεισμό των ανεπιθύμητων κατηγοριών web Να υποστηρίζει τη διαφοροποιημένη πρόσβαση για ένα ευρύ φάσμα φορητών συσκευών Να ελέγχει ιστότοπους και εφαρμογές που βασίζονται στο web βάσει δυναμικής ανάλυσης φήμης Να προστατεύει από νέες απρόβλεπτες απειλές σε πραγματικό χρόνο Να δίνει τη δυνατότητα ασφαλούς χρήσης κρυπτογράφησης Να παρέχει εξισορρόπηση απαιτήσεων ασφάλειας και απόδοσης Να αποκρυπτογραφεί και να επιθεωρεί την κρυπτογραφημένη κίνηση βάσει πολιτικών Να ικανοποιεί τις προσδοκίες για την απόδοση, ενώ θα εκτελεί πολλαπλές υπηρεσίες ασφάλειας Οι διαχειριστές δικτύων αντιμετωπίζουν τα υψηλότερα επίπεδα αλλαγών στην ιστορία, καθώς επιχειρούν να εξισορροπήσουν την ασφάλεια με την παραγωγικότητα. Οι ραγδαία εξελισσόμενες επιχειρηματικές τάσεις θέτουν την πρόκληση για την παροχή ευρείας αλλά ασφαλούς πρόσβασης στο Internet, η οποία θα επιτρέπει στους εργαζομένους να χρησιμοποιούν θεμιτές επιχειρηματικές εφαρμογές, ενώ χρησιμοποιούν τη συσκευή της επιλογής τους. Οι εφαρμογές έχουν εξελιχθεί ώστε να είναι εξαιρετικά δυναμικές και πολύπλευρες, καθιστώντας έτσι ασαφή τα όρια μεταξύ των θεμιτών επιχειρηματικών εφαρμογών και εκείνων που είναι χρονοβόρες και αυξάνουν την έκθεση μιας εταιρείας σε απειλές οι οποίες βασίζονται στο Internet. Στο παρελθόν, η αποδεκτή χρήση ήταν σχετικά σαφής, όμως οι εφαρμογές μέσων κοινωνικής δικτύωσης, κοινής χρήσης αρχείων και επικοινωνιών στο Internet έχουν εξελιχθεί ώστε να εξυπηρετούν τόσο τις επιχειρηματικές περιπτώσεις χρήσης όσο και τις αυστηρά προσωπικές. Οι εφαρμογές αυτές χρησιμοποιούνται σήμερα ευρέως σε όλα τα επίπεδα ενός οργανισμού. Η κατάσταση γίνεται ακόμα πιο περίπλοκη αν προσθέσουμε στα παραπάνω το γεγονός ότι το σημερινό ανθρώπινο δυναμικό γίνεται όλο και περισσότερο κινητό, με τους χρήστες να χρειάζονται πρόσβαση στο δίκτυο από οπουδήποτε και οποτεδήποτε, από μια ποικιλία εταιρικών και προσωπικών φορητών συσκευών. Το γεγονός αυτό ανάγκασε τις επιχειρήσεις όλων των μεγεθών και τύπων να υιοθετήσουν πολιτικές συνδεσιμότητας BYOD (bring your own device - χρήσης ατομικών συσκευών) για την αύξηση της παραγωγικότητας και της ικανοποίησης των εργαζομένων Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 1 από 8

2 Λόγω αυτών και άλλων επιχειρηματικών τάσεων, οι διαχειριστές δικτύων αντιμετωπίζουν μια μεγάλη πρόκληση: να επιβάλουν τις πολιτικές αποδεκτής χρήσης που απαιτούνται για την προστασία του δικτύου, ενώ ταυτόχρονα να δώσουν τη δυνατότητα ευελιξίας για την επίτευξη και διατήρηση του επιπέδου παραγωγικότητας που απαιτείται για την προώθηση της επιχειρηματικής ανάπτυξης. Απαιτείται μια νέα προσέγγιση στην ασφάλεια - χωρίς να εγκαταλειφθούν οι δοκιμασμένες μέθοδοι - για τη βελτίωση της ορατότητας και του ελέγχου του δικτύου, την επιτάχυνση της καινοτομίας στην επιχείρηση και την προληπτική προστασία από νέες εμφανιζόμενες απειλές. Ωστόσο, αντί να εγκαταλείψουν τα υπάρχοντα firewall με επίβλεψη κατάστασης, οι διαχειριστές πρέπει να εξοπλίσουν αυτές τις δοκιμασμένες συσκευές ασφάλειας με πρόσθετους ελέγχους ασφάλειας βάσει δικτύου, για την ολοκληρωμένη ευφυΐα δικτύου και τις σύγχρονες λειτουργίες ασφάλειας. Επιχειρηματικές προκλήσεις Όπως συζητήθηκε και νωρίτερα, οι εφαρμογές μέσων κοινωνικής δικτύωσης, κοινής χρήσης αρχείων και επικοινωνιών στο Internet οι οποίες κάποτε αποκλείονταν από τα εταιρικά δίκτυα, τώρα υιοθετούνται ως θεμιτές, αποτελεσματικές και οικονομικές μέθοδοι προσέγγισης πελατών και συνεργατών σε όλο τον κόσμο. Σύμφωνα