שאלה כללית בנוגע ל FORTINET ואבטחת עסק

[Fish72]

שלום חברים,

אני מחר נפגש עם קליינט פוטנמיאלי חדש שייתכן שיהיה מעונין בשרותי רשת ותחזוקת מחשבים.
נשלח לי צילום של הציוד שקיים אצלו וראיתי נתב פורטינט ישן ועוד מתגי לינקסיס ודי לינק.
רציתי לדעת איזה ציוד מאובטח מתאים למשרד עם כ-50 עמדות (FORTINET 60 ?), והאם המנוי של פורטינט כולל שירות הגדרות מרחוק ותחזוקה, או שיש לי גישה להגדרות פורטים באופן עצמאי במידת הצורך ?
אני חושב שהם יירצו להישאר עם רוה התשתית הקיימת, וייתכן שהפורטינט שלהם כבר לא תחת שירות ואני רוצה להגיע מוכן.
אפשרות נוספת היא התקנת חומת מגן בתוכנה על התחנות והשרת.

תודה

[sys_admin]

מוצר זה של FORTINET לא מתאים לא רק לרשת של 50 מחשבים, אלה גם לרשת של 5 מחשבים. מדובר על סבונייה שלא יכולה להעביר רוחב פס יותר מ 30M ובמקרים מסויימים גם לא יותר מ 25M . רק שמכבים את כל המנגנוני FW הוא מגיעה למהירויות גבוהות יותר, אבל אז הוא לא שונה ממודם שבזק מחלקת בחינם ללקוחות הביתיים, רק שהוא מסורבל יותר וגורם ליותר תקלות רשת ממודם בזק רגיל.
ההמלצה הפשוטה ביותר היא לשימוש במערכת משובצת X64 עם PFSense , שהיא חינמית ונותנת אפשרויות אבטחה של מערכות קנייניות בעשרות אלפי דולרים. כך במחיר של פחות מחמש מאות דולר של המערכת משובצת סינית זולה ניתן להפעיל כבר את כל השירותים הנדרשים לאבטחת הרשת הקטנה ובינונית. מדובר על שירותים כמו IPS\IDS, אנטי-וירוס רשתי, שרת RADIUS לצורך של רשת אלחוטית ולצורך של אבטחה של נקודות רשת קווית ושל שרת VPN, אפשרויות של יצירת שרת VPN מאובטח לצורך גישה מרחוק לרשת מקומית לעובדים ולמי שנותן תמיכה תכנית, אפשרות של תמיכה ב VLANS לצורך של יצירת רשת פתוחה נפרדת למבקרים, רשת של מצלמות אבטחה, רשת ניהול ורשת של טלפונייה וכו'. ועוד הרבה שירותים מתקדמים. וכל זה בחינם, ללא צורך ברכישת רישיונות תוכנה יקרים ותוך שימוש בממשק וובי פשוט. כמובן שלצורך זה שרשת תעבוד בצורה סבירה נדרשים גם מתגים מינימליים מנוהלים ולא ציוד שאין מה לעשות אתו.

מצורפים נתוני יצרן של מוצר FORTINET המדובר בהקשר של רוחב פס. רק שצריך לקחת בחשבון שבחיים האמתיים הנתונים האלה נמוכים בצורה משמעותית:

[Fish72]

@sys_admin
· ראשית תודה על התשובה המפורטת. אני נדהם כל פעם מחדש מרמת הידע והיסודיות שלך. שאפו !

ללא קשר למהירות המוגבלת של הפורטינט, רציתי מערכת שתהיה לי קלה ללמידה יחסית, ותספק מענה של חומת מגן לעסק בעיקר, ופחות בפיצ'רים המתקדמים יותר של VPN או אבטחת RADIUS.
אני לא רוצה להיות משועבד למערכת שתחייב תחזוקה אינטנסיבית במידה וניתן. אני מחפש פשטות ושהלקוח לא יהיה תלוי בי ואני בו.

