Cisco Firepower NGFW – postaw na zaporę nowej generacji

Zapory sieciowe Cisco Firepower NGFW (Next-Generation Firewall) automatycznie zapobiegają zagrożeniom i naruszeniom, aby utrzymywać stabilną pracę przedsiębiorstwa. Zespół Cisco Talos automatycznie analizuje dane o zagrożeniach i tworzy zabezpieczenia, które Cisco NGFW samodzielnie wykorzystują w celu zapobiegania wszelkim atakom. Dzięki temu cyber ataki zatrzymywane są już w przedbiegach, kiedy nie mają jeszcze szansy przedostać się do firmy.

Na szybkie wykrywanie i zatrzymywanie zagrożeń wpływają również zaawansowane funkcje zabezpieczające, takie jak nowej generacji IPS (Intrusion Prevention System) oraz ochrona przed malware'em. Do tego możemy korzystać z automatycznych zasad i ich egzekwowania – dzięki temu Cisco NGFW samodzielnie troszczy się o bezpieczeństwo, a specjaliści IT mogą skupić się na innych zadaniach.

Najważniejsze korzyści zapewnianie przez Firepower:

Ochrona przed większą ilością zagrożeń: zapory sieciowe wykorzystują wysokiej jakości autorskie rozwiązanie Cisco Advanced Malware Protection (AMP), które chroni przed złośliwym oprogramowaniem, jak również stosują mechanizm sandboxingu. Zapewniają ochronę zarówno przed znanym, jak i nieznanym malware'em.

Lepszy wgląd w dane: zyskujemy lepszy wgląd w swoje środowisko IT za sprawą nowej generacji systemu zapobiegania włamaniom IPS (Intrusion Prevention System) z funkcją automatycznego wykrywania zagrożeń i flagowania ryzyk – specjaliści IT otrzymują zalecenia z IPS na temat priorytetów dotyczących zabezpieczeń, jakimi warto zająć się w pierwszej kolejności.

Wczesne wykrywanie, szybsza reakcja: Cisco aktywnie monitoruje cyber zagrożenia. Rozwiązania sieciowe mogą pochwalić się krótkim czasem, jaki upływa od infekcji do wykrycia w różnego typu przedsiębiorstwach, przez co możemy szybciej reagować i pracować nad usunięciem zagrożenia. Zwykle czas ten wynosi mniej niż jeden dzień.

Mniejsza złożoność: uzyskujemy ujednolicone zarządzanie i automatyczną korelację zagrożeń w ramach zintegrowanych funkcji bezpieczeństwa, takich jak wspomniane IPS nowej generacji i AMP.

Większe możliwości sieciowe: rozwiązania Cisco pozwalają zwiększyć bezpieczeństwo, ale też wykorzystać istniejące inwestycje dzięki opcjonalnej integracji innych systemów sieciowych i zabezpieczających Cisco lub innych firm.

Wybrane zapory Cisco Firepower NGFW

Zapory sieciowe Cisco to rozwiązania zaprojektowane z myślą o wymagających firmach, które w swojej działalności obsługują wiele newralgicznych transakcji, działając np. w branży usług finansowych czy handlu detalicznego. Zapewniają ochronę krytycznych funkcji biznesowych i danych, jak i mogą znaleźć zastosowanie zarówno do zabezpieczania brzegu sieci, jak i centrów danych. Poniżej prezentujemy krótką specyfikację wybranych modeli:

Cisco Firepower Seria 2100

Seria 2100 składa się z czterech modeli NGFW, które zapewniają firmom kompleksową ochronę przed cyber zagrożeniami. Rozwiązania z serii 2100 cechuje wysoka wydajność pracy nawet wtedy, gdy włączone są zaawansowane funkcje wyłapywania i przeciwdziałania zagrożeniom. To możliwe dzięki zastosowaniu podwójnej, wielordzeniowej architektury CPU, która optymalizuje pracę firewalla, funkcji kryptograficznych i kontrolę zagrożeń. Jeśli chodzi o przepustowość zapory w tej serii, możemy liczyć na rozwiązania nadające się do zabezpieczania brzegu sieci, ale też centrów danych. Zapory 2100 mogą obsługiwać rozwiązanie Cisco ASA Firewall lub Cisco Firepower Threat Defense (FTD). Są też zgodne ze standardami NEBS (Network Equipment Building Standards).

Model	Firewall (przepustowość)	NGFW	NGIPS	Interfejsy	Opcjonalne interfejsy
FPR-2110	3G	2,3G	2,3G	12x RJ45, 4x SFP	Nie dotyczy
FPR-2120	6G	3G	3G	12x RJ45, 4x SFP	Nie dotyczy
FPR-2130	10G	5G	5G	12x RJ45, 4x SFP+	10G SFP+, 1/10G FTW
FPR-2140	20G	9G	9G	12x RJ45, 4x SFP+	10G SFP+, 1/10G FTW

Cisco Firepower Seria 4100

Seria Cisco Firepower 4100 to łącznie siedem rozwiązań zabezpieczających, które zapewniają nowej generacji ochronę przed zagrożeniami. Zakres przepustowości pozwala na stosowanie modeli z tej serii do zabezpieczania brzegów sieci i centrów danych.

