Barracuda Networks
Komplexní ochrana Vašich dat a sítí
Radko Hochman
www.gestocomm.cz
www.barracuda.com
Barracuda Networks
•Založeno 2003• Barracuda Spam & Virus Firewall
•HQ California, Campbell
• > 150 000 zákazníků• > 100 zemí
•Kontinuální růst
•2009 akvizice rakouské společnosti Phion• NG Firewall → NextGen Firewall F• Vývoj a centrum podpory rozšířeno do Evropy
FY05 FY15
Klíč k úspěchu
● Vstřícný přístup k zákazníkům● Služby● Servisní podpora● Licenční politika● Portfolio● Platformy
„Try and Buy“
•Možnost seznámení se se sytémem prostřednictvím veřejně přístupných dohledů : http://login.barracuda.com, guest – přístupná většina systémů
•Zapůjčení nové jednotky zdarmanebo stažení virtuálního obrazu zdarma
•Testovací licence na 30 dnů • Neomezená funkcionalita• v individuálních případech možno prodloužit
•V případě koupě jednotka zůstává
•Možná výměna HW jednotky za vyšší model nebo virtuální licence za vyšší level do 60 dnů od koupě bez poplatků za zpětný odběr
PlatformyHardware
• Každý typ několik výkonově odlišných modelů• U nižších modelů mohou být omezeny některé výkonově náročnější funkcionality
Virtuální• VMware• Hyper-V• KVM• Citrix Xen
Cloud• Microsoft Azure
Aplikační Software• Archive One, PST Enterprisse
Služba• Barracuda Cloud
SlužbyEU – Energize Update• Základní užívací licence• Update a upgrade sofrware• Technická podpora (telefon, e-mail, 8 x 5) • Automatická aktualizace provozních databází
•IR – Instant Replacement• V případě poruchy odeslání náhradní jednotky ten samý, nejpozději následující pracovní den
• Vzdálená asistence při výměně, převodu konfigurace eventiuelně dat• 24 x 7• Po 4 letech obnova hardware zdarma
•PS - Premium support• Pro Enterprise modely (6xx a výš)• 24 x 7• Prioritní řešení problémů• Možnost proaktivního monitoringu
•Sjednání na dobu 1, 3, 5 let
Licence
•Jdnoduchá a přímočará licenční politika• Žádné uživatelské licence• Virtuální modely limitovány počtem jader CPU, nižší modely počtem uživatelů
•Minimum rozšiřujících licencí
•Platnost 1, 3, 5 let
Barracuda Cloud Control
Centrální Management● Pro většinu zařízení Barracuda● Dohled zařízení Barracuda z jednoho
portálu● Centrální management politik● Konsolidované reporty● Přístup i z mobilních zařízení (aplikace)● ZDARMA
PortfolioApplication Delivery
Email Security Service
Spam Firewall
Web Security Service
Web Filter
SSL VPN
Web Application Firewall
NextGen Firewall X-Series
NextGen Firewall F-Series
Link Balancer
Load Balancer FDC
Load Balancer ADC
Mobile Device Manager
Backup
Message Archiver
Copy
PST Enterprise
ArchiveOne
CudaSign
Backup / ArchivaceSecurity
Spam & Virus Firewall● První a stále populární produkt Barracuda● Komplexní ochrana e-mailové komunikace● Kontrola příchozí i odchozí pošty● 12 vrstev obrany
DoS … Ověření … Antivir ... Analýzy… Skore
● Kontrola a filtrování obsahu, příloh● Uživatelsky definovatelné politiky● Ochrana proti ztrátě dat – DLP● Možnost rozšířené ochrany proti malware - Avira● Platformy : HW, Virtual, MS-Azure
Barracuda E-mail Security Service
● ŠkálovatelnéOd malých po řešení pro Enterprise a ISP
Barracuda NextGen Firewall F
Výkonný síťový firewall
Plná kontrola aplikací
Plní kontrola uživatelů
Inteligentní řízení provozu
Komplexní rozšířené IDS/IPS
Kompletní centrální dohled
Barracuda NextGen Firewall F
•Evropský původ – Rakousko, Insbruck
•Vyvinuto na počátku tisícíletí společností Phion jako bezpečnostní řešení pro bankovní sektor (označení Netfence)
•V září 2009 akvizice společnosti Barracuda Networks
•Vývojová základna v Evropě
•Servisní podpora v Evropě
UTM : Unified Treat ManagementJednotný managemet hrozeb
• IPS / IDS• Firewall• URL Filter• Application control 2.0• Spam• Application proxy• Reverse proxy• Mlaware protection / Antivir• Vzdálený přístup
Další služby• Autentizační služby (MSAD, LDAP, Radius …• DHCP server• DNS server• NTP server (platnost certifikátů)
Evoluce Firewallů
Next Generation FirewallTradiční Firewall
Barracuda NextGen Firewall F
Porty, pakety, Protokoly,Anti-virus
Application controlIdentita uživatelů
Optimalizace WANCentralizovaný dohled
ŠkálovatelnostVzdálený přístup (VPN)Quality of Service (QoS)
Reporty a Audity
Řízení přístupu k aplikacím
„Business Critical“?Akceptovatelné?