למה כוונתך במערכת משובצת X64 ? מחשב זעיר עם 2 יציאות רשת התומך ב PFSENSE ? משהו כזה ? :

https://www.aliexpress.com/item/Eglobal ... autifyAB=0


בהנחה ומדובר בעיקר על שיתוף שרת קבצים ברשת פנימית, חוץ מנושא רוחב הפס ברשת בפורטינט, האם יש פתרון חומרתי ואחיד אחר שקל לקינפוג ומספקת הגנה טובה ?

בעקרון, לי הכי נוח להתקין ESET FILE SERVER על השרת עם קליינטים בכל התחנות לניהול מרכזי של האבטחה.
התחברות מרחוק אני יכול לבצע באמצעות התקנת נתב של DRAYTEK 2760 או נתב חזק יותר התומך ב SSL VPN.

[sys_admin]

ב PFSENSE לא מדובר על מערכת שמחייבת תחזוקה אינטנסיבית, אם בכלל. מדובר על מערכת שאפשר לכנות כשגר ושכח. יותר מזה היא גם מנוהלת בצורה ויזואלית וגרפית ולא דרך שורת פקודה כמו רוב המערכות האחרות. המערכת זו יכולה להיות מותקת עם מינימום אפשרויות ובהמשך ניתן להוסיף לה אפשרויות מתקדמות נדרשות. היא מתפקדת גם כנתב וגם כשרת VPN, כך שלא צריך להוסיף לה שום נתבים נוספים, שמין הסתם יתנו פחות אפשרויות וביצועים ממנה. יש לי מערכות כאלה שה UPTIME שלהם נמדד בשנים כבר. וכמובן גם ניתן לגבות את התצורה של מערכת עובדת כזו לקובץ XML ובמקרה של צורך לשחזר את המערכת לנקודה שהיא תקינה

בקשר לשרת RADIUS. היום בחלק מהעסקים הקטנים כבר קיימות רשתות WI-FI ולצורך של ניהול של נקודות גישה שלהן ושל הסיסמאות של משתמשי רשתות אלחוטיות אלו נדרש מן הסתם שרת RADIUS והוא נדרש גם לצורך הזדהות מול שרת VPN ולצורך של ניהול של אבטחה של נקודות תקשורת קוויות. גם בקשר לאנטיווירוס. האנטיוירוס הרשתי הוא שונה לגמרי בתפיסה מהקליינטים שמתקינים על העמדות בגלל שהוא עוצר את הוירוסים כבר בנקודת כניסה של הרשת. במיוחד זה יכו להיות רלוונטי, אם יש שימוש בשרת קבצים ברשת פנימית, בהקשר של חסימה של וירוסי כופר, אבל לא חייבים להשתמש בו, זה יכול להיות כאופצייה לעתיד, אם בכלל.

בקשר למערכת משובצת, באמת מדובר על מחשב קטן בעל מספר כרטיסי רשת וקירור פסיבי, שאין לו חלקים מכניים נעים. ואם מדברים על מוצרים סיניים זולים במיוחד של EGLOBAL, אז אפשר למשל להשתמש במוצר הבא:

https://www.aliexpress.com/item/Eglobal ... autifyAB=0
כמובן שהסלרון ההוא שצירפת לא מתאים לזה בגלל בעיות ביצועים וחוסר תמיכה בהעצת הצפנה בחומרה שנדרשת ממערכת כזו.

[avihuli]

נדחף פה לשרשור, למה לא חומרה של צ'ק פוינט לצורך אבטחת המידע בארגון ?

[sys_admin]

