Expresná doprava do
Kontaktujte nás
Sledovať objednávku
Hľadať
Populárne vyhľadávanie
dotaz
Nákupný vozík
Login

Kupón
Citujte teraz,
ušetrite až 8 %.

dotaz
Kontakt

spätná väzba
Tvoja spätná väzba
Ako by ste nás ohodnotili?
Jednoduchosť použitia:
Spätná väzba k nákupu:
Podrobnosti o produkte:

Najlepšie postupy pre návrh politík brány firewall pre podnikové siete

Najlepšie postupy pre návrh politík brány firewall pre podnikové siete
  • Úvod
  • Výzvy
  • Odporúčané produkty
  • POROVNAŤ
  • Prípady použitia
Získajte odbornú pomoc

Návrh vynútiteľnej politiky brány firewall

Návrh vynútiteľnej politiky brány firewall

  • Vo väčšine podnikov sa návrh politík firewallov organicky rozvinul okolo projektov, naliehavých rizík a zistení z auditov. Keďže sa modely prevádzky presúvajú do SaaS, hybridného cloudu, práce na diaľku a tokov dátových centier medzi východom a západom, tieto staršie súbory pravidiel sa stávajú ťažko auditovateľnými, pomaly sa meniacimi a riskantnými pri úprave. Bezpečnostné tímy sú pod tlakom, aby znížili plochu útoku, rýchlo podporovali nové aplikácie a udržali predvídateľné správanie politík v rámci pobočiek, kampusov, dátových centier a VPN sietí.

    Táto stránka sa zameriava na to, ako premeniť tieto tlaky na štruktúrovaný prístup k návrhu politík firewallu: od definovania bezpečnostných zón a základných línií prístupu až po segmentáciu, vzdialený prístup a body rozhodovania o VPN. Budeme sa venovať skutočným vzorcom nasadenia s Cisco Firepower/ASA, Juniper SRX a Huawei USG, aby ste mohli mapovať osvedčené postupy na vašu súčasnú platformu, štandardizovať politiky naprieč lokalitami a pripraviť sa na budúci rast bez neustáleho prepracovávania pravidiel.

Obmedzenia návrhu politiky brány firewall

Preloženie bezpečnostného zámeru do škálovateľných a konzistentných pravidiel firewallu v zmiešaných prostrediach je náročné pod tlakom vysokého výkonu, nákladov a prevádzky.

Obmedzenia návrhu politiky brány firewall

  • Vyváženie hĺbky zabezpečenia s priepustnosťou

    Podrobné pravidlá, IPS a funkcie VPN často znižujú výkon, čo sťažuje dimenzovanie platforiem bez nadmerného alebo nedostatočného poskytovania.

  • Zosúladenie politík naprieč heterogénnymi lokalitami

    Pobočky, kampusy a dátové centrá potrebujú konzistentný zámer, no každá rodina firewallov spracováva zóny, objekty a VPN inak.

  • Udržiavanie životného cyklu a bezpečnosti zmien

    Časté zmeny pravidiel, tieňové politiky a migračné projekty zvyšujú riziko výpadkov a spôsobujú, že audity a riešenie problémov sú pomalé a krehké.

Porovnanie platformy návrhu politík firewallu

Porovnajte firewally Cisco, Juniper a Huawei pre návrh politík, segmentáciu a riadenie VPN v podnikových sieťach.