με την Ετήσια αναφορά ασφάλειας Cisco 2013, το 22% όλων των αιτημάτων web κατά την εργασία αφορά την προβολή διαδικτυακών βίντεο και ένα επιπλέον 20% τις επισκέψεις σε τοποθεσίες κοινωνικής δικτύωσης. Επομένως, οι οργανισμοί όλων των μεγεθών έχουν υιοθετήσει τα μέσα κοινωνικής δικτύωσης και τα διαδικτυακά βίντεο. Οι περισσότερες από τις μεγαλύτερες επωνυμίες έχουν παρουσία στο Facebook και στο Twitter, ενώ πολλές ενσωματώνουν τα μέσα κοινωνικής δικτύωσης στα τρέχοντα προϊόντα τους. Ομοίως, ενώ οι συσκευές που είχαν πρόσβαση στο δίκτυο περιορίζονταν κάποτε σε αυτές που κατείχε και έλεγχε αυστηρά το τμήμα ΙΤ, σήμερα ένα μεγάλο φάσμα προσωπικών συσκευών μπορεί επίσης να αποκτήσει ασφαλή πρόσβαση. Παρά τα οφέλη για την επιχειρηματική παραγωγικότητα, αυτές οι τάσεις δικτύωσης εισάγουν επίσης νέους σοβαρούς κινδύνους για την ασφάλεια. Έτσι, οι κύριες επιχειρηματικές προκλήσεις που αντιμετωπίζουν οι οργανισμοί σήμερα είναι η επιβολή των πολιτικών αποδεκτής χρήσης, ο έλεγχος των εφαρμογών αποφυγής, η παροχή εξουσιοδότησης στις προσωπικές συσκευές και η προστασία από τις απειλές στο Internet. Επιβολή πολιτικών αποδεκτής χρήσης Δύο από τα κυριότερα επιχειρηματικά προβλήματα που οι οργανισμοί καλούνται να επιλύσουν επικεντρώνονται στις πολιτικές αποδεκτής χρήσης. Πρώτον, απαιτείται ισχυρό φιλτράρισμα διευθύνσεων URL βάσει περιεχομένου για τον αποκλεισμό προσβλητικών, ακατάλληλων και πιθανώς παράνομων ιστότοπων, όπως είναι αυτοί με περιεχόμενο για ενηλίκους, βίαιο ή ρατσιστικό περιεχόμενο, ιστότοπων που μειώνουν την παραγωγικότητα ή καταναλώνουν υπέρμετρο εύρος ζώνης, όπως είναι το YouTube και ιστότοπων που διακυβεύουν τη συμμόρφωση της εταιρείας με τη νομοθεσία, όπως το BitTorrent και το edonkey. Ομοίως, απαιτείται λεπτομερής έλεγχος των εφαρμογών ώστε να αποκλείεται γνωστό κακόβουλο λογισμικό, όπως οι ανωνυμοποιητές μεσολάβησης, που μπορούν να χρησιμοποιηθούν από εργαζομένους για την παράκαμψη των ελέγχων του ΙΤ. Η επιβολή αποδεκτής χρήσης περιπλέκεται ακόμη περισσότερο από εφαρμογές, όπως το Facebook, το Twitter, το LinkedIn και το Skype. Αυτές έχουν εξελιχθεί σε θεμιτές επιχειρηματικές εφαρμογές, όμως πολλοί οργανισμοί είναι απρόθυμοι να τις επιτρέψουν, καθώς η χρήση τους μπορεί να οδηγήσει σε ευρεία κατάχρηση του εύρους ζώνης και απώλεια της παραγωγικότητας των εργαζομένων Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 2 από 8

3 Έλεγχος εφαρμογών αποφυγής Με την πρόκληση αυτή σχετίζεται η απόκτηση ορατότητας και ελέγχου εφαρμογών που μεταπηδούν θύρες και πρωτόκολλα, όπως το Skype και το BitTorrent. Καθώς η φύση αυτών των εφαρμογών έγκειται στον εντοπισμό διεξόδου, ανεξάρτητα με το τι συμβαίνει με το δίκτυο, μπορούν να θέσουν μοναδικές προκλήσεις στους διαχειριστές που επιχειρούν να αποκλείσουν τη χρήση τους. Στην πράξη, οι διαχειριστές μπορούν να συντάξουν δεκάδες πολιτικές που επιχειρούν να αποκλείσουν μία μόνο από αυτές τις εφαρμογές αποφυγής, ωστόσο εξακολουθούν να αποτυγχάνουν στον επαρκή έλεγχό τους. Εξουσιοδότηση προσωπικών συσκευών Η Ετήσια έκθεση ασφάλειας Cisco 2011 διαπίστωσε ότι το 81% των φοιτητών πιστεύουν ότι θα πρέπει να μπορούν να επιλέξουν τις συσκευές που χρειάζονται για την εργασία τους. Το 77% των εργαζομένων που συμμετείχαν στις μελέτες παγκοσμίως χρησιμοποιεί πολλές συσκευές για την πρόσβαση στο εταιρικό δίκτυο και, πάνω από το ένα τρίτο από αυτούς χρησιμοποιούν τουλάχιστον τρεις συσκευές για την εργασία τους. Ως αποτέλεσμα, σύμφωνα με την