Начал ковыряться с новым продуктом Untangle, который мне посоватевал Евгена-сан, в качестве альтернативы VPN серверу, который я начал ковырять некоторое время назад, поскольку IPSEC от D-Link на замечательной железке DFL-210 отказывался подниматься, а Checkpoint UTM – клиент зажался приобретать.
Почитав немного про Untangle на их оффсайте, пришел в неописуемый восторг, поскольку производитель этого open-source продукта предлагает большое количество бесплатных, и платных модулей к своему решению, построенному на базе Debian GNU/Linux. Само по себе решение очень классное и представляет наборный шлюз, который поднимается в минимальной конфигурации и управляется через веб-консоль, при этом давая возможность сисадмину подключать и отключать те или иные модули, предлагаемые в виде дополнительного софта: spam blocker, phish blocker, spyware blocker, web filter, kaspersky antivirus, commtouch spam booster, wan failover, wan balancer, virus blocker, IPS, protocol control, firewall, captive portal, ad clocker, policy manager, directory connector, openVPN, attack blocker, bandwidth control, web cache и некоторое количество тулзов для управления.
Самое главное, что часть основных блейдов (по аналогии с checkpoint назову их так) предоставляется бесплатно- это фаерволл, openVPN, web filter lite, virus/spam/attack/phish/spyware blocker. Остальные можно поставить на 14дней и поковырявшись, прикупить себе уже в нормальное использование- меня например сразу заинтересовали bandwidth control и wan failover поскольку воротить такое руками муторно, а у производителя Untangle эти решения стоят по:
630 баксов на три года за bandwidth – позволяющий QoSить и лимитить юзверей по использованию канала;
126 баксов за три года wan failover, позволяющего построить полноценный isp redundancy, который у checkpoint например стоит полтора косаря за год;
модуль Каспера, позволяющий поднять полноценное сканирование на ходу от всевозможных угроз на всем многообразии протоколов, обойдется в 252 бакса на три года;
полноценный Web-filter выйдет в 630 грина на три года, при том что фильтрует по 53 категориям, на 20 языках, и держит в базе на данный момент около 450М веб-сайтов.
Управление порталом очень удобное и более того- он встает как на стандартную машину с минимальной конфигурацией: P4 Processor (или аналогичный AMD), 80 GB HDD, 2 NIC и 1 GB RAM; так и на VMware Workstation и ESXi- единственный момент что в случае ESXi надо заводить ручками диск и карточки, так как Untangle не понимает vmware дрова использующиеся платформой ESXi, поэтому пришлось драйв ставить BusLogic, а сетевухи e1000. На Workstation же встал без проблем (кстати на том в 16 гигов), в течении буквально 10-15 минут элементарного инсталлятора. Также на сайте компании, предлагается приобрести у них либо сервак, спецом заточенный под платформу Untangle, либо же специальную UTM’ку их же производства.
Но вот после установки на сервер, начались довольно интересные грабли, о которых я расскажу несколько позднее.
Дали потестить одну из последних новинок компании Check Point, продукт под названием Abra. Решение представляет собой флеш носитель, емкостью 4 и 8Gb, с поддержкой аппаратного шифрования 256-битным AES. Но поскольку аппаратным шифрованием сейчас можно удивить только какого либо человека, очень далекого от безопасности и it вообще, то основной фишкой решения является то, что оно организует Secure virtual workspace, а проще говоря запускает защищенную, виртуальную копию установленной операционной системы Windows, которая работает как независимая система, отгороженная от имеющейся на машине комплексом безопасности, включающем в себя антивирус, фаервол и систему предотвращения вторжений. Abra поддерживает такие операционные системы как Windows 7/Vista/XP, пока правда только 32хитные версии. При старте системы Abra проверяет имеется ли в системе антивирус, какие актуальные патчи установлены и после этого сканирует операционную память на предмет обнаружения работы злонамеренного программного обеспечения. После этого, запускается диалог доступа к данным, заключающийся в воде пароля устанавливаемого при первичной инициализации устройства и если пароль введен корректно, то запускается виртуальное пространство, которое разрешает доступ только к определенным, установленной политикой, программам. Для ввода пароля используется виртуальная клавиатура, которая тем самым предотвращает перехват пароля кейлоггерами.Из запущенного пространства уже можно установить IPSec VPN соединение со своим шлюзом, и работать через него в своей сети. После установления VPN соединения клиент Abra подтягивает со шлюза политики локального фаервола и ips, которые будут использованы по умолчанию при следующем запуске системы. Также при установлении VPN соединения обновляется локальный антивирус Abra. В дополнение к этому клиент получает список разрешенного для использования программного обеспечения, но для использования это ПО должно быть установлено на машине, на которой запускается Abra. Эта политика версия-независима, то есть разрешив Microsoft office мы дадим пользователю возможность пользоваться любым, имеющимся в наличии офисом.