Vlastnosti Firewally Cisco Enterprise Firewally Juniper SRX
Firewally siete Huawei (horúce)
 Obchodný vplyv
Primárny model politiky Bohaté objektovo orientované politiky, politiky ACL a bezpečnostných zón; silná podpora aplikácií/URL adries pre kampus a pobočku. Politiky založené na zónach s robustnými hierarchickými objektmi; výkonné rozhranie príkazového riadku pre detailnú kontrolu. Jednotná politika so šablónami pre pobočky; silné politiky založené na službách vyladené pre WAN a VPN edge. Vyberte si platformu, ktorej model politiky najlepšie zodpovedá zručnostiam vášho tímu a požadovanému štýlu segmentácie, aby ste znížili počet nesprávnych konfigurácií.
Segmentácia a konzistencia viacerých lokalít Vynikajúce na segmentáciu kampusov/pobočiek s dynamickými ACL a bezpečnostnými zónami; dobre sa integruje s SD-Access. Veľmi silná segmentácia na základe zón od okraja siete až po dátové centrum; ideálne pre jasné hranice dôveryhodnosti. Šablóny politík a virtuálne systémy zjednodušujú štandardizáciu pravidiel pobočiek; sú efektívne pre rozsiahle distribuované siete. Konzistentná segmentácia naprieč lokalitami je kľúčová pre presadzovanie prístupu s najnižšími privilégiami a zjednodušenie auditov a riešenia problémov.
Návrh politiky vzdialeného prístupu a VPN Vyspelá VPN so vzdialeným prístupom a IPSec typu site-to-site; podrobné zásady založené na identite pre používateľov a skupiny. Škálovateľný IPSec s flexibilnou VPN založenou na trasách; politiky je možné pevne prepojiť s topológiami a zónami VPN. Integrované SSL VPN a IPSec s jednoduchými prepojeniami politík na skupiny používateľov a aplikácie pre pobočky. Zosúlaďte možnosti politiky VPN s rastom vzdialených používateľov a lokalít, aby pravidlá prístupu zostali prehľadné a nie príliš rozsiahle.
Úrovne škálovateľnosti a výkonu Modely Firepower a ASA sa dajú škálovať od malých pobočiek až po stredné dátové centrá so službami NGFW a IPS. Rad SRX sa dobre škáluje od SRX300 do SRX4700; vysoká priepustnosť pre prostredia s vysokým počtom relácií a operátormi. Rodina USG6300–6700 vyladená pre vysokú priepustnosť VPN a WAN; efektívna pre mnoho pobočkových pripojení. Správne nastavenie priepustnosti a relácií zabezpečí, že váš rámec politík sa nestane úzkym hrdlom s rastúcou prevádzkou.
Prevádzkové nástroje a prehľadnosť Nástroje Firepower Management Center a ASA poskytujú hlbší prehľad, ale ich zvládnutie môže byť zložité. JunOS a Security Director ponúkajú výkonné, skriptovateľné operácie vhodné pre skúsené tímy NetSecOps. Vedenie spoločnosti Huawei sa zameriava na šablóny a sprievodcov, aby zachovalo konzistentnosť politík naprieč mnohými bránami. Prístup k riadeniu priamo ovplyvňuje, ako rýchlo môžete zaviesť bezpečné zmeny politík a reagovať na incidenty.
Najvhodnejšie prostredia Najlepšie tam, kde dominujú prepínače/WLAN od spoločnosti Cisco a potrebujete úzku integráciu s existujúcou identitou a infraštruktúrou spoločnosti Cisco. Najlepšie pre jadrá so zmiešanými dodávateľmi a okrajové siete podobné poskytovateľom služieb, kde je pokročilé smerovanie a skriptovanie kľúčové. Najlepšie pre nákladovo efektívne, štandardizované brány pobočiek, ktoré vyžadujú opakovateľné politiky a silné VPN služby. Prispôsobte svoju platformu firewallu ekosystému vašej siete, aby ste zjednodušili návrhy, znížili náklady na integráciu a zvýšili návratnosť investícií.
Zložitosť návrhu politík verzus tímové zručnosti Bohatá sada funkcií podporuje pokročilé návrhy, ale na bezpečnú prevádzku môže byť potrebných viac špecializovaných zručností. Vysoko flexibilný a riadený rozhraním CLI; ideálny pre tímy, ktoré sú zvyknuté na JunOS a automatizáciu. Prístup riadený šablónami znižuje zložitosť pre veľké flotily pobočiek a vznikajúce bezpečnostné tímy. Výber platformy, ktorá zodpovedá vyspelosti vášho tímu, vám pomôže udržiavať silné zásady bez nadmerného zaťaženia prevádzky.
Kedy uprednostniť Vyberte si, či potrebujete pokročilé funkcie NGFW úzko prepojené s prístupovými, kampusovými alebo SD-Access sieťami Cisco. Vyberte si, či potrebujete hlboké smerovanie, robustný dizajn zón a automatizáciu naprieč hranicami medzi edge a dátovým centrom. Vyberte si, či zavádzate alebo obnovujete viacero pobočiek a chcete opakovateľné, centrálne riadené bezpečnostné politiky. Objasnenie týchto spúšťačov vám pomôže vybrať si firewall, ktorý zabezpečí škálovateľnosť návrhu politík počas nasledujúcich 3 – 5 rokov.

Potrebujete pomoc? Technickí experti sú k dispozícii.