@avihuli
·
ממספר סיבות מאוד פשוטות. ואלה רק כמה מהן. כמו למשל שבמחיר של עד אלף דולר ניתן לרכוש מוצר של checkpoint שיהיה אותה סבונייה כמו הפורטינט שלא נותנת כלום ובשביל איך שהוא להתקרב לביצועים של מערכת שהוזכרה כאן לפני זה נדרש לשלם ל checkpoint יותר מעשר אלף דולר וגם בהמשך להיות כבול עליהם לצורך חידוש רישיונות, עדכונים ושדרוגים שלא תמיד הם גם זמינים ולפעמים התשובה של checkpoint, היא שאין יותר עדכונים למוצר שלך ואתה נדרש לרכוש מוצר חדש בסכום דומה ששילמת על המוצר שצריך לעדכן. חוץ מזה מערכת פתוחה עם קהילת פיתוח רחבה ברוב המקרים תהייה עדיפה, ואם המערכת זו גם חינמית אז גם יותר זולה ואם מדובר על חומרה גנרית כמו פלטפורמה X64 של INTEL, אז גם מחר אפשר להגר להפצה שונה של תוכנה ללא הצורך לזרוק את הברזלים, שהם הדבר היחידי שהייה צריך לרכוש בהתחלה ושזה החלק הזול של הסיפור. ודרך הגב, החלק היקר בכל הפרויקטים כאלה של תכנון מערכות אבטחה לרשת עסקית, הוא העבודה של המומחה רשתות ושל מי שמתכנן ומבצע את ההטמעה של מערכת זו, כי הידע של אותו איש מקצוע או יועץ חוסך כסף רב לארגון זה בהמשך, בגלל שהוא מונע מקרים של אובדן נתונים חשובים לעסק בכך שהוא מונע כניסה של וירוסי כופר למשל או של פריצות לרשת הארגונית.

[Fish72]

@sys_admin
· שוב תודה על החוויה פותחת העיניים שפרשת לפנינו.

אני מבין שמערכת מבוססת ה PFSENSE תהווה FIREWALL חומרתי במידה והיא מוגדרת בצורה נכונה.
מאחר ויש גישה למחשבים שברשת הפנימית לאינטרנט, וה PFSENSE לא מתעדכן באופן שוטף למיטב הבנתי, איך אני מגן על המחשבים ברשת מפני וירוסים/רוגלות/כופר ? למיטב הבנתי הגנה בפני דברים אלו מצריכה התקנת אנטי וירוס או תוכנות אבטחה דומות בנוסף ל PFSENSE, או שיש שירות בתשלום או מודולים שניתן להפעיל על ה PFSENSE ?
הערה נוספת : מה לגבי וירוסים ודומים שמגיעים ממקור כמו DISK ON KEY ? ויכולים להדביק מחשבים ברשת הפנימית ?

[sys_admin]

@Fish72
·
PFSense בהתקנה בסיסית מתפקד רק כ FIREWALL מתקדם ובשביל להוסיף לו אפשרויות נוספות הוא כולל חבילות תוכנה מתאימות לזה, שכל אחת מהן ניתן להתקין ולהגדיר בנפרד לפי הצורך. למשל מערכת זיהוי ניסיונות פריצה, הגנה נגדם ושל זיהוי תקשורת בעיתית, מודול IPS\IDS בשם SNORT ניתן להתקין בנפרד:
https://doc.pfsense.org/index.php/Setup_Snort_Package
מודול זה כולל עדכון אוטומטי של חתימות ושל תבניות על בסיס קבוע והוא חינמי, אם אפשרות של רכישת רישיון בתשלום מורחב.
גם מנגנון של אנטיווירוס רישתי ניתן גם להתקין כמודול נפפרד שנמצא בתוך שרת PROXY שקוף ומנתח את התעבורה שנכנסת. קיימים עוד מספר רב של מנגנוני הגנה של הרשת שניתן להפעיל בתוך המערכת זו.

בכל מקרה, התפיסה של אבטחת מידע זה מבנה של שכבות הגנה שונות שכוללות גם את הקו ההגנה הראשון בנקודת כניסה לרשת ובין היתר גם את השכבות כמו תוכנות אנטיווירוס שרצות על המחשבים ועל השרת קבצים. שכבות נוספות הן הדרכות של משתמשים שכוללות הסברים של מה מותר לעשות ומה לא. כל השכבות האלה הן נדרשות ואם אחת מהן חסרה, אז נוצרת פרצה שקוראת לגנב וכמו שגששים זיהו והסבירו את הבעיה: "וגנב כשקוראים לו, בא".

[avihuli]

@sys_admin
אז זה אומר שאם הזמנו כחלק מחבילת תקשורת לעסקים (מנוהלת) גם צ'ק פוינט 730 NGTP WiFi, לא עשינו טוב ?