Bezpečnostní riziko?
● Blokování nežádoucích aplikací
● Řízení akceptovatelného provozu - prioritizace - omezení pásma
● Šetří kapacitu připojení a zrychluje kritické aplikace.
● Kontrola SSL provozu
Řízení přístupu k aplikacím - příklad
Zakázané apllikaceFacebook (mimo file transfer) povolen v době oběda pro přihlášené uživateleVideostreaming povolen s nízkou prioritou pro skupinu „IT“ Update vybraných aplikací povolen s nízkou prioritou Vysoká priorita pro aplikaci Salesforce uživatelům ze skupiny Sales
Řízení přístupu k Internetu
Poskytovatel 2
Poskytovatel 1
Poskytovatel 3
Posk. 1 Posk. 2 Posk. 1nebo 2
Posk. 3
Obecné Hry
Obecné
Hry
Řízení aplikací – Application Control
Barracuda NG Firewall
Přehled detekovaných aplikací a potenciálních rízik
Application Based Link Selection• Definuje použití jednotlivých připojení pro
definované aplikace• Definice konkrétních aplikací nebo kategorií• Použití levnějších, méně spolehlivých
připojení pro nekritické aplikace• Použití robustních spojení pro kritické
aplikace•
Session Balancing / Link Backup• Střídá definovaná připojení pro jednotlivá
TCP spojení• Cyklicky, Náhodně• V případě výpadku některého připojení se
toto nepoužije
Plná kontrola a monitoring uživatelůZtotožnění užívatele s jeho IP adresou
DC Agent (Domain Control Agent)●Automatické mapování mezi uživatelem a jeho IP adresou●Možnost manuálního vyřazenívybraných IP adres(HTTP proxy a Terminal Servery ...)●Možnost vzdáleného přístupu k MSAD
TS Agent (Terminal Server Agent)●Mapování uživatele na specfický rosah portů● SSL enkrypce
VPN● Použijí se údaje při přihlášení
Explicitní přihlášení k Firewallu● Zvláštní webové rozhraní●Uživatelsky méně komfortní
Bezpečný přístup k Internetu
Firewall – IDS / IPS•Rozšířená detekce a prevence možných narušení•Ochrana proti přímým útokům•Soustavné monitorování sítě a síťového chování jednotlivých systémů • Detekce a vyhodnocení podezřelých aktivit• Klasifikace • Logování / Blokování podezřelého provozu
•Databáze více než 1200 aplikací• Dynamicky udržovaná (EU)• Možnost definice vlastních vzorů• Možnost redefinice akcí
•Ochrana transportní vrstvy•Identifikace a blokování pokročilých technik pro obejití tradičních systémů
Malware protection•Ochrana interní sítě před škodlivým obsahem
• Viry, červy, trojské koně, java aplety, dokumenty, makro viry a další• Web – HTTP, HTTPS• e-mail – SMTP, POP3• Přenos souborů – FTP• Inspekce SSL
•Mody• Proxy• InLine
•Dva plně integrované antivirové systémy• Avira• ClamAV• Jedny z nejlépe hodnocených antivirových programů• Pravidelná automatizovaná aktualizace signatur• Pokročilá heuristická analýza
•Dostupné pro F18 a vyšší mimo F100 a všechny virtuální verze
•Možnost rozšířené analýzy pomocí Advanced Treat Detection
Barracuda Advanced Threat Detection (ATD) • Další úroveň ochrany proti malware, cíleným útokům typu zero - hour / day• Identifikace a blokování pokročilých technik pro obejití tradičních systémů
• Stahovaný soubor je kontrolován proti kontinuálně updatované on-line databázi
• Chování neznámého souboru (s neznámou signaturou) je analyzováno v izolovaném prostředí v Barracuda cloud
• Simultální podpora různých operačních systémů.
