Cisco Adaptive Security Appliance (ASA)

Основная статья: Межсетевой экран (Firewall)

Cisco ASA (Adaptive Security Appliance) — серия аппаратных межсетевых экранов, разработанных компанией Cisco Systems.

Является наследником следующих линеек устройств:

• Межсетевых экранов Cisco PIX;
• Систем обнаружения вторжений Cisco IPS 4200;
• VPN-концентраторов Cisco VPN 3000.

Так же как и PIX, ASA основаны на процессорах x86. Начиная с версии 7.0 PIX и ASA используют одинаковые образы операционной системы (но функциональность зависит от того, на каком устройстве она запущена). ИТ-директор «Роснефти» Дмитрий Ломилин выступит на TAdviser SummIT 28 ноября

Функциональность зависит от типа лицензии, который определяется введенным серийным номером. Интерфейс командной строки напоминает (но не повторяет) интерфейс Cisco IOS. Управлять устройством можно через telnet, SSH, веб-интерфейс либо с помощью программы Cisco Security Manager.

Возможности

• Межсетевое экранирование с учетом состояния соединений;
• Глубокий анализ протоколов прикладного уровня;
• Трансляция сетевых адресов;
• IPsec VPN;
• SSL VPN (подключение к сети через веб-интерфейс);
• Протоколы динамической маршрутизации (RIP, EIGRP, OSPF).
• ASA не поддерживают протоколы туннелирования (такие, как GRE) и policy-based routing.

Cisco ASA впервые в отрасли предлагает функции межсетевого экранирования и соблюдения правил с учетом контекста. При этом учитывается локальный контекст (с помощью Cisco TrustSec), глобальный контекст (с помощью Cisco Security Intelligence Operations) и мобильные данные (с помощью Cisco AnyConnect). Все это позволяет заказчикам решения Cisco ASA получать полное представление о своей сетевой инфраструктуре, повышать уровень информационной безопасности и разрабатывать оптимальные политики, соответствующие правилам бизнеса. Пользователи, приложения, данные, репутации, устройства, текущие состояния, угрозы, адресаты, источники и местоположения - вот лишь некоторые компоненты многостороннего комплексного контекста, который учитывает Cisco ASA. Это позволяет заказчикам расширять существующую доверенную инфраструктуру межсетевых экранов и развивать ее в соответствии с динамическими потребностями предприятия и его сотрудников.

Продолжая развивать свою широко известную стратегию информационной безопасности Cisco SecureX, компания Cisco оснастила самый популярный в мире межсетевой экран Cisco Adaptive Security Appliance новой функциональностью Cisco ASA CX (решение для информационной безопасности, учитывающее контекст).Это решение выводит платформу Cisco ASA далеко за пределы возможностей, доступных для современных межсетевых экранов "нового поколения", позволяя гораздо лучше распознавать угрозы и очень гибко настраивать правила доступа для различных приложений. Cisco ASA CX дает возможность сетевым администраторам определять, какие именно устройства и пользователи имеют право получить тот или иной тип доступа к сетевым ресурсам, а также к тысяче с лишним приложений и 75 тысячам микроприложений.

Cisco ASA CX - решение нового поколения для информационной безопасности с учетом контекста Это решение расширяет платформу ASA, еще выше поднимая отраслевую планку прозрачности и глубины детализации систем управления. Cisco ASA CX распознает более тысячи приложений, таких как Facebook, Google+, LinkedIn, Twitter и iTunes, и подразделяет их на 75 тысяч с лишним микроприложений. Затем все микроприложения сводятся в простые для понимания категории, что позволяет администраторам межсетевых экранов легко разрешать или запрещать доступ к тем или иным частям "большого" приложения (к примеру, микроприложения Facebook распределяются по категориям "бизнес", "сообщество", "образование", "развлечения", "игры" и т.д.). В результате ИТ-отделы получают возможность предоставлять пользователям доступ к большему количеству приложений, сводя к минимуму число абсолютных запретов.

Cisco ASA CX использует широкие возможности сетевой архитектуры безопасности Cisco SecureX Framework, учитывающей контекст и работающей в унифицированных сетях доступа, граничных сетях, сетях корпоративных подразделений и центров обработки данных, а также в облачных сетевых сегментах. Эта архитектура полностью поддерживается продуктами и услугами Cisco для информационной безопасности. Cisco ASA CX отличается от всех других межсетевых экранов. Только это решение использует систему SecureX для получения полного доступа к интеллектуальным сетевым функциям и агрегации данных, поступающих из локальной сети, с помощью системы Cisco AnyConnect Secure Mobility, а также для получения информации о хакерских угрозах в режиме, близком к реальному времени, из глобального центра Cisco Security Intelligence Operation (Cisco SIO) , непрерывно предоставляющего заказчикам Cisco самый высокий уровень защиты.