[sys_admin]

@avihuli
·
שאלה המרכזית היא: "למי עשיתם טוב". אם התשובה של השאלה זו, היא למוכרנים, אז גם התשובה חד משמעית היא כן עשיתם להם טוב. כי מדובר על סבונייה זולה שיש לה ממשק ניהול שמתאים לעקרות בית נואשות ובגלל זה מי שמכר לכם את זה לא צריך לשלם לאנשי מקצוע שינהלו את "המוצר" ויכול להעסיק ילדים בשכר מינימום, להעסיק ילדים שלא צריכים להבין או ללמוד כלום ועל כל שאלה של הלקוח ( על כל שאלה שלכם ) בהקשר של אפשרויות רשת או תקשורת שאתם צריכים יש להם תשובה מוכנה מנצחת ומוכרת ללקוחות הביתיים, והיא: " אנחנו לא תומכים בזה" ואת התשובה נותנים ללקוח עוד לפני ששומעים את השאלה. כך ניתן בקלות למכור ללקוח שאין לו מנמ''ר שמייצג אותו את המוצר זה במחיר של כ 1900ש''ח
http://www.vipsales.co.il/product.asp?a ... ap&lang=he
ובהמשך שהלקוח מבין שמוצר זה לא עונה לצרכים שלו אז אפשר גם להציע לו לרכוש עוד מוצר חדש.
מצד שני, אם אין לכם איש מקצוע שמייצג אתכם מול הספקים ומול המוכרנים וגם אין מי שיודע בהמשך לנהל את המערכות שהתקינו לכם אזי גם זה לא משנה יותר מדי וגם אין לכם יותר מדי ברירה, אלה, אם כן אתם תוכלו להעסיק איש מקצוע שינהל את התחום של IT בארגון שלכם.

[zork17]

@sys_admin
אז זה אומר שאם הזמנו כחלק מחבילת תקשורת לעסקים (מנוהלת) גם צ'ק פוינט 730 NGTP WiFi, לא עשינו טוב ?

...

נקודה למחשבה: המחיר ההתחלתי הוא לא כל הסיפור.
חייב לציין שהתפתתי וקניתי מחשב מבוסס PFSENSE והסיפור לא פשוט.
אמנם העלות של המכשיר לא יקרה יחסית לפתרונות אבל לקנפג אותו עם כל מני תוספות וקונפיגורציות לא הכי באנליות - מצריך ידע רב והמון זמן ללמוד את זה.
אני לא מצליח למצוא מישהו שייתן תמיכה והתקנה לזה, בתשלום כמובן.
העלתי פניה כאן באתר ובאתרים אחרים שבהם מחפשים פרילאנסרים.
כאמור, לא מצאתי מישהו ברמה שיודע לקנפג את זה כמו שצריך.
מי שרוצה להכנס לזה כדאי שידע למה הוא נכנס. זה לא כמו מוצר של צ'ק פוינט שיש המון בעלי מקצוע בכל טווח המחירים והרמות שייתנו לזה תמיכה.
במיוחד לעסק כדאי לחשוב עשר פעמים על מי שנותן לו תמיכה - האם הוא שוחה בפלטפורמה...

[sys_admin]

@zork17
·
בידיוק כך, ולא נשאר לי רק לצטט את מה שכבר כתבתי כאן בתגובה שלי מעל:

" ודרך הגב, החלק היקר בכל הפרויקטים כאלה של תכנון מערכות אבטחה לרשת עסקית, הוא העבודה של המומחה רשתות ושל מי שמתכנן ומבצע את ההטמעה של מערכת זו, כי הידע של אותו איש מקצוע או יועץ חוסך כסף רב לארגון זה בהמשך, בגלל שהוא מונע מקרים של אובדן נתונים חשובים לעסק בכך שהוא מונע כניסה של וירוסי כופר למשל או של פריצות לרשת הארגונית. "

וגם:
"מצד שני, אם אין לכם איש מקצוע שמייצג אתכם מול הספקים ומול המוכרנים וגם אין מי שיודע בהמשך לנהל את המערכות שהתקינו לכם אזי גם זה לא משנה יותר מדי וגם אין לכם יותר מדי ברירה, אלה, אם כן אתם תוכלו להעסיק איש מקצוע שינהל את התחום של IT בארגון שלכם. "

אם לחדד את הנקודה, כמו שאף אחד לא יחשוב לתכנן או לבנות לבד את המבנה משרדים שלו ללא שיש לו ידע באדריכלות או בתכנון, כך גם בתחום ה IT צריך להבין שנדרש לו ידע בתחום או איש מקצוע שמשלמים לו על ניהול של כל הפרויקט. ומי שיש לו ידע נדרש בתחום של IT, כמובן שיכול לחסוך בזה חלק גדול של ההשקעה.

