Wielki test UTM dla przedsiębiorstw cz. 2

Administratorom sieci zamierzającym łączyć IPSec VPN i NAC, Check Point zapewnia pakiet zabezpieczeń punktów końcowych sieci - Integrity Clientless Security, który jest całkowicie zintegrowany z IPSec VPN. Ponadto Check Point zapewnia tzw. visitor mode, tryb tunelujący ruch VPN przez port 443 TCP.

Funkcjonalność VPN zapewniana przez Cisco, wywodząca się z popularnego koncentratora VPN Cisco serii 3000, jest rozwinięta również w ASA 5540.

Chociaż Check Point ma pewną przewagę nad zdalnym dostępem Cisco w kilku detalach, takich jak połączenia przez wiele punktów wejściowych i mechanizm zapory ogniowej związane z użytkownikiem, większość zarządców sieci powinna być zadowolona również z możliwości zdalnego dostępu zapewnianych przez Cisco.

Możliwości zdalnego dostępu VPN zapewniane przez ScreenOS zawsze były "brakującym ogniwem" systemu zabezpieczeń Junipera. Można mieć nadzieję, że firma włączy do ScreenOS technologię SSL VPN nabytą w wyniku przejęcia Neoteris.

Na razie, jeżeli poszukuje się zdalnego dostępu VPN w rozwiązaniach Juniper, to nie należy szukać go w ScreenOS.

Trzy urządzenia biorące udział w testach - Astaro ASG 425a, Fortigate 3600A i SonicWall PRO 5060 - mają dołączone możliwości SSL VPN. Są one jednak przeznaczone raczej dla MSP - nie mają sterowania i zakresu konfigurowania Check Point czy Cisco, ale pozwalają na uzyskanie zdalnego dostępu i pracują wystarczająco szybko i efektywnie.

IBM/ISS Proventia MX5010, Secure Computing Sidewinder 2150D i WatchGuard Firebox X8500e wykorzystują do zdalnego dostępu IPSec VPN w stylu z końca lat 90. Żaden rozsądnie myślący administrator sieci nie zechce rozwijać VPN klasy przedsiębiorstwa na tego typu konfiguracji. Wydaje się, że zrozumiał to WatchGuard, ponieważ dopuszcza nie więcej niż 50 klientów dla swojego urządzenia.

W UTM klasy enterprise nie ma miejsca na AV

Testy wykazały, że antywirus wyjątkowo drenuje wydajność UTM. Biorąc to pod uwagę, praktycznie nie ma sporu, czy oprogramowanie antywirusowe jest dobrym pomysłem w zaporach ogniowych UTM, czy też nie. Wielu specjalistów uważa, że oprogramowanie ochrony antywirusowej nie ma znaczenia dla wdrożeń zapór ogniowych UTM, ponieważ desktopowe aplikacje antywirusowe i urządzenia ochrony poczty elektronicznej wykonują już zadanie skanowania antywirusowego dostatecznie dobrze. Są jednak tacy, którzy uważają, że umieszczenie antywirusa w UTM ma wiele zalet, ponieważ daje dodatkową możliwość blokowania wirusów w innych miejscach sieci.

Przeprowadzone testy wydają się potwierdzać pierwszy pogląd. Zaobserwowano nie tylko niepokojące problemy wydajnościowe po włączeniu skanowania antywirusowego w jakimkolwiek UTM, ale także fakt, iż UTM niespecjalnie dobrze wykonują to zadanie.

Testy rozpoczęto zdając sobie sprawę, że większość dostawców zakłada, iż skanowanie antywirusowe w UTM jest użyteczne w sektorze MSP, ale już niekoniecznie przy wdrożeniach zapór ogniowych przedsiębiorstwa pracujących z gigabitową przepustowością. Spotkano się z wadami implementacji, a także błędami i głęboko ukrytymi mechanizmami, które okazały się niezbędne, aby skanowanie antywirusowe pracowało poprawnie.

Niewielu z uczestniczących w testach dostawców poważnie traktuje oprogramowanie antywirusowe. Niektórzy nawet nie włączają takiej opcji do urządzeń z górnej półki. Na przykład Juniper ISG-1000 stawia użytkownika przed koniecznością wyboru pomiędzy ochroną antywirusową a IPS. Cisco ASA5540 nie zapewnia natomiast żadnej opcji antywirusowej.

Niektórzy dostawcy dają jednak szansę funkcjom AV. Secure Computing Sidewinder zapewnia zarządcom sieci ścisłą kontrolę nad parametrami skanowania antywirusowego. Dla każdej reguły, która dopuszcza przez zaporę ogniową ruch obsługujący protokoły HTTP, FTP i SMTP, można specyfikować zakres skanowania.

Sidewinder uzyskał wysoką punktację za blokowanie wirusów w ruchu FTP, SMTP i HTTP. Aczkolwiek, kiedy próbowano wysyłać wirusy przez zaporę używając niestandardowego portu HTTP, Sidewinder nie wykrył żadnego z nich. Skanowanie wykonywane jest umiarkowanym kosztem wydajności, niemniej przy włączonym skanerze antywirusowym przepustowość Sidewinder 2150D spada o 50%.