Vzdálený přístup k podnikové síti - VPN
• Zabezpečený přístup klienta do interní sítě ze sítě Internet (Client-To-Site)• Zabezpečené propojení privátních sítí přes síť internet (Site-To-Site)
• IPSec•Zabezpečené připojení na síťové úrovni•Aplikace přistupují k privátní síti transparentně•Aplikace nemusí být pro přístup k privátní síti nijak vybaveny•Možnost vazby na certifikát X.509•Možnost autentizace jménem, heslem, skupinou•Pro provoz je vyžadován klient a server (koncentrátor)•Šifrován je kompletní provoz včetně záhlaví paketů
• SSL•Zabezpečené propojení na aplikační úrovni•Každá aplikace musí mít vlastnosti klienta / serveru•Možnost vazby na certifikát X.509•Možnost autentizace jménem, heslem•Používá se zejména po přístup k zabezpečenému webu, e-mailu•Není třeba instalovat speciálního klienta •Šifrován je obsah
Barracuda TINA VPN•Transport Independent Network Access•Rozšířená vlastnosti na základě IPSec•Site-To-Site i Client-To-Site•Multiplatformní
• Klient MS Windows, Linux MAC, OS• Podpora klientů Android, IOS, Windows Phone
•Barrauda Traffic Inteligence (klient MS Windows)• Podpora redundantních serverů – přístupových bodů• Automatické vyhledání nejvhodnějšího přístupového bodu• Automatické navázání spojení po výpadku internetového připojení• Použití až 24 transportních prostředků
•Centralizovaná správa (NG firewall, NG Control Center)•Vynucení bezpečnostních politik (klient MS Windows)
• Kontrola „zdraví“ klienta, aktuálních update, firewallu klienta, antiviru• Selektivní routing (omezení přístupu mimo VPN při navázané VPN)
•Autentizace• Interní / Externí X.509, Smart Card, Secure ID, Jméno / heslo• MSAD, LDAP, RADIUS
Dynamická Mash VPNHub&Spoke setupHub detekuje stav a provoz mezi jednotlivými pobočkamiHub automaticky řídí změny konfiguracePobočky vytvářejí dočasné tunely
Zabezpečený vzdálený přístup
NextGen Firewall FOn-premisse
NextGen Firewall FCloud
CudaLaunchMobilní
WebProhlížeč
Klient
VPN
Vzdálený přístup z mobilních zařízení – CUDALaunch
ManagementAplikace NG Admin•Jednotný management všech součástí•Stejné rozhraní pro lokální, dálkovou i centrální správu•Export / Import konfigurace•Správa konfigurací (RCS) – individuální pro každý subsystém
Pro centrální správu NG Control Center•Správa sw verzí•Správa konfigurací•Správa logů•Certifikační autorita
ATR •Obnova systému a konfigurace v jednom kroku
Management
Centrální management – NextGen Control Center• Zrychluje provádění akcí – hromadné provádění• Zvyšuje bezpečnost• Snižuje náklady
•Zabezpečený přístup ke spravovaným jednotkám• Cenrální správa sw verzí• Cenrální správa licencí• Cenrální správa konfigurací• Cenrální správa logů• Grafická konfigurece VPN• Certifikační autorita
•Platformy• HW appliance• Virtuální• Cloud – MS Azure
Hardwarové modelyModel F10 F100 F200 F280 F300 F380 F400 F600 F800 F900 F1000