[zork17]

@sys_admin
זה נכון וברור, העיניין הוא שלציוד של סיסקו ושל צ'קפוינט יש המון בעלי מקצוע בכל הרמות ובכל המחירים ויש המון קורסים והדרכות מסודרות.
ל PFSENSE אין.
אין אנשי מקצוע וגם 99% מאלו שיגידו שהם מכירים - לא מכירים מספיק.
וזו בעיה

[sys_admin]

@zork17
·
דרך הגב, גם לציוד של CISCO ואחרים גם 99% מאלה שמספרים שהם מבינים בזה או כאלה גם שקיבלו הסמכות לא מבינים כלום וכל מה שהם עסקו בו זה להעתיק קבצי תצורה מוכנים כעבודה של רוטינה במוקד של ISP או באגף ההנדסה של ISP ואת הסמכות שלהם הם קיבלו בשיטה של braindumps . זו הסיבה שבשלב שאני מראיין אנשים לתפקידים כאלה, אני לא שומע סיפורים, אלה נותן להם לבצע משימות מוגדרות בסביבת פיתוח ובשלב הבא מראיין אותם ושואל על הפתרונות שהם בחרו בשביל להבין, אם מדובר על עבודה של העתק והדבק או בהבנה של התמונה הגדולה. כך בדרך כלל נופלים יותר מ 99% של המועמדים שלפני זה טענו שהם מהנדסים בתחום של CISCO למשל במשך שנים רבות.

ובקשר למוצרים לשוק SOHO כמו FORTINET וכמו צ'קפוינט שתוכננו מראש לתפעול על ידי עקרות בית נואשות, ידע בשבילם ממש לא משנה או נדרש, כי פשוט אין בו שום אפשרויות שניתן להפעיל אותם גם אם יש איש מקצוע שיודע איך.

[zork17]

@sys_admin
שוב, זה נכון לכל תחום - יש את כל הרמות של בעלי המקצוע.
אם אני כלקוח רוצה מישהו שייתן לי רמה מסויימת אז אני יכול השיג אותו, בכל חלקי הארץ ובטווח מחירים כמו בכל מקצוע.
ל PFSENSE זה לא קיים! זה ההבדל

[Huber]

Fish72 - יש דבר אחד שאני לא מבין, למה להתייעץ פה בדבר כ"כ קריטי (ולקבל תשובות מטעות מסתבר), כשאתה יכול להתייעץ עם אינגרטור מקצועי שזה התחום שלו ושיתאים לך פתרון מותאם אישית?

ד"א, עיצה ידידותית, אל תיקח את כל מה שנאמר פה כתורה מסיני. אני כדוגמא חיה בעברי הרחוק עבדתי עם פורטגייט 60B בארגון קטן שנתתיי לו שירות והוא עשה את עבודתו נאמנה (בניגוד למה שאולי נתנו לך להבין פה). היום בארגון בו אני עובד בחרנו בפורטיגייט 400 מכיוון שהצרכים פה שונים לגמרי. וזו בדיוק הסיבה שאתה חייב להביא איש מקצוע רציני (במידה ואין לך כזה בארגון או שאתה לא מבין מספיק) שימפה את צרכי הארגון שלך בצורה מסודרת ושימליץ לך על מוצר מתאים.

ושוב - שלא יפחידו אותך פה לגבי פורטגייט, עבדתי בעברי עם כל הגדולים (סיסקו, צ'קפוינט וכו) ולארגונים קטנים/בינוניים אין פתרון יותר יעל כמעט בכל רמה (ובמיוחד בנוחות שימוש) כמו הפתרונות של פורטיגייט.