  • +1-626-655-0998 (USA)
    UTC 15:00-00:00
  • +852-2592-5389 (Hoongkong)
    UTC 00:00-09:00
  • +852-2592-5411 (Hoongkong)
    UTC 06:00-15:00
Získajte ponuku
Chat
Potrebujete pomoc? Technickí experti sú k dispozícii.

Ideálne aplikácie politiky firewallu

Kde štruktúrovaný návrh politiky firewallu najlepšie podporuje bezpečné, škálovateľné a kompatibilné podnikové siete.

Segmentácia siete ústredia a kampusu

Segmentácia siete ústredia a kampusu

  • Navrhnite viacúrovňové politiky brány firewall medzi základnou, distribučnou a prístupovou vrstvou, aby ste oddelili prevádzku kritickú pre podnikanie, prevádzku pre hostí a prevádzku pre správu v rámci rozsiahlych kampusov.
  • Implementujte prístup založený na politikách medzi oddeleniami (financie, ľudské zdroje, výskum a vývoj), aby ste obmedzili laterálny pohyb a zároveň podporili zdieľané služby, ako sú DNS, AD a ERP.
  • Štandardizujte sady pravidiel a objekty brány firewall pre viacero budov kampusu, aby ste zjednodušili riadenie zmien, auditovanie a riešenie problémov pre tímy bezpečnostných operácií.
Ochrana pobočiek a dátových centier a SD-WAN Edge

Ochrana pobočiek a dátových centier a SD-WAN Edge

  • Definujte konzistentné šablóny firewallu pobočky, ktoré riadia odchádzajúci prístup na internet, používanie SaaS a dostupnosť podnikových aplikácií cez prekrytia MPLS alebo SD-WAN.
  • Posilnite firewally na okraji dátových centier pomocou zónových politík, ktoré oddeľujú DMZ, aplikačné a databázové vrstvy a zároveň podporujú IPSec VPN zo vzdialených lokalít.
  • Používajte pravidlá zohľadňujúce identitu a aplikácie na okrajoch siete WAN na uprednostnenie obchodných aplikácií, obmedzenie rizikovej prevádzky a vynútenie prístupu s najnižšími oprávneniami z pobočiek k základným službám.
Bezpečný vzdialený prístup a hybridná pracovná sila

Bezpečný vzdialený prístup a hybridná pracovná sila

  • Navrhujte politiky VPN založené na rolách, ktoré mapujú používateľov a skupiny do konkrétnych segmentov siete a vynucujú diferencovaný prístup pre zamestnancov, dodávateľov a partnerov.
  • Aplikujte podrobné pravidlá rozdeleného tunelovania a riadenia prevádzky, aby vzdialení používatelia bezpečne pristupovali k zdrojom SaaS, IaaS a lokálnym zdrojom bez preťaženia liniek dátových centier.
  • Integrujte politiky brány firewall s overovaním a kontrolami stavu koncových bodov, aby ste blokovali zariadenia, ktoré nie sú v súlade s predpismi, alebo ich obmedzili na nápravné zóny pred úplným prístupom.
Regulované prostredie s vysokou mierou dodržiavania predpisov

Regulované prostredie s vysokou mierou dodržiavania predpisov

  • Vytvorte auditovateľné základné línie politík firewallu v súlade s PCI DSS, HIPAA alebo finančnými predpismi, čím minimalizujete výnimky z pravidiel a tieňové politiky.
  • Rozdeľte údaje o držiteľoch kariet, záznamy o pacientoch alebo obchodné systémy do prísne kontrolovaných zón s explicitnými pravidlami povolenia a predvoleným nastavením zamietnutia na každej hranici.
  • Používajte štandardizované skupiny objektov, konvencie pomenovávania a pracovné postupy zmien na podporu pravidelných kontrol súladu a automatizovaných procesov opätovnej certifikácie pravidiel.
Štandardizácia bezpečnosti pre malé a stredné podniky a distribuovaný maloobchod

Štandardizácia bezpečnosti pre malé a stredné podniky a distribuovaný maloobchod

  • Vytvorte ľahké, opakovane použiteľné plány politík brán firewall pre malé kancelárie a maloobchodné predajne, ktoré zahŕňajú POS terminály, Wi-Fi, IoT a back-office systémy.
  • Vynucujte centralizované používanie internetu, filtrovanie obsahu a politiky VPN z ústredia a zároveň umožňujte kontrolu lokálnych výnimiek prostredníctvom zdokumentovaných pracovných postupov.
  • Používajte jednoduché pravidlá založené na zónach a aplikáciách na bezpečné začlenenie nových pobočiek alebo predajní s predvídateľným bezpečnostným stavom a minimálnymi odbornými znalosťami na mieste.