При работе пользователю блокируется доступ к локальному диску, так что пользоваться он может только файлами, хранящимися на флеш-носителе, или полученными по сети. Использование оперативной памяти разделено с компьютером, поэтому вирусы и другое злонамеренное ПО не способно проникнуть внутрь виртуальной системы, что предохраняет от угрозы заражения как сами файлы пользователя, так и его корпоративную сеть, с которой он установит защищенное соединение. И главное этот механизм работы не требует дополнительных лицензий, как например стандартная виртуальная машина, как для операционной системы, так и для используемого ПО. Во время работы виртуальное окружение создает защищенный канал доступа к установленному на компьютере ПО, организуя безопасную работу пользователя с разрешенным политиками безопасности программами.Принцип работы таков, что после успешного логина, в виртуальном окружении, запускается новая оболочка explorer.exe и все остальные процессы запускаются по отношению к этому процессу как к родительскому, что и позволяет Abra контролировать выполнение приложений с безопасной среде. Все вызовы к приложениям перенаправляются к флеш драйву, то есть все приложения запускаемые внутри виртуальной системы работают внутри виртуальной файловой системы и реестра, находящихся на флеш-носителе, где они шифруются сразу в процессе записи на носитель.
Благодаря устройству Abra пользователь может получить доступ к своим файлам и корпоративной сети практически с любой машины, подпадающей под определение не доверенных узлов, не боясь нанести урон своей сети или данным хранимым на носителе. Также в случае потери, данные не станут доступны похитителям или людям, случайно нашедшим утерянный флеш-носитель, а ведь не секрет, что большинство громких утечек данных на западе были вызваны кражей или потерей ноутбуков. Более того, данное решение позволяет пользователю отказаться от стандартного ноутбука, который постоянно приходится носить с собой и который свои фактом присутствия, уже является целью для воров. С Abra весь функционала ноутбука помещается к кармане рубашки или джинсов, позволяя использовать мощности любого доступного пользователю компьютера, не задумываясь при этом о потенциальных угрозах которые может нести сторонний компьютер не подпадающий под используемые в компании политики безопасности. И тем самым для нас, это еще один лишний довод перед начальством за то, чтобы работать удаленно- из-за домашнего компьютера.
Надыбало наше начальство очередного вендора, чтобы запихнуть его в, и без того раздутый, продуктовый портфель. Контора называется Splunk и предлагает она одноименный продукт, являющийся системой управления инцидентами и событиями информационной безопасности (Security Information and Event Management – SIEM). Данный продукт позволяет построить единую и централизованную систему управления журналами регистрации событий, причем мониторинг, поиск, анализ и построение отчетов может происходить в режиме потока данных реального времени и в архивных версиях журналов, одновременно. Благодаря данному продукту отладка ошибок приложений и расследование инцидентов безопасности может занимать считанные минуты, а не долгие часы выборки из логов. Благодаря удобным средствам мониторинга можно избежать проблем связанных с падениями или отказами сервисов, причем по гораздо более низкой цене, чем за аналогичные решения конкурентов: Symantec Security Information Manager, IBM Tivoli Security Operation Manager, RSA EnVision, Cisco MARS. Splunk предлагает свое решение по весьма демократичной схеме (на самом деле по их заявлениям, ибо опнять цену вопроса пока не удалось): лицензирование идет за размер потока журнальной информации мегабайт/день, причем на триал система дается полнофункциональная с ограничением времени работы в 60 дней и поток до 500 мегабайт данных в день, хотя вроде как была информация том, что если система ставится для некоммерческого использования, то при сохранении лимита в 500 Мб она дается в пользование навсегда (но это надо смотреть отдельно).
Со слов разработчиков, да и по вебинару тоже, следует, что устанавливать и настраивать Splunk проще простого и сама установка займет не более 10 минут, причем для начала можно поставить решения на свою машину, с тем чтобы потом перенести его на серверное оборудование дата-центра.
Splunk может индексировать и обрабатывать данные полученные практически из любых источников, любыми возможными способами, причем в режиме реального времени. Выгрузка файлов журналирования идет через syslog, WMI polling, мониторинга логов, мониторингом изменений файловых систем или реестра Windows, netflow, SNMP и многое другое. Splunk индексирует все эти объемы информации без применения специфических парсеров или адаптеров, для получения и размещения в собственной области данных (аналогичной файловой системе), в виде сжатых и обработанных данных, уже готовых для поиска, аудита и анализа.
В случаях когда доступ центрального Splunk сервера к журнальным данным удаленных систем невозможен, но необходим, используются так называемые Splunk перенаправители, которые являясь легковесными серверами Splunk, собирают всю необходимую информацию: от выводов статус команд и заканчивая конфигурациями и атрибутами файловых систем, после чего передают данные на центральный сервер, используя защищенные соединения, также в режиме реального времени. Поскольку это легковесные сервера, то их установка и интеграция занимает очень ограниченное время и при этом эти решения бесплатны.