מקוה שעזרתי, ואם תרצה המלצה על אינטגרטור מקצועי ואמין פנה אלי בפרטי ואתן לך את המספר של החברה שעשתה אצלנו את הפרורייקט (מעבר מצ'פוינט לפורטיגייט).

[Huber]

@sys_admin
שוב, זה נכון לכל תחום - יש את כל הרמות של בעלי המקצוע.
אם אני כלקוח רוצה מישהו שייתן לי רמה מסויימת אז אני יכול השיג אותו, בכל חלקי הארץ ובטווח מחירים כמו בכל מקצוע.
ל PFSENSE זה לא קיים! זה ההבדל

...

·

מחזק. הפתרון שהוצע פה הוא אולי אפשרי למימוש, אבל הינו איזוטרי ולא מוכר מספיק. אם תצטרך בעתיד שירות/ץחזוקה לפתרון הנ"ל תיתקל בבעייה, בניגוד לציוד של חברות מוכרות שציינו פה, ובנהן גם פורטיגייט.

[none77]

Fish72
בקיצור, נראה לי שאתה בחור טוב, רציני עם סקרנות ויכולת למידה עצמית ובנוסף לא מתבייש לשאול שזה גם חשוב.
דבר ראשון בהצלחה.
אם אני קורא בין השורות, תתחיל ללמוד ולהתאמן על הנושא ובסוף זה ישתלם גם לך וגם ללקוחות שלך.
sys_admin
מה דעתך על המוצרים של Mikrotik?
אולי שווה לו להתמקצע בזה או גם בזה?
קצת מהנסיון שלי, במשרד של כ20 עובדים עם דרישות צנועות יחסית בעיקר של vpn החלפנו בזמנו לראוור של draytek 2920 שעשה את עבודתו נאמנה במחיר זול יחסית.

[sys_admin]

...

...

·

מחזק. הפתרון שהוצע פה הוא אולי אפשרי למימוש, אבל הינו איזוטרי ולא מוכר מספיק. אם תצטרך בעתיד שירות/ץחזוקה לפתרון הנ"ל תיתקל בבעייה, בניגוד לציוד של חברות מוכרות שציינו פה, ובנהן גם פורטיגייט.

...

·


לא רק לא מדובר על פתרון שהוא אזוטרי, אלה שמדובר על מערכת שעומדת מאחוריה קהילת פיתוח רחבה בכל העולם ובניגוד לכל מני קומבינות שלא נועדו לאנשי IT, אלה לרמה של משתמש שלא יודע להבין את המושגים הפשוטים ביותר, במקרה של מערכות פתוחות מדובר על פתרונות גמישים במיוחד וכאלה שכבר נוסו בסביבות עבודה שונות, מעסקים קטנים ועד לארגוני ENTERPRISE וכל השינוי הוא רק בשימוש בחומרה שונה שמתאימה לקני מידה הנדרשים. גם נקודה חשובה אחרת היא שמדובר על מערכות תקניות שנבנו לעמוד בתקנים מגובשים חוצי יצרנים ובשל כך יכולות לעבוד בצורה שקופה בתוך מערכות מעורבות עם ציודי CISCO למשל או אחרים. כמובן שלמי שלא נמצא בתחום של IT כל זה יכול להיראות מאיים או מפחיד, אבל נקודת מוצא צריכה להיות שמי שכאן משתתף בדיונים יש לו כבר רקע מינימלי בנושא והוא גם עוסק בהיבטי IT ותקשורת שונים כשגרה יומיומית או שרוצה ללמוד את המקצוע ולצורך זה יכול לקרוא את המאמרים שהקישורים עליהם אני מצרף כאן ושלא מדובר במי שראה דבר כזה, ניסה כמה לחיצות עכבר, עבר מין מספר מסכים ונבהל מזה שנדרש ללמוד דבר חדש. בידיוק כמו שלדוגמה שבפורומים שעוסקים בנושאי תכנון מערכות RF בחו''ל למשל אני לא הולך לכתוב ברמה של שלום כיתה א', אלה שבמדבר הגובה העיניים, כך גם בישראל אני מנסה לצאת מנקודת הנחה שמי שמשתתף בדיונים בנושאים מוגדרים הוא כבר יודע על מה מדובר.