Často kladené otázky

Ako si mám vybrať medzi firewallmi Cisco, Juniper SRX a Huawei pre môj projekt návrhu politík?

  • Začnite s vaším existujúcim prostredím a manažérskymi zručnosťami: Modely Cisco Firepower/ASA (FPR1120-NGFW-K9, FPR1140-NGFW-K9, FPR2110-ASA-K9, ASA5525-FTD-K9, ASA5545-FPWR-K9, CIS:ASA5545VPNEM25HKRF) sa najlepšie hodia tam, kde už prevádzkujete smerovanie/prepínanie Cisco a chcete úzku integráciu s Cisco VPN, ISE alebo SD-WAN.
  • Juniper SRX (SRX300, SRX1500-AC, SRX4200-SYS-JB-AC, SRX4200-SYS-JE-AC, JNP:SRX4700, JNP:SRX2300) je vhodný, ak uprednostňujete zónovú politiku, rozsiahle uzly IPsec VPN a konzistentný zážitok z operačného systému Junos od okraja siete až po dátové centrum.
  • Huawei USG (HW:USG6303E-AC, HW:USG6110E-AC, HW:USG6510E-DK-AC, USG6550-AC, USG6630E, HW:USG6710F-AC) sa často vyberá pri cenovo dostupných zavádzaniach alebo tam, kde už používate vybavenie Huawei na kampusoch/dátových centrách a chcete jednotnú bezpečnostnú politiku a SSL VPN.
  • V prípade komplexnej segmentácie politík pre viacero lokalít môžete zdieľať svoju topológiu, maticu prenosu a obmedzenia súladu s našimi inžiniermi prostredníctvom bezplatná podpora CCIE a získajte odporúčania týkajúce sa veľkostí a modelov od dodávateľa. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Aké sú hlavné obmedzenia pri nasadení pri migrácii existujúcich politík brány firewall na tieto SKU?

  • Pred zakúpením si skontrolujte svoju aktuálnu základňu pravidiel pre správanie NAT, topológie VPN a pravidlá aplikácií; niektoré funkcie sú implementované odlišne medzi bezpečnostnými politikami Cisco FTD/ASA, Juniper SRX a pravidlami politiky Huawei USG, takže kópia pravidla jeden k jednému často narúša toky prevádzky.
  • Pri dimenzovaní FPR1120/FPR1140 alebo SRX300 pre pobočky zvážte, že povolenie IPS, riadenia aplikácií a VPN so vzdialeným prístupom môže výrazne znížiť efektívnu priepustnosť v porovnaní s údajmi v technických listoch; ponechajte si v návrhu dostatočný priestor, najmä pre kontrolu východ-západ alebo segmentáciu medzi zónami.
  • V prípade párov s vysokou dostupnosťou (napr. SRX1500-AC, séria SRX4200, USG65xx/USG67xx) zosúlaďte verzie softvéru a licenčné funkcie pred prechodom a naplánujte fázované migrácie, kde nové a staré firewally bežia paralelne pomocou testovacích sietí VLAN, aby sa overilo správanie politík v reálnej prevádzke s minimálnym rizikom.

Ako môžem pred kúpou skontrolovať stav životného cyklu (EOL/EOSL) a dlhodobé riziko týchto modelov firewallov?

  • Pri navrhovaní dlhodobých politík firewallu by ste sa mali vyhnúť budovaniu segmentácie jadra alebo uzlov VPN na platformách, ktoré sú už blízko konca predaja alebo podpory, pretože budúce opravy softvéru alebo bezpečnostné podpisy by mohli byť nedostupné.
  • Stav životného cyklu modelov Cisco ASA/Firepower, Juniper SRX a Huawei USG si môžete overiť pomocou nášho Kontrola EOL / EOSL, potom sa rozhodnite, či štandardizujete spotrebiče súčasnej generácie alebo kombinujete nový a repasovaný hardvér s jasnými plánmi výmeny.
  • Ak si z rozpočtových dôvodov zámerne vyberiete starší model, zohľadnite vo svojom bezpečnostnom pláne kratší cyklus kontroly politík a obnovy hardvéru, aby kritické rozhodnutia týkajúce sa riadenia prístupu neboli viazané na zariadenia, ktoré čoskoro stratia podporu dodávateľa.

Sú tieto firewally interoperabilné s VPN tretích strán a existujúcimi prepínačmi/routermi v prostredí s viacerými dodávateľmi?

