В рамках партнерской программы компания ИНКОМА приняла участие в тестировании новой платформы сетевой безопасности «Континент 4» от российского разработчика «Код Безопасности». По итогам трех месяцев активной работы нашими специалистами предоставлен отчет о тестировании.
По результатам тестирования были выделены основные преимущества новой версии «Континент 4»:
- Новая модульная архитектура.
- Удобный единый интерфейс управления с единой базой сетевых объектов.
- Появилась возможность на одном устройстве настраивать как функционал L2VPN, так и L3VPN с поддержкой ГОСТ.
- Обновленная система обнаружения вторжений с модулем поведенческого анализа.
- Возможность изменять работу системы обнаружения вторжений непосредственно в конкретных правилах безопасности и для определенного типа трафика.
Подводя итоги, необходимо отметить, что новый комплекс решений «Континент 4» успешно прошел испытания и подтвердил заявленные характеристики.
Ниже представлены краткие тезисы руководителя отдела телекоммуникационных технологий ИНКОМА, Дмитрия Шарова по результатам тестирования.
Архитектура
Главное новшество — это реализация концепции Unified Threat Management (UTM). Теперь все механизмы безопасности интегрированы в рамках одного устройства, что позволяет существенно упростить систему защиты сети. В одном устройстве консолидировано несколько механизмов безопасности и введено понятие «Узел безопасности», который может работать в 3-х режимах: UTM, «Детектор атак» и высокопроизводительный межсетевой экран.
При этом в режиме UTM необходимые программные модули (Центр управления сетью (ЦУС), Межсетевой экран, Криптошлюз (L2VPN, L3VPN), Детектор атак, Сервер доступа, Модуль идентификации пользователей, Модуль поведенческого анализа) могут быть активированы, исходя из того, какой функционал необходим на данном устройстве в конкретном участке сети. Активация возможна на основе приобретенных лицензий.
Использование UTM упрощает администрирование и сетевую топологию, так как вместо управления несколькими физическими устройствами (брандмауэр, система обнаружения вторжений, VPN и т. д.) теперь необходимо управлять одним.
Программа управления
Принципиально новая система управления. Интерфейс программы управления полностью изменен в лучшую сторону, стало намного удобнее работать. Реализована единая консоль управления вместо нескольких независимых программных компонентов. Теперь это «Менеджер конфигурации» — программное средство, устанавливаемое на одном или нескольких рабочих местах администратора, для удаленной работы с ЦУС.
Реализована единая база сетевых объектов политики безопасности. В прошлых версиях линейки продуктов Континент для Сервера доступа, Криптошлюза и Межсетевого экрана были разные объекты – теперь это единая база.
Отказоустойчивость ЦУС
Реализована, но не в автоматическом режиме. Решение о переводе управления и синхронизации базы данных зависит от администратора и производится в ручном режиме. На виртуальных машинах синхронизация выполняется не всегда корректно, желательно для ЦУС использовать аппаратные платформы.
Правила фильтрации
Новый подход к обработке правил фильтрации. Подключение сигнатур теперь возможно выполнить непосредственно в политиках фильтрации. При таком подходе обеспечивается высокая гибкость настройки — точечное включение или отключение системы обнаружения вторжений (СОВ) для конкретного типа трафика.
Также обработка типовых атак вынесена за пределы модуля СОВ, для чего применяется поведенческий анализ. На его основе происходит отброс части трафика еще до отправки в сигнатурный модуль.
Организация и управление VPN-соединениями
Появилась возможность на одном устройстве настраивать как функционал L2VPN, так и L3VPN.
Обеспечение отказоустойчивости
Обязательно на «Узле безопасности» должно использоваться 3 интерфейса. Применяется виртуальный IP-адрес кластера. Версия аппаратная, лицензии и версии ПО у устройств, объединяемых в кластер, должны совпадать.
При кластеризации имеет значение выбор первого устройства кластера, т. к. при кластеризации все настройки с первого заявленного устройства будут перенесены на второе устройство и все существующие на этот момент настройки второго устройства будут затерты.