έκθεση Cisco 2012 Global IBSG Horizons Report, το 84% των υπεύθυνων ΙΤ αναφέρουν ότι το τμήμα ΙΤ στις εταιρείες τους προσαρμόζεται γίνεται πιο εμπορευματοποιημένο. Η Ετήσια έκθεση ασφάλειας Cisco 2013 υποστηρίζει αυτά τα ευρήματα, σημειώνοντας ότι μόνο στα δύο προηγούμενα χρόνια, η Cisco διαπίστωσε αύξηση της τάξης του 79% στο πλήθος των φορητών συσκευών που χρησιμοποιούνται από τους εργαζομένους της και η συντριπτική πλειονότητα αυτών των συσκευών είναι προσωπικές ("bring your own"). Αυτές οι τάσεις έχουν θέσει τη συνδεσιμότητα BYOD σε προτεραιότητα για τους περισσότερους οργανισμούς, με τις πρωτοβουλίες φορητότητας να καταναλώνουν κατά μέσο όρο το 23% των προϋπολογισμών IT έως το 2014, σε σύγκριση με το 18% το Ενώ πριν από λίγα μόλις χρόνια, ένας οργανισμός έπρεπε μόνο να προσδιορίσει ποιος θα έχει πρόσβαση στο δίκτυο και στα ευαίσθητα εταιρικά δεδομένα, η συνδεσιμότητα BYOD έχει προσθέσει νέα επίπεδα πολυπλοκότητας στις αποφάσεις αυτές. Σήμερα, οι οργανισμοί πρέπει να προσδιορίσουν εάν οι εργαζόμενοι που έχουν δικαίωμα πρόσβασης σε τέτοια δεδομένα, θα έχουν πρόσβαση μόνο όταν χρησιμοποιούν συσκευές οι οποίες ανήκουν στην εταιρεία και συντηρούνται από αυτήν ή εάν θα μπορούν να χρησιμοποιήσουν και δικές τους, προσωπικές συσκευές. Εάν οι προσωπικές συσκευές είναι αποδεκτές, θα είναι όλες οι συσκευές αποδεκτές ή μόνο ορισμένες; Οι εργαζόμενοι θα πρέπει να βρίσκονται εντός του εταιρικού δικτύου LAN ή θα παρέχεται το κατάλληλο επίπεδο ασφάλειας και από απομακρυσμένες συνδέσεις VPN; Προστασία από απειλές Internet Οι απειλές Internet αποτελούν ένα ακόμη ζήτημα για τους οργανισμούς όλων των μεγεθών. Παρόλο που εργαλεία, όπως είναι οι εφαρμογές κοινής χρήσης αρχείων και μέσων κοινωνικής δικτύωσης, έχουν παρουσιάσει θετική επίδραση στην παραγωγικότητα των εργαζομένων, ωστόσο ενέχουν κινδύνους: Χάκερ και άλλοι συντάκτες κακόβουλων προγραμμάτων μπορούν να τα εκμεταλλευτούν για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στο δίκτυο ή να μεταδώσουν κάποιο κακόβουλο λογισμικό στο δίκτυο. Οι εφαρμογές απομακρυσμένου ελέγχου, όπως το TeamViewer και το PC Anywhere, μπορούν να αυξήσουν σημαντικά την παραγωγικότητα των ατόμων και των ομάδων, όμως οι συντάκτες κακόβουλου λογισμικού μπορούν να χρησιμοποιήσουν τυχόν ευπάθειες των εφαρμογών αυτών για να αποκτήσουν τον έλεγχο των πόρων του δικτύου. Επιπλέον, η χρήση εφαρμογών κοινής χρήσης αρχείων, όπως το Dropbox και το icloud, καθιστούν δυνατή την αποστολή ευαίσθητων εταιρικών δεδομένων στο cloud, όπου ο οργανισμός δεν έχει πλέον τον έλεγχο της διανομής τους Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 3 από 8

4 Επίσης, κακόβουλο λογισμικό μπορεί να υποδυθεί γνωστές εφαρμογές που εκτελούνται σε ανοικτές θύρες, μπορεί να ενσωματωθεί σε θεμιτές εφαρμογές όπου έχουν ανακαλυφθεί ευπάθειες ή μπορεί να εγκατασταθεί ως "διερχόμενο" στοιχείο λήψης από ιστότοπους εξαπάτησης - ή νόμιμους ιστότοπους που έχουν προσβληθεί. Οι τεχνικές κοινωνικής μηχανικής (social engineering) που στοχεύουν σε χρήστες των μέσων κοινωνικής δικτύωσης έχουν αποδειχθεί επίσης αποτελεσματικές. Οι εφαρμογές αυτές έχουν διδάξει στους εργαζομένους ότι είναι απολύτως φυσιολογικό να κάνουν κλικ σε συνδέσμους που περιλαμβάνονται σε μηνύματα και να κατεβάζουν περιεχόμενο από άγνωστους ιστότοπους, παρά τις επίμονες προειδοποιήσεις από το IT για την αποφυγή τέτοιας συμπεριφοράς. Απαιτείται μια προληπτική, ολοκληρωμένη προσέγγιση στην ασφάλεια του δικτύου Οι υπεύθυνοι