Это решение дает сетевым администраторам возможность устанавливать устройства и приложения с высоким уровнем защиты и управляемости. Администраторы получают четкие данные о типе устройства, установленной на нем операционной системе, местоположении устройства и текущем уровне безопасности.

2022

Исправление опасной уязвимости, раскрывающей RSA-ключ

Cisco устранила уязвимость высокого уровня опасности, затрагивающую ПО Adaptive Security Appliance (ASA) и Firepower Threat Defense (FTD). Об этом стало известно 11 августа 2022 года. Ошибка CVE-2022-20866 с оценкой CVSS 7,4 связана с недостатком в обработке RSA-ключей на устройствах ASA и FTD. Даже недействительный или поврежденный RSA-ключ может расшифровать трафик устройства.

В случае благополучного использования ошибка может позволить неавторизованному злоумышленнику удаленно получить закрытый RSA-ключ, который он может использовать для расшифровки трафика устройства или олицетворения устройств Cisco ASA/FTD.

Согласно бюллетеню по безопасности Cisco , эта уязвимость возникает из-за логической ошибки, когда RSA-ключ хранится в памяти на аппаратной платформе, выполняющей аппаратную криптографию. Злоумышленник может воспользоваться этой уязвимостью и провести атаку по стороннему каналу с помощью алгоритма Ленстра. RSA-ключи в уязвимых версиях ПО могут быть уязвимы для кражи, независимо от того, где они были сгенерированы.

Уязвимость затрагивает продукты Cisco, использующие уязвимое ПО Cisco ASA (9.16.1 и выше) или Cisco FTD (7.0.0 и выше), которые выполняют аппаратные криптографические функции:

• ASA 5506-X с сервисами FirePOWER Services;
• ASA 5506H-X с сервисами FirePOWER Services;
• ASA 5506W-X с сервисами FirePOWER Services;
• ASA 5508-X с сервисами FirePOWER Services;
• ASA 5516-X с сервисами FirePOWER Services;
• Firepower 1000 Series Next-Generation Firewall
• Firepower 2100 Series Security Appliances
• Firepower 4100 Series Security Appliances
• Firepower 9300 Series Security Appliances
• Secure Firewall 3100

По словам Cisco, если ключ был настроен для использования в любое время, также возможно, что закрытый RSA-ключ был передан злоумышленнику. Из-за этой уязвимости администраторам устройств Cisco ASA или FTD может потребоваться удалить поврежденные или уязвимые RSA-ключи и, возможно, отозвать любые сертификаты, связанные с этими ключами.

Группа реагирования на инциденты безопасности Cisco (PSIRT) не обнаружила доказательств использования недостатка в атаках, хотя информация об этой уязвимости уже была опубликована. Рекомендации по безопасности Cisco предоставляют дополнительную информацию об уязвимых конфигурациях и индикаторах компрометации для исправленных версий Cisco ASA или FTD^[1].

Устранение уязвимости, позволяющей злоумышленнику попасть во внутреннюю сеть

Уязвимость Cisco ASA могла позволить злоумышленнику попасть во внутреннюю сеть. Об этом стало известно 25 мая 2022 года.

Cisco выпустила обновление программного обеспечения, устраняющее эту уязвимость.

Компания Cisco исправила уязвимость переполнения кучи ( CVE-2022-207372 , 8,5 балла по шкале CVSS 3.0) в Cisco Adaptive Security Appliance (ASA)3, обнаруженную исследователем Positive Technologies Никитой Абрамовым. Уязвимость позволяет злоумышленнику, прошедшему проверку подлинности, вызвать состояние отказа в обслуживании (DoS) на уязвимом устройстве или получить доступ к его памяти, которая может содержать конфиденциальную информацию.

Если у атакующего имеется доступ к клиентскому средству удаленного доступа SSL VPN, встроенному в Cisco ASA, то он может использовать это средство для формирования специального типа запросов и их дальнейшей отправки на подконтрольный злоумышленнику сайт. Определенная последовательность таких запросов может привести к утечке содержимого памяти Cisco ASA, которая, в свою очередь, может содержать конфиденциальные данные, например куки или сессии активных пользователей, часть конфигурационных данных, имена пользователей и их пароли и многое другое. С помощью такой информации можно, например, попасть в другую подсеть или даже получить доступ к панели администратора. Уязвимость также позволяет вызвать сбой в работе Cisco ASA, деактивировав, в частности, средство удаленного доступа для всех пользователей межсетевого экрана, — рассказал Никита Абрамов[2].