Propustnost Firewall 300 Mbit/s 300 Mbit/s 650 Mbit/s 1,6 Gbit/s 680 Mbit/s 3,8 Gbit/s 5,0 Gbit/s 16,3 Gbit/s 19,6 Gbit/s 22,2 Gbit/s 40 Gbit/sPropustnost IPS 60 Mbit/s 60 Mbit/s 115 Mbit/s 450 Mbit/s 125 Mbit/s 1,1 Gbit/s 1,5 Gbit/s 3,9 Gbit/s 4,8 Gbit/s 5,4 Gbit/s 10 Gbit/sPropustnost VPN 85 Mbit/s 85 Mbit/s 120 Mbit/s 310 Mbit/s 370 Mbit/s 750 Mbit/s 960 Mbit/s 2,3 Gbit/s 6,8 Gbit/s 7,6 Gbit/s 10 Gbit/sSoučasné relace 2 000 8 000 35 000 100 000 70 000 200 000 310 000 2 000 000 2 500 000 2 800 000 3 500 000
Nové relace 1 000 1 500 2 500 9 000 2 500 9 500 16 000 110 000 150 000 160 000 160 000Provedení Mini Desktop Desktop Desktop 19“ 1U 19“ 1U 19“ 1U 19“ 1U 19“ 1U 19“ 2U 19“ 2U
Napájecí zdroj Extrerní Extrerní Extrerní Extrerní Interní Interní Int. Dual Int, opt Dual
Int. Dual Int. Dual Int. Dual
LAN GE / FE 4 4 4 4 4 + 4 8 8 8 20 / 12 * 24 / 16 / 8 * 16 / 32 *SFP (1GE) buď 4 4 * 8 * 16 / 32 *
SFP+ (10GE) nebo 2 4 * 4 * 4/8 *
ADSL
WiFi Volitelně Volitelně Ano Volitelně
3G USB Modem Volitelně Volitelně Volitelně Volitelně Volitelně Volitelně Volitelně Volitelně Volitelně Volitelně Volitelně
•Stateful Firewall •Application Control •IPS •IPsec VPN •Web Proxy – od F18•Barracuda Web Filter – od F18
Nové modely Q4 / 2015•F18, F80, F 180 •F280 revize B
•Výkonnější•Větší počet portů
•Barracuda Web Filter – od F18•Mail Gateway, Spam Filter, FTP Gateway, SSH Gateway - od F18•Barracuda Malware protection – volitelně od F18 •Barracuda Basic Remote Access – volitelně od F18 (mimo F100) •Barracuda Advanced Remote Access – volitelně od F18 mimoF100)
VirtuálníVMware, Hyper-V, KVM, Cytrix
Model VF25 VF50 VF100 VF250 VF500 VF1000 VF2000 VF4000 VF8000Počet jader 2 2 2 2 2 2 4 8 16
Počet IP adres 25 50 100 250 500 Neomezeno Neomezeno Neomezeno Neomezeno
Azure, AmazonModel L2 L4 L6 L8
Počet jader 1 2 4 8Počet síťových rozhraní - Amazon 2 2 4 4
Propustnost Firewall 400 Mbit/s 2 Gbit/s 5 Gbit/s 9 Gbit/sPropustnost IPS 80 Mbit/s 900 Mbit/s 2,5 Gbit/s 3 Gbit/sPropustnost VPN 120 Mbit/s 500 Mbit/s 1 Gbit/s 1,5 Gbit/sSoučasné relace 35 000 300 000 500 000 1 000 000
Nové relace 2 500 16 000 35 000 45 000
AmazonModel L2 L4 L6 L8
Počet jader 1 2 4 8Počet síťových rozhraní 1 1 1 1
Propustnost Firewall 400 Mbit/s 2 Gbit/s 5 Gbit/s 9 Gbit/sPropustnost IPS 80 Mbit/s 900 Mbit/s 2,5 Gbit/s 3 Gbit/sPropustnost VPN 120 Mbit/s 500 Mbit/s 1 Gbit/s 1,5 Gbit/sSoučasné relace 35 000 300 000 500 000 1 000 000
Nové relace 2 500 16 000 35 000 45 000
Barracuda Web Application FirewallOchrana Vašich aplikací a dat
Útoky jsou dnes automatizovány
Web Exploitation Kit SQL Injection Toolkit
Layer 7 Web Application Firewall
Inbound inspectionOchrana proti útokům na aplikační (7.) vrstvě
Outbound inspectionOchrana proti odcizení dat
Ochrana proti útokům a ztrátě dat
Attack Protection• SQL, XSS, command injection
CSRF
Web Site Cloaking
Data Theft Protection• Credit card, SSN, custom patterns
Session Protection• Cookie encryption• Parameter tampering protection
Integrovaný Anti-Virus
OWASP Top 10Brute Force ProtectionDoS ProtectionIP Reputation Blocking• Blocking by Geo IP• Anonymous Proxy Blocking
Podpora Armored BrowserXML Firewall• XML schema enforcement• Web services security
Integrace SIEM
Identita a řízení přístupu
Two-Factor Authentication
Token ID
Authentication Authorization ReportingSingle-Sign-On