των επιχειρήσεων κατανοούν ότι η ευελιξία είναι ουσιαστική για τη μεγιστοποίηση της παραγωγικότητας. Πώς, όμως, θα επωφεληθούν από την παραγωγικότητα και τα πλεονεκτήματα κόστους που παρέχουν οι επιχειρηματικές και τεχνολογικές τάσεις, ενώ ταυτόχρονα θα προστατεύονται από τις προκλήσεις που παρουσιάζουν οι τάσεις αυτές για την ασφάλεια; Η απάντηση έγκειται στη δυνατότητα να μεγιστοποιήσει ένας οργανισμός την ορατότητα στην κίνηση του δικτύου του μέσω πλήρους γνώσης του περιβάλλοντος. Όταν οι διαχειριστές μπορούν να βλέπουν με σαφήνεια τις λεπτομέρειες της κίνησης δικτύου, μπορούν να λάβουν πιο έξυπνες αποφάσεις. Η ορατότητα σε εφαρμογές και αναγνωριστικά χρηστών, παρόλο που είναι χρήσιμη, δεν παρέχει την πλήρη γνώση του περιβάλλοντος που απαιτείται ώστε να επιτρέπονται με ασφάλεια νέες εφαρμογές, συσκευές και επιχειρηματικά σενάρια. Η πλήρης γνώση περιβάλλοντος περιλαμβάνει τα παραπάνω, καθώς και φιλτράρισμα διευθύνσεων URL επιχειρηματικού επιπέδου, δυναμική φήμη στο διαδίκτυο, γνώση συσκευών και κατανόηση της θέσης του χρήστη και της συσκευής. Ορατότητα και έλεγχος εφαρμογών Όπως αναφέρθηκε παραπάνω, η γνώση των εφαρμογών αποτελεί μια βασική απαίτηση για οποιοδήποτε τείχος προστασίας επόμενης γενιάς. Ωστόσο, είναι ζωτικής σημασίας, το τείχος προστασίας να αναγνωρίζει περισσότερα από τις ίδιες τις εφαρμογές. Πρέπει να αναγνωρίζει επίσης και να παρέχει τη δυνατότητα αποκλεισμού των μικροεφαρμογών που αποτελούν τη συγκεκριμένη εφαρμογή. Αυτό είναι ιδιαίτερα σημαντικό για τις εφαρμογές κοινωνικής δικτύωσης, όπως το Facebook και το LinkedIn. Η απλή αναγνώριση αυτών των εφαρμογών παρέχει μόνο τη δυνατότητα αποκλεισμού ή μη της εφαρμογής στο σύνολό της. Για παράδειγμα, μια εταιρεία μπορεί να θέλει να παρέχει πρόσβαση στο Facebook, ώστε το προσωπικό πωλήσεων και marketing να μπορεί να δημοσιεύει στη σελίδα της εταιρείας στο Facebook και να επικοινωνεί με πελάτες και συνεργάτες, αλλά να μην έχει το δικαίωμα πρόσβασης στα παιχνίδια του Facebook. Με την αναγνώριση της κάθε μικροεφαρμογής ξεχωριστά, οι διαχειριστές μπορούν να εκχωρούν διαφορετικά δικαιώματα πρόσβασης στην καθεμία. Επιπλέον, με την αναγνώριση συγκεκριμένων συμπεριφορών εντός αυτών των μικροεφαρμογών, το τείχος προστασίας μπορεί να παρέχει στους διαχειριστές ακόμη πιο λεπτομερή έλεγχο. Για παράδειγμα, συγκεκριμένες συμπεριφορές εντός της μικροεφαρμογής "Facebook Messages and Chat" αποτελούν η "αποστολή συνημμένου", η "λήψη συνημμένου" και η "συνομιλία μέσω βίντεο". Ενώ οι περισσότερες από αυτές τις συμπεριφορές μπορεί να φαίνονται κατάλληλες επιχειρηματικές δραστηριότητες, η συμπεριφορά "λήψη συνημμένου" θεωρείται πιθανότατα από το προσωπικό ασφάλειας ως εγγενώς επικίνδυνη. Χρησιμοποιώντας ένα firewall που μπορεί να αναγνωρίζει συγκεκριμένες συμπεριφορές εντός μιας μικροεφαρμογής, οι διαχειριστές μπορούν να επιτρέπουν τη μικροεφαρμογή "Facebook Messages and Chat", απαγορεύοντας όμως τη "λήψη συνημμένου" Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 4 από 8