Dużą zaletą serii 4100 jest to, że wszystkie modele zapewniają doskonałą ochronę przed cyber zagrożeniami, a przy tym zajmują mało miejsca i mogą pochwalić się wysoką wydajnością pracy. Seria 4100 może pracować z oprogramowaniem Cisco Firepower Threat Defense (FTD) lub Cisco ASA Firewall, natomiast zgodność ze standardami NEBS (Network Equipment Building Standards) przewidziana została dla modelu 4120. Poza tym, Firepower 4100 to także możliwość zarządzania usługami bezpieczeństwa z API RESTful, czy też obsługa flow-offloadingu.

Model	Firewall (przepustowość)	NGFW	NGIPS	Interfejsy	Opcjonalne interfejsy
FPR-4110	35G	11G	15G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW
FPR-4115(Nowość)	80G	26G	27G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW
FPR-4120	60G	19G	27G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW
FPR-4125(Nowość)	80G	35G	41G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW
FPR-4140	70G	27G	38G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW
FPR-4145(Nowość)	80G	45G	55G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW
FPR-4150	75G	39G	52G	8x SFP+ na obudowie	2x NM: 1/10/40G, FTW

Cisco Firepower Seria 9300

Cisco Firepower 9300 to rozwiązania przeznaczone do najbardziej wymagających organizacji, jak również dużych centrów danych i innych dostawców usług, gdzie wymagane są niskie czasy opóźnień (mniej niż 5 mikrosekund). Są też skalowalne (powyżej 1 Tbps przy klastrach), zapewniając wyjątkowo wysoką przepustowość.

Podobnie jak seria 4100, modele z rodziny 9300 obsługują flow-offloading oraz zarządzanie usługami bezpieczeństwa z RESTful API. Dostępne są również konfiguracje zgodne ze standardami NEBS (Network Equipment Building Standards).

Seria 9300 może pracować z oprogramowaniem Cisco Adaptive Security Appliance (ASA) Firewall lub Cisco Firepower Threat Defense (FTD).

Model	Firewall (przepustowość)	NGFW	NGIPS	Interfejsy	Opcjonalne interfejsy
SM-24	75G	21G	30G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-36	80G	29G	37G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-40(Nowość)	80G	48G	57G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-44	80G	43G	57G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-44 x3	234G	132G	148G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-48(Nowość)	80G	55G	65G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-56(Nowość)	80G	64G	73G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW
SM-56 x3	235G	153G	175G	8 x SFP+ na obudowie	2x NM: 1/10/40/100G, FTW

Cisco Firepower NGFWv (wirtualna zapora)

Cisco Firepower NGFWv jest dostępna w środowiskach VMware, KVM, Amazon Web Services (AWS) oraz Microsoft Azure dla wirtualnych, publicznych, prywatnych oraz hybrydowych chmur. Organizacje wprowadzające SDN mogą szybko zapewnić sobie elastyczną ochronę sieci przy wykorzystaniu Firepower NGFWv. Ponadto firmy używające NFV mogą obniżyć koszty, jeśli zdecydują się na Firepower NGFWv.

Obsługa platformy	VMware, KVM, AVS, Azure
Minimalne wymagania systemowe: VMware	4 vCPU,  8GB pamięci,  Dysk 50GB
Minimalne wymagania systemowe: KVM	4 vCPU, 8GB pamięci, Dysk 50GB
Obsługa instancji AWS	c3.xlarge
Obsługa instancji Azure	Standard_D3
Opcje zarządzania	Centrum zarządzania Firepower,  Cisco Defense Orchestrator, Menedżer urządzeń Firepower (VMware)

Ograniczanie ataków DDoS

W urządzeniach Cisco Firepower z serii 4100 i 9300 znajdziemy ściśle zintegrowane, kompleksowe i behawioralne ograniczanie ataków DDoS zarówno dla ochrony aplikacji, jak i infrastruktury sieciowej. Rozwiązaniem tym jest Radware Virtual DefensePro (vDP) i jest ono dostępne bezpośrednio od Cisco.

Firepower vDP działa w czasie rzeczywistym i jest w stanie wykrywać ataki DDoS w taki sposób, że specjaliści IT nie muszą w żaden sposób interweniować, a dodatkowo system, gdy jest atakowany, nie blokuje legalnego ruchu internetowego.

Ataki, które mogą być wykrywane i ograniczane to:

• Ataki SYN
• Ataki sieciowe DDoS, w tym przeciążające IP, ICMP, TCP, UDP i IGMP
• Ataki DDoS na aplikacje, w tym przeciążające HTTP i DNS-y
• Ataki przeciążające i anomalne, takie jak niestandardowe i zniekształcone ataki pakietowe

Więcej informacji na temat ochrony przed atakami DDoS znajdziemy na stronie producenta.