  • Platformy Cisco Firepower/ASA, Juniper SRX a Huawei USG podporujú štandardizovaný IPsec a bežné smerovacie protokoly (ako napríklad OSPF a BGP), ale parita funkcií sa líši, takže pokročilé funkcie, ako je VPN založená na trasách s dynamickým smerovaním, nastavenia iba IKEv2 alebo správanie NAT-Traversal, by sa mali overovať pre každý model.
  • V sieťach so zmiešanými dodávateľmi odporúčame vytvoriť malý test interoperability: pred rozsiahlym nasadením ukončite laboratórnu IPsec VPN medzi kandidátskym firewallom (napríklad SRX1500-AC alebo HW:USG6710F-AC) a existujúcim edge, overte záložné prepnutie, časovače prekódovania a prevádzku založenú na politikách verzus prevádzku založenú na trasách.
  • Pre interoperabilitu prepínania a smerovania minimalizuje používanie štandardných sietí VLAN 802.1Q, LACP a široko podporovaných smerovacích protokolov udržiava vašu politiku firewallu nezávislú od konkrétneho dodávateľa kampusu alebo dátového centra.

Čo by som mal vedieť o riziku záruky, vrátenia tovaru a servisu, keď návrh mojej zmluvy závisí od týchto zariadení?

  • Keď je váš návrh segmentácie alebo VPN úzko prepojený s konkrétnymi modelmi (napríklad ASA5525-FTD-K9 alebo JNP:SRX4700), zlyhanie hardvéru môže priamo ovplyvniť viacero zón alebo lokalít, preto je rozumné pochopiť podmienky výmeny a vrátenia pred finalizáciou topológie.
  • Naše krytie hardvéru a jeho obmedzenia si môžete pozrieť v záručná politikaa pozrite sa, ako sa v praxi riešia chybné spotrebiče prostredníctvom pokyny na vrátenie; toto vám pomôže rozhodnúť sa, či si ponechať náhradné diely na mieste pre kritické body presadzovania bezpečnosti.
  • V prípade návrhov politík, ktoré netolerujú dlhodobé prestoje, zvážte zoskupovanie/vysokú dostupnosť a náhradné jednotky na kľúčových miestach a zdokumentujte záložný súbor politík, ktorý možno rýchlo uplatniť na sekundárne zariadenia v prípade RMA alebo predĺženej opravy. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Ako ovplyvnia náklady na dopravu, dane a clá môj časový harmonogram nasadenia politiky brány firewall?

  • Harmonogramy projektov pre zavádzanie firewallov závisia nielen od konfiguračných prác, ale aj od toho, kedy hardvér skutočne dorazí na každé miesto; v prípade skladových položiek sa dodacia lehota bude stále líšiť v závislosti od miesta určenia, dopravcu a miestnych colných procesov.
  • Dostupné logistické možnosti a súvisiace obmedzenia si môžete pozrieť v našich spôsoby prepravy a overte si regionálne špecifické aspekty dovozu v sprievodcovi dane a clá sekciu pred naplánovaním okien migrácie politík.
  • Aby sa znížilo riziko, mnohí zákazníci dodávajú firewally vo vlnách – najprv základné zariadenia ako SRX4200-SYS-JB-AC alebo USG6630E pre dátové centrá, potom pobočkové platformy ako SRX300 alebo HW:USG6303E-AC – aby sa kritické body presadzovania politík nainštalovali a otestovali skôr, ako sa zafixujú prísne dátumy zmrazenia zmien.

Viac riešení

Enterprise SASE Security Architecture Guide

Sprievodca architektúrou zabezpečenia podniku SASE

Zistite, ako SASE spája SD-WAN a cloudové zabezpečenie, aby znížila prevádzkové náklady o 40 – 60 % a poskytla jednotný prístup s nulovou dôverou pre distribuované podniky.

SIX
Cisco Enterprise Networking Solutions

Riešenia podnikových sietí Cisco

Objavte sieťové riešenia Cisco, ktoré vám pomôžu pri inováciách, zvýšia bezpečnosť a znížia náklady – bez kompromisov.

networking
Campus Network Solutions for Enterprises

Riešenia kampusových sietí pre podniky

Vybudujte si spoľahlivú, škálovateľnú a vysoko výkonnú kampusovú sieť s našimi komplexnými riešeniami – určenými pre podniky.

Campus Network
Prihlásiť sa
Registrácia