5 Οι εφαρμογές αποφυγής, όπως το Skype, μπορούν επίσης να ελέγχονται αποτελεσματικά εάν το firewall μπορεί να παρακολουθεί όλες τις θύρες και τα πρωτόκολλα και να επιτρέπει τον ορισμό πολιτικής που θα βασίζεται αποκλειστικά στην ταυτοποίηση της ίδιας της εφαρμογής. Καθώς οι εφαρμογές,όπως το Skype, φέρουν πάντα το ίδιο αναγνωριστικό εφαρμογής, ανεξάρτητα από το ποια θύρα ή ποιο πρωτόκολλο χρησιμοποιούν για έξοδο από το δίκτυο, η προσθήκη μιας πολιτικής "Block Skype" μπορεί να παρέχει μεγαλύτερη αποτελεσματικότητα, ενώ απαιτεί λιγότερες πολιτικές σε σύγκριση με τη σύνταξη δεκάδων πολιτικών firewall με επίβλεψη κατάστασης για τον αποκλεισμό του κάθε πιθανού συνδυασμού. Έτσι, εξοικονομείται χρόνος για τους διαχειριστές στην αρχική ανάπτυξη και τη συνεχή διαχείριση των πολιτικών, γεγονός το οποίο μεταφράζεται σε λειτουργική αποτελεσματικότητα για την επιχείρηση. Τέλος, ελέγχοντας ποιοι θα έχουν πρόσβαση σε εφαρμογές κοινής χρήσης αρχείων, καθώς και ποιες συμπεριφορές εφαρμογών θα επιτρέπεται να χρησιμοποιηθούν, οι διαχειριστές μπορούν να προστατεύουν τα κρίσιμα δεδομένα του οργανισμού, επιτρέποντας παράλληλα στους εργαζομένους να αξιοποιούν ισχυρά επιχειρηματικά εργαλεία. Προηγμένη ταυτοποίηση χρηστών Η γνώση των χρηστών αποτελεί ένα ακόμη βασικό συστατικό του firewall επόμενης γενιάς. Τα περισσότερα τείχη παρέχουν παθητικό έλεγχο ταυτότητας μέσω μιας εταιρικής υπηρεσίας καταλόγου, όπως είναι ο Ενεργός κατάλογος (Active Directory, AD). Η δυνατότητα αυτή επιτρέπει στους διαχειριστές να επιβάλλουν πολιτικές βάσει του ποιος είναι ένας χρήστης ή σε ποιες ομάδες ανήκει. Ενώ αυτή η ταυτοποίηση από μόνη της έχει σχετικά μικρή αξία, εντούτοις σε συνδυασμό με τη γνώση των εφαρμογών που επισημάνθηκε παραπάνω, οι διαχειριστές μπορούν να τη χρησιμοποιήσουν για να επιτρέπουν διαφοροποιημένη πρόσβαση σε συγκεκριμένες εφαρμογές. Για παράδειγμα, το τμήμα marketing και πωλήσεων μπορεί να έχει μια θεμιτή επιχειρηματική ανάγκη για πρόσβαση σε εργαλεία μέσων κοινωνικής δικτύωσης, ενώ το τμήμα οικονομικών να μην χρειάζεται κάτι τέτοιο. Εκτός από τον παθητικό έλεγχο ταυτότητας, κάποια firewall επόμενης γενιάς έχουν επεκτείνει αυτήν τη δυνατότητα, ώστε να συμπεριλαμβάνουν υποστήριξη για ενεργητικό έλεγχο ταυτότητας για επιχειρηματικές περιπτώσεις χρήσης που απαιτούν αυστηρότερα μέτρα ασφάλειας. Ενώ ο παθητικός έλεγχος ταυτότητας βασίζεται σε απλή αναζήτηση της υπηρεσίας καταλόγου και εμπιστεύεται το γεγονός ότι έχει ταυτοποιήσει σωστά τον χρήστη μέσω της αντιστοίχισης ονόματος χρήστη και διεύθυνσης IP, ο ενεργητικός έλεγχος ταυτότητας απαιτεί ένα πρόσθετο επίπεδο ασφάλειας και χρησιμοποιεί μηχανισμούς, όπως το Kerberos και το NT LAN Manager (NTLM). Αυτό μπορεί να εκτελεστεί είτε με ερώτηση στο πρόγραμμα περιήγησης, το οποίο με τη σειρά του στέλνει μια συνεχή απόκριση βάσει των διαπιστευτηρίων σύνδεσης του χρήστη είτε με πρόκληση του χρήστη με μια ερώτηση σχετικά με την εξουσιοδότησή του. Σε κάθε περίπτωση, ο διαχειριστής ασφάλειας πραγματοποιεί τον έλεγχο ταυτότητας του χρήστη και δεν βασίζεται μόνο στην αντιστοίχιση ονόματος χρήστη και διεύθυνσης IP. Αυτό είναι σημαντικό για οργανισμούς που πρέπει να παρέχουν πρόσβαση σε ευαίσθητες πληροφορίες, όπως είναι τα δεδομένα πιστωτικών καρτών των πελατών ή μια βάση δεδομένων που περιέχει πληροφορίες ιατρικής περίθαλψης Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 5 από 8

6 Γνώση των συσκευών Για οργανισμούς που έχουν υιοθετήσει τη συνδεσιμότητα BYOD ως μια επιχειρηματική πραγματικότητα, η επίτευξη μιας ισορροπίας μεταξύ παραγωγικότητας και ασφάλειας απαιτεί λεπτομερή ορατότητα στις συγκεκριμένες συσκευές οι οποίες επιχειρούν την πρόσβαση στο δίκτυο, επιτρέποντας στους διαχειριστές να επιβάλλουν διαφοροποιημένες πολιτικές ανάλογα με τη χρησιμοποιούμενη συσκευή. Για παράδειγμα, ένας οργανισμός μπορεί να αποφασίσει να επιτρέπει σε συσκευές iphone 4 την πρόσβαση στους περισσότερους πόρους του