При увеличении объемов обрабатываемых данных, скорость доступа к журнальным данным не должна снижаться, и решение Splunk позволяют просматривать миллионы записей за секунды, благодаря масштабируемости решения, путем добавления вспомогательных серверов, между которыми, благодаря имеющемуся функционалу балансировки нагрузки, распределяются данные, снижая тем самым время отклика, повышая отказоустойчивость и оптимизируя процесс поиска.
Splunk поддерживает архитектуру распределенных систем, то есть имея несколько дата-центров, информацию с них можно аккумулировать на одном центральном узле, собирая в режиме реального времени миллионы записей со всех распределенных систем, и при этом локальные администраторы филиалов будут иметь возможность также просматривать журнальную информацию со своих систем.
Splunk обеспечивает высокий уровень защиты, как обмена информации, так и использование пользователями web и командного интерфейса, и системной активности посредством Splunk API. Можно задавать пользователям определенные права, дающие им возможность просматривать те или иные блоки данных, таких как отладочная информация или инциденты безопасности.
Система Splunk позволяет использовать модули разработанные сторонними разработчика, для расширения функционала программного продукта, или отслеживания какого либо класса устройств или производителя.
Система Splunk доступна в следующих реализациях:
Windows XP, 2003, Vista, Windows 7, 2008, 2008 R2 (32/64-bit)
2.6+ kernel Linux distributions (32/64-bit)
2.4+ kernel Linux distributions with NPTL (32-bit)
Solaris 9, 10
OSX 10.6/10.5
FreeBSD 6.x (32-bit)
FreeBSD 6.2 (64-bit)
AIX 5.2, 5.3
HP-UX 11i v2/v3
Подробнее об этой системе можно почитать на её официальном сайте: http://www.splunk.com
В процессе навигации по интернету попал на один очень , на котором выложены решебники тестов для сертификациям по многочисленным техническим вендорам, таким как Cisco, Check Point, ISS, Apple и многим другим. За такой сайт, я бы полгода назад наверное продал душу, поскольку его начинка почти идентична содержанию тестов от Testking, ActualTests и Fravo, с той лишь разницей, что комплект Q&A от этих сайтов обойдется от 50 до 150 бачей, а эти предоставляются бесплатно, то есть даром.
Поскольку в душе еще свежи воспоминания о моих душевных терзаниях, могу сказать что Check Point вопросами очень похож на те вопросы, что идут на сертификации, а вот ISS что то выглядит совершенно по другому, хотя какая то часть вопросов встречается в тестах.
При заходе на сайт доступны для скачивания первые 10 страниц, на которые влезает примерно 50 вопросов, остальное предоставляется по требованию, после того как вы покликаете на размещенную на сайте рекламу AdSense и отошлете авторам письмо с просьбой разблокировать доступ к их базе Q&A.
Система предотвращения вторжений Proventia Network IPS является одним из самых востребованных решений, в области информационной безопасности, из продуктовой линейки ISS Proventia. Система IPS, являясь системой предотвращения вторжений, позволяет защитить сеть от потенциальных угроз, неправомерной активности, коллизий, а также уменьшить последствия от заражения систем сетевыми червями, спам-ботами, троянами и прочим интернет мусором, способным поставить под удар любую систему, как подключенную к глобальной сети интернет, так и не имеющую подключений к публичным сетям. Решение от компании ISS является одним из лучших решений, представленных в сегменте IPS продуктов.
Сейчас озадачили новой тематикой- сдавать экзамены по продуктовой линейке ISS (Internet Security Systems), компании работающей на рынке безопасности уже более 10 лет, и с недавнего времени, ставшей одним из подразделений компании IBM. Компания работает на рынке весьма успешно, и предлагает богатую продуктовую линейку. Наибольший уклон в развитии технологий, компания делает в области превентивной защиты, т.е. защиты от возможных угроз, чья вероятность появления только спрогнозирована в лабораторных условиях.
Когда я начинал кропать этот блог, то передо мной стоял выбор- какому хостингу отдаться. После знакомства с русскоязычным обзором зарубежных хостинг провайдеров, и более подробного знакомства с топовыми хостерами, я остановил свой выбор на американской площадке . В данный момент на хостинге действует летняя 20% скидка на подписку, нужно только упомянуть при регистрации скидочный купон BEACH, и зарегистрироваться за $7.96, вместо $9.95.
Собственно, я распишу о своих ощущения, т.к. всю техническую подборку можно найти в подробном техническом обзореэтого хостера, и у меня нет особого желания заниматься копипейстом.