Client Certificate SMS Passcode
Jednoduché nasazení a dohledÚroveň přizpůsobení
Uživatelské a pozitivní zabezpečeníVysoká
Přednastavené vzory (template)Střední
Výchozí zabezpečeníNízká
Akcelerace a rozdělení zátěže
Data Center
Barracuda Web Application
Firewall
L4 / L7 Load Balancing
Application monitors
SSL OffloadingTCP Pooling
HTTP CachingContent Routing
HTTP Komprese
Request Rate Control
Konsolidace různorodých zařízení v DMZ
Snižuje komplikovanost managementuSnižuje riziko konfiguračních chyb
Reverse Proxy Web Application Firewall
LoadBalancing
SSLAccelerators Caching
Access Control Security
Výhody Barracuda WAF
Soustavná ochrana před vyvíjejícími se hrozbamiSoustavná ochrana před vyvíjejícími se hrozbami
Blokuje SQL injections, cross-sitescripting, session spoofinga mnoho dalších
Získávání nových schopnostpro blokování přicházejících hrozeb
Prevence odcizení datPrevence odcizení dat
Inspekce odchozího provozu
Výkonná authentikace aautorizace
Pomáhá akcelerovat výkon AplikacíPomáhá akcelerovat výkon Aplikací
ArchivaceBarracuda Message Archiver● výkonné, ale jednoduché řešení pro archivaci z MS Exchange a
Office365 s rozsáhlými možnostmi vyhledávání ve zprávách
Barracuda Archive One● výkonné řešení pro komplexní management e-mailové komunikace
MS Exchange s širokými možnostmi nastavení a vyhledávání ve zprávách
Barracuda PST Enterprisse● výkonný nástroj pro vyhledání, migraci a eliminaci PST souborů
MS Outlook
Barracuda Message Archiver● HW, Virtual, MS-Azure● Archivace veškeré e-mailové komunikace● Libovolný e-mail server včetně Office365 (Barracuda Cloud Relay)● Offload e-mailových serverů● Integrace s MSAD / LDAP● Podrobné prohledávání zpráv podle řady kriterií● Přístup ke zprávám i v případě výpadku e-mail server ● Jednoduché nastavení● Retenční politiky● Možnost zálohování do Barracuda Cloud● MS-Outlook plug-in – přistup k archivovaným zprávám obdobně jako k živým
Barracuda Message Archiver
Cloud Relay
Barracuda Archive One● SW řešení● Produkt spolećnosti C & C – Vývojového partnera společnosti
Microsoft – Akvizice 2014● Určeno pro spolupráci MS-Exchange (od 2007)● Archivace e-mailové komunikace podle řady kriterií● Offload e-mailových serverů● Integrace s MSAD / LDAP● Podrobné prohledávání zpráv podle řady kriterií● Konsolidované prohledávaání zpráv bez ohledu na umístění :
v e mailových schránkách, PST souborech, veřejných složkách, ‑archivech
● Přístup ke zprávám i v případě výpadku e-mail serveru ● Propracované retenční politiky● MS-Outlook plug-in – uživatel přistupuje k archivovaným zprávám
obdobně jako k živým
● Archive One File – Archivace souborů
Barracuda PST Enterprisse● PST soubory představují bezpečnostní riziko● Vyhledání PST souborů na serverech a prac. stanicích
● Klient bez instalace
● Rozsáhlá pravidla pro import zpráv● Možnost automaticky určovat vlastníka nepřipojených PST● Možnost exportu do archivů nebo Office 365● Možnost odpojení a vymazání souboru po archivaci
Děkuji za pozornost
Radko Hochman
Gesto Communications
www.gestocomm.cz
Www.barracuda.com