δικτύου, ενώ θα απαγορεύει ή θα περιορίζει την πρόσβαση σε προηγούμενες εκδόσεις του iphone ή μπορεί να παραχωρεί πρόσβαση σε ένα iphone 4 αλλά όχι σε ένα iphone 4S. Ομοίως, ο οργανισμός μπορεί να παραχωρεί πρόσβαση σε υπολογιστές με Windows και να απαγορεύει την πρόσβαση σε υπολογιστές Mac. Επιπλέον, εάν το firewall είναι εξοπλισμένο με δυνατότητα γνώσης τοποθεσίας, μπορούν να επιβληθούν διαφορετικές πολιτικές με βάση το εάν η συσκευή βρίσκεται εντός του δικτύου LAN ή συνδέεται εξ αποστάσεως. Διαδικτυακή Ασφάλεια Οι δυνατότητες φιλτραρίσματος διευθύνσεων URL και του διαδικτύου επιτρέπουν την πρόσβαση σε κατάλληλες εφαρμογές και περιεχόμενο, αποτρέποντας ταυτόχρονα τη χρήση αυτών που ενδεχομένως να αυξάνουν τον κίνδυνο, να υποβαθμίζουν την παραγωγικότητα ή να προκαλούν απώλεια εμπιστευτικών πληροφοριών. Οι περισσότερες συσκευές διαδικτυακής ασφάλειας παρέχουν βασικό διαδικτυακό φιλτράρισμα με βάση ευρείες κατηγορίες, καθώς και τη δυνατότητα ταξινόμησης συγκεκριμένων ιστότοπων σε επιτρεπόμενους και αποκλειόμενους. Πολλοί κατασκευαστές συμπεριλαμβάνουν επίσης μια βάση δεδομένων με γνωστές "κακόβουλες" διευθύνσεις URL στην ίδια τη συσκευή. Ωστόσο, λόγω της δυναμικής φύσης του Internet, αυτές οι δυνατότητες δεν επαρκούν. Σύμφωνα με τον μη κερδοσκοπικό οργανισμό stopbadware.org, περισσότεροι από ένα εκατομμύριο ιστότοποι παρέχουν σήμερα κακόβουλο λογισμικό και άλλο λογισμικό που ενεργεί χωρίς την άδεια του χρήστη (αναφέρεται επίσης συχνά ως "γκρίζο λογισμικό" (greyware)). Καθώς χιλιάδες νέες διευθύνσεις URL προστίθενται στη λίστα κάθε εβδομάδα, η διαδικτυακή ασφάλεια που περιορίζεται σε μια στατική έτοιμη λίστα δεν θα μπορέσει ποτέ να ανταποκριθεί με τις τρέχουσες ανάγκες. Επομένως, εκτός από αυτές τις δυνατότητες, οι οργανισμοί χρειάζονται ένα φιλτράρισμα διευθύνσεων URL που θα ενημερώνεται συνεχώς για προστασία σε σχεδόν πραγματικό χρόνο από τις συνεχώς εξελισσόμενες απειλές. Επίσης, το firewall πρέπει να έχει τη δυνατότητα ταυτοποίησης και διακοπής του κακόβουλου λογισμικού το οποίο υποδύεται γνωστές εφαρμογές που εκτελούνται σε ανοικτές θύρες, χωρίς να αναστέλλει την επιχειρηματική αξία των θεμιτών επιχειρηματικών εργαλείων τα οποία χρησιμοποιούν αυτές τις θύρες. Αυτή η δυνατότητα μπορεί να ενισχυθεί περαιτέρω με τη χρήση καθολικών δεδομένων και πληροφοριών κίνησης εφαρμογών ώστε να παρέχει πληροφορίες απειλών σε σχεδόν πραγματικό χρόνο, συμπεριλαμβανομένης της ανάλυσης φήμης η οποία βασίζεται στη συμπεριφορά που επιδεικνύεται από έναν συγκεκριμένο ιστότοπο ή διαδικτυακή εφαρμογή. Εάν κάποιος πάροχος λαμβάνει πληροφορίες κίνησης από ένα μεγάλο αριθμό προελεύσεων από ολόκληρο τον κόσμο και παρέχει ενημερώσεις με αρκετά υψηλή συχνότητα, τα καθολικά δεδομένα μπορούν επίσης να συμβάλλουν στην προστασία του οργανισμού από νέες απρόβλεπτες απειλές. Για να επιτρέπουν αυτές τις περιπτώσεις χρήσης χωρίς να υποβαθμίζουν την ασφάλεια, κάποιοι οργανισμοί ΙΤ έχουν αντικαταστήσει τις σειρές προϊόντων firewall με επίβλεψη κατάστασης με προϊόντα τα οποία παρέχουν πρόσθετα επίπεδα ορατότητας και, επομένως, ανώτερο έλεγχο. Παρόλο που η πρόσθετη ορατότητα σπάνια θεωρείται μειονέκτημα, τα περισσότερα από αυτά τα τείχη προστασίας επόμενης γενιάς διατίθενται με συμβιβασμούς, οι οποίοι είναι σημαντικό να είναι κατανοητοί από τους διαχειριστές και τους υπεύθυνους επιχειρήσεων πριν από τη λήψη μιας απόφασης αγοράς Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 6 από 8

