Какой межсетевой экран выбрать?

Question

[dd_ivanov]

Добрый день, есть необходимость в межсетевом экране для малого бизнеса с 50 АРМ. На данный момент стоит маршрутизатор Mikrotik со своим фаерволом + KES. Т.к. работаем с персональными данными нужна более надежная защита.

Answer 1

[Drno]

А чем не подходит обычный linux + iptables ?
Ну или что сейчас не устраивает собственно? микроты достаточно надежны при правильной настройке. А данные сливаются обычно сотрудниками, как это происходит в банках)

Comments

[dd_ivanov]

Защищенность по требованию ФСТЭК. Я бы оставил все как есть если бы не это.

[Valentin Barbolin]

dd_ivanov,

Защищенность по требованию ФСТЭК

Может у это ФСТЭК есть и список оборудования который они рекомендуют-требуют?

[Drno]

dd_ivanov, так это нигде не указано...) тогда вопросы к ним на сайт за оборудкой.. и готовьте кучу бабла

[dd_ivanov]

Drno, насколько мне не изменяет память минимум в 250 указе(про иностранное оборудование) и 152-ФЗ прописано, куча бабла это еще мягко сказано)

[Ziptar]

dd_ivanov, все компании работают с персональными данными - как минимум это данные сотрудников. Мозгоимение/деньговымогательство начинается тогда, когда компания работает со средствами автоматической обработки персональных данных, что довольно узкое понятие (по крайней мере в части "обработки"). Для начала, рекомендую убедиться, что ваша ситуация действительно требует каких-либо телодвижений.

[Drno]

dd_ivanov, мне кажется Вы что то путаете...
Т.к. я не помню чтобы для работы с перс данными надо было закупать как то фаерволл особенный

[Komrus]

dd_ivanov,
Вы исходный вопрос подправьте - наличие сертификации ФСТЭК - это зело существенное условие...

[RStarun]

"Защищенность" по требованию ФСТЭК бывает очень разной. И перс данные бывают очень разными. Могут быть данные с ФИО и телефоном, а могут быть данные о ВИЧ инфекции. Требования к защите этих данных разные. Начинается все не с сетевого пограничного оборудования, хотя это тоже неплохо. Начинается все с бумажек и проверять прежде всего будут бумажки.
На бумаге нужно изложить классификацию обрабатываемых данных, очертить модели угроз, на основании предыдущих пунктов составляются механизмы защиты. Исходя из классификации данных берется уже оборудование или ПО закрывающее соответсвующие угрозы.
И для бумажных работ вам либо в штат нужно взять человека умеющего в бумажки, либо обратиться в соответствующую контору которая за количество денег значительно большее чем стоят все железки сделает за вас работу по оформлению бумажек и скажет что купить.

[Ambulate]

У микробов дыры, не используйте микрот без вф

[Drno]

Ambulate, бред не неси)

[Вениамин Коноплев]

Посмотрите в сторону IDECO.
У них есть бесплатная версия на 25 пользователей. Можете поставить её на платформу x86 и хорошенько изучить.
Если надо ФСТЭК, то сертифицированные коробочные решения тоже имеются.

[CityCat4]

Ambulate, Извини братан, но это в твоей голове дыры. Все у микротиков нормально, годами работают, один у меня работал в дичайших условиях :) и вот - я с него пишу это сообщение.

[Sator Rotas]

криптошлюз - континент, + защищенная сеть VipNet.

Answer 2

[d-stream]

Если нужна сертификация - добро пожаловать на ФСТЭК

Answer 3

[CityCat4]

Т.к. работаем с персональными данными нужна более надежная защита.

Нужна, потому что считаете так или нужна, потому что требуют? Если второе, то покупать то, что требователями считается за надежную защиту :)
Микротик достаточно надежен (по сути это переделанный линух).

Answer 4

[Dupych]

Микротик.
Бери с аппаратными чипами шифрования.
Для создания туннелей между офисами на будущее.
Настроено.
1. Кнокинк. Постучался и зашел
2. DDOS защита.
3. Защита от сканера портов.
4. Блэклисты RDP. И прочие.
5. Порты ловушки 22, 23,21.
6. Защита от неправильного пинга.
Много еще чего.
Hex S 200 пользователей держит. Логи на SD карте, чтоб родная не умерла

Comments

[Lordzero]

Вот зачем вы делаете всякие ханипоты? Ну да, можно собрать список хостов с нескольких ботнетов и гордо повесить себе медаль защитника от вторжений. Если эти порты должны быть закрыты, то пусть и будут закрыты. От ддос ни микротик, ни циска, ни джунипер не защитит, т.к. атакующие просто забьют полностью пропускную способность канала. А вот от простого ДоС защититься можно, но это очень большая разница. Если у вас должны быть открыты определенные порты для всех без ограничений, то все эти меры особо не спасут. (Ну разве что fail2ban имеет смысл) А если не должно быть открыто для всех - делайте белые списки /порт кнокинги /впн и живите спокойно и пусть два десятка адресов долбят в закрытые порты, на такое и смысла нет обращать внимание

[niksr]

Dupych Никаких не надо ни "ловушек", ни "защит". Закрыто все, что не требуется быть открытым, по возможности с фикс. адресов. Если что-то должно быть открыто для всех, то защита на уровне сервера/приложения. NGFW с подписками наверное может поддержать своими эвристическими алгоритмами, но я в это не очень верю, хотя какие-то вещи, типа syn flood они точно могут. Интересно было бы услышать хоть раз историю успеха, когда подписные функции NGFW помогли в реальности.

Микротик неплох, но у него эти функции UTM в зачаточном состоянии. Среди относительно доступных устройств которые обычно рекомендуют - PAN, Forti "Big boys" - Cisco, Juniper слишком дороги в схожей функциональности

Answer 5

[Максим Корнеев]

Выберите пару специалистов которые просто сделают и не будут задавать вопросы на сайте для школьников. Безопасника и сетевика. Или найдите интегратора который все что надо сделает за вас.

Comments

[niksr]

дислайк за такой ответ

[Яков Шевченко]

Лайк за такой ответ

Answer 6

[Plko]

Для выбора МЭ больше важна пропускная способность канала. Далее выбор зависит от бюджета. Можно купить базовый ideco в аппаратом исполнении за 300-400к, или PT NGFW за 1 лям.

Answer 7

[Вениамин Коноплев]

Посмотрите в сторону IDECO.
У них есть бесплатная версия на 25 пользователей. Можете поставить её на платформу X86 и изучить основательно.
Если нужен ФСТЭК то сертифицированные коробочные решения у них тоже имеются.

Answer 8

[oller]

Смотрим какие сертификаты ФСТЭК нужны сейчас вам и в перспективе 3-5лет
На основании этого список решений будет что-то около 5.
Дальше запрашиваем цену останется пару решений
Ставим и тестируем
Вот и весь выбор

С учётом вопроса -начните с ideco, он прост