7 Περιορισμένη ορατότητα: Ένα πρόβλημα που έχει επιλυθεί κατά το ήμισυ Η άποψη ότι η παροχή πρόσθετης ορατότητας στην κίνηση του δικτύου έχει τεράστια πλεονεκτήματα ασφάλειας είναι ευρέως αποδεκτή. Η ενισχυμένη ορατότητα δικτύου παρέχει στους διαχειριστές τη δυνατότητα να αναπτύσσουν και να επιβάλλουν πιο λεπτομερείς πολιτικές ασφάλειας με εξαιρετική προστασία των εταιρικών πόρων. Αυτός είναι ο λόγος για τον οποίο οι δυνατότητες γνώσης εφαρμογών και ταυτότητας χρηστών αποτελούν τον πυρήνα για τα firewall επόμενης γενιάς. Ωστόσο, πολλά firewall επόμενης γενιάς επικεντρώνουν ολόκληρη τη λύση αποκλειστικά σε αυτά τα δύο στοιχεία, υποβαθμίζοντας οποιοδήποτε άλλο. Σίγουρα, κάποιος βαθμός ορατότητας είναι καλύτερος από τη μηδενική ορατότητα, όπως όμως έχει αναφερθεί στο παρόν έντυπο, υπάρχουν τόσα πολλά στοιχεία που εξελίσσονται σε ένα τυπικό εταιρικό δίκτυο, που η γνώση των εφαρμογών και της ταυτότητας χρηστών από μόνη της δεν επαρκεί για την παροχή ικανοποιητικής ορατότητας και τη λήψη έξυπνων αποφάσεων για την ασφάλεια. Εκτός από αυτές τις δυνατότητες, μια ολοκληρωμένη λύση ασφάλειας πρέπει να παρέχει στους διαχειριστές τη δυνατότητα να ελέγχουν συγκεκριμένες συμπεριφορές εντός των επιτρεπόμενων μικροεφαρμογών, να περιορίζουν τη χρήση του web και των διαδικτυακών εφαρμογών με βάση τη φήμη του ιστότοπου, να προστατεύουν εκ των προτέρων από απειλές Internet και να επιβάλλουν διαφοροποιημένες πολιτικές βάσει χρήστη, συσκευής, ρόλου και τύπου εφαρμογής. Αναζητώντας τα πλεονεκτήματα και των δύο προσεγγίσεων Παρά τα πολλά πλεονεκτήματα της χρήσης ενός firewall επόμενης γενιάς, υπάρχουν και κάποια μειονεκτήματα που πρέπει να ληφθούν υπόψη. Επομένως, οι υπεύθυνοι επιχειρήσεων πρέπει να αξιολογήσουν πλήρως τις επιλογές τους προτού λάβουν μια απόφαση για την αγορά. Πολλοί κατασκευαστές τείχους προστασίας επόμενης γενιάς επιβάλλουν στους πελάτες την εγκατάλειψη των υπάρχοντων firewall και όλων των συσχετισμένων πολιτικών ασφάλειας, έτσι ώστε να κάνουν μια νέα αρχή με όλες τις νέες πολιτικές ασφάλειας που έχουν συνταχθεί ειδικά για την πλατφόρμα firewall επόμενης γενιάς. Αυτή η εξολοκλήρου αντικατάσταση είναι απαραίτητη επειδή τα περισσότερα firewall επόμενης γενιάς διαφέρουν θεμελιωδώς από τα υπάρχοντα κλασικά ή τα firewall με επίβλεψη κατάστασης και λειτουργούν σε ένα τελείως διαφορετικό υπολογιστικό επίπεδο. Ενώ τα firewall με επίβλεψη κατάστασης λειτουργούν στα επίπεδα δικτύου και μεταφοράς της υπολογιστικής αρχιτεκτονικής, τα firewall επόμενης γενιάς λειτουργούν σε επίπεδο εφαρμογής. Έτσι, οι υπάρχουσες πολιτικές firewall δεν θα μπορούν να χρησιμοποιηθούν στο νέο μοτίβο και επομένως, θα πρέπει να συνταχθούν εξολοκλήρου από την αρχή. Αυτό δεν είναι καθόλου γρήγορη και εύκολη υπόθεση. Οι περισσότεροι οργανισμοί διαθέτουν χιλιάδες πολιτικές, ενώ οι μεγάλοι οργανισμοί μπορεί να διαθέτουν δεκάδες χιλιάδες. Μπορεί να χρειαστούν λοιπόν πολλοί μήνες και σημαντικό ποσό από τον προϋπολογισμό για να ολοκληρωθεί. Επιπλέον, η ασφάλεια που εκτελείται σε επίπεδο εφαρμογής είναι από τη φύση της ένα λεπτομερέστερο επίπεδο επίβλεψης και μπορεί να προκαλέσει υποβάθμιση της απόδοσης του δικτύου. Η αντικατάσταση του τείχους προστασίας με επίβλεψη κατάστασης σε έναν οργανισμό με κάποιο firewall που έχει σχεδιαστεί αποκλειστικά για λειτουργία σε επίπεδο εφαρμογής, μπορεί επίσης να διακυβεύσει τη συμμόρφωση του οργανισμού με τους κανονισμούς του κλάδου, καθώς πολλοί ρυθμιστικοί φορείς ορίζουν σαφώς την ανάγκη για επίβλεψη κατάστασης. Καθώς οι πολιτικές firewall βάσει εφαρμογής και ταυτότητας χρήστη είναι μη προσδιοριστικές, εάν ο οργανισμός βασίζεται αποκλειστικά σε ένα firewall επόμενης γενιάς μπορεί να διακινδυνεύσει την αποτυχία σε κάποια επιθεώρηση Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 7 από 8

8 Ωστόσο, κάποιοι κατασκευαστές firewall παρέχουν μια υβριδική προσέγγιση, στην οποία συνδυάζονται οι δυνατότητες firewall με επίβλεψη κατάστασης και τείχους προστασίας επόμενης γενιάς. Καθώς αυτά τα τείχη προστασίας υποστηρίζουν τόσο την επίβλεψη κατάστασης όσο και τις δυνατότητες επόμενης γενιάς, οι οργανισμοί μπορούν να εξακολουθήσουν να χρησιμοποιούν τις υπάρχουσες πολιτικές τους, ενώ παράλληλα θα αναπτύσσουν νέους κανόνες επόμενης γενιάς. Δεν είναι υποχρεωμένοι να εγκαταλείψουν το ένα για το άλλο, επομένως μπορούν να αντικαθιστούν τις παλαιές πολιτικές σταδιακά, καθώς αυτό είναι περισσότερο εύλογο για τις ανάγκες ασφάλειας. Επιπλέον, δεν απαιτεί όλη η κίνηση το λεπτομερέστερο επίπεδο επίβλεψης που εκτελείται από τα firewall επόμενης γενιάς, επομένως το υβριδικό μοντέλο επιτρέπει στους οργανισμούς να διατηρούν περισσότερη από την απόδοση του δικτύου τους εκτελώντας το λεπτομερέστερο επίπεδο επίβλεψης μόνο στην κίνηση και στις περιπτώσεις χρήσης όπου απαιτείται. Με τον τρόπο αυτό, οι οργανισμοί μπορούν να επιτυγχάνουν ένα ανώτερο επίπεδο ασφάλειας, μεγιστοποιώντας παράλληλα την ευκαμψία στην επιχείρηση. Συμπέρασμα Τάσεις, όπως είναι η συνδεσιμότητα BYOD και η υιοθέτηση εφαρμογών κοινωνικής δικτύωσης και άλλων "γκρίζων" εφαρμογών ως θεμιτών επιχειρηματικών εργαλείων, έχουν σημαντική συνέπειες σε οργανισμούς όλων των μεγεθών. Ωστόσο, τα firewall επόμενης γενιάς τα οποία παρέχουν μόνο γνώση εφαρμογών και ταυτότητας χρηστών δεν επαρκούν για την παροχή του επιπέδου ορατότητας δικτύου που απαιτείται για την ασφαλή χρήση τους. Αντίθετα, ελέγχοντας το πλήρες περιβάλλον της κίνησης δικτύου, οι διαχειριστές έχουν τη δυνατότητα να επιβάλλουν ενεργά πολιτικές ασφάλειας που βασίζονται σε υψηλότερο επίπεδο ορατότητας δικτύου και πληροφόρησης. Χρησιμοποιώντας ένα firewall που συνδυάζει τις δυνατότητες επίβλεψης κατάστασης με την πλήρη γνώση περιβάλλοντος, οι οργανισμοί μπορούν να επιτύχουν μια ισορροπία ανάμεσα στο υψηλό επίπεδο ασφάλειας δικτύου που απαιτείται για την υποστήριξη αυτών των νέων επιχειρηματικών περιπτώσεων και στην ευκαμψία που απαιτείται για τη μεγιστοποίηση της ευελιξίας στην επιχείρηση. Κεντρικά Γραφεία Αμερικής Cisco Systems, Inc. San Jose, CA Κεντρικά Γραφεία Ασίας-Ειρηνικού Cisco Systems (ΗΠΑ) Pte. Ltd. Σιγκαπούρη Κεντρικά Γραφεία Ευρώπης Cisco Systems International BV Άμστερνταμ, Ολλανδία Η Cisco έχει πάνω από 200 γραφεία παγκοσμίως. Οι διευθύνσεις, οι αριθμοί τηλεφώνου και οι αριθμοί φαξ παρατίθενται στον ιστότοπο της Cisco, στη διεύθυνση Η ονομασία Cisco και το λογότυπο Cisco αποτελούν εμπορικά σήματα ή σήματα κατατεθέντα της Cisco ή/και των θυγατρικών της στις Η.Π.Α. και σε άλλες χώρες. Για να δείτε μια λίστα των εμπορικών σημάτων της Cisco, μεταβείτε στη διεύθυνση URL: Τα εμπορικά σήματα τρίτων μερών που αναφέρονται αποτελούν ιδιοκτησία των αντίστοιχων κατόχων τους. Η χρήση της λέξης "συνεργάτης" δεν υπονοεί την ύπαρξη εταιρικής σχέσης μεταξύ της Cisco και οποιασδήποτε άλλης εταιρείας. (1110R) Εκτυπώθηκε στις ΗΠΑ C / Cisco ή/και οι θυγατρικές της. Με την επιφύλαξη παντός δικαιώματος. Αυτό είναι ένα ενημερωτικό έγγραφο της Cisco για το κοινό. Σελίδα 8 από 8