2021: Устранение уязвимости, позволяющей вызвать отказ в обслуживании

Positive Technologies 7 мая 2021 года сообщила о обнаружении двух уязвимостей в программном обеспечении Adaptive Security Appliance и Firepower Threat Defense аппаратных межсетевых экранов Cisco. Распространенность данных уязвимостей крайне велика, они затрагивают, по оценкам компании, сотни тысяч устройств.

Главная опасность заключается в возможности отправить специально сформированный пакет, что позволит вызвать отказ в обслуживании межсетевого экрана, — отмечает Никита Абрамов. — Попутно устройство будет перезагружено, а пользователи лишатся возможности попасть во внутреннюю сеть организации (например, через VPN-подключение), что может сильно повлиять на бизнес-процессы в условиях пандемии. Число устройств, подверженных этим уязвимостям, сравнимо с количеством оборудования, затронутого ошибкой CVE-2020-3259, которая была обнаружена на 220 тысячах устройств.

Для атаки не требуется каких-либо дополнительных прав, доступа или авторизации. Достаточно отправить определенный запрос по определенному пути. По словам эксперта, опасность грозит любой организации, которая использует уязвимые устройства для обеспечения сотрудников доступом ко внутренним ресурсам (посредством VPN).

Обе ошибки, CVE-2021-1445 и CVE-2021-1504, получили оценку 8,6 баллов по шкале CVSS 3.1, что соответствует высокому уровню опасности. С технической точки зрения это логические ошибки, они часто возникают из-за невнимательности разработчика, вследствие недостаточного тестирования кода на этапе разработки.

Для устранения уязвимостей необходимо руководствоваться рекомендациями, которые указаны в официальном уведомлении компании Cisco. В случае успешной атаки одним из способов выявить признаки проникновения является применение систем класса SIEM, которые дают возможность выявить подозрительное поведение, зарегистрировать инцидент и своевременно остановить продвижение злоумышленников внутри корпоративной сети.

2020

Устранение уязвимости, позволяющей получить доступ к веб-интерфейсу устройства

23 июля 2020 года Positive Technologies сообщила, что ее эксперт Михаил Ключников выявил опасную уязвимость в межсетевом экране Cisco ASA. С ее помощью удаленный неавторизованный злоумышленник может получить доступ к файлам, которые относятся к веб-интерфейсу устройства, что чревато раскрытием конфиденциальной информации. Компания Cisco опубликовала обновление, в котором данная ошибка исправлена, и рекомендует установить патч как можно скорее.

Уязвимость, получившая идентификатор CVE-2020-3452 и оценку 7.5 по шкале CVSSv3, относится к высокому уровню опасности. Ошибка существует из-за недостаточной проверки входных данных. Атакующему достаточно отправить специально сформированный HTTP-запрос, чтобы получить доступ к файловой системе (RamFS), которая хранит данные в оперативной памяти. Злоумышленник потенциально может прочитать некоторые файлы, относящиеся к WebVPN, которые могут содержать такую информацию, как конфигурация WebVPN пользователей Cisco ASA, закладки, куки, веб-контент и URL-адреса HTTP, — рассказал эксперт Positive Technologies Михаил Ключников.

Для устранения уязвимости необходимо обновить Cisco ASA до последней версии.

Устранение двух опасных для удаленной работы уязвимостей

8 мая 2020 года Positive Technologies сообщила, что ее эксперты Михаил Ключников и Никита Абрамов выявили и помогли устранить две критически опасные уязвимости в межсетевом экране Cisco ASA. Их эксплуатация может привести к тому, что сотрудники компании не смогут подключиться к VPN или в корпоративную сеть проникнет злоумышленник. Компания Cisco выпустила обновления: Positive Technologies рекомендует установить их в кратчайшие сроки.

С начала января 2020 года число доступных из интернета и уязвимых Cisco ASA, на которых можно за одну минуту отключить VPN или перехватить идентификатор пользователя для доступа во внутреннюю сеть предприятия, увеличилось на 30% — с 170 тысяч до более 220 тысяч. Почти половина таких устройств находится в США (47%). Далее следуют Великобритания (6%), Германия и Канада (4%), Япония и Россия (по 2%). Cisco VPN по итогам проведенного источником опроса лидирует как средство организации удаленного доступа в крупных российских компаниях: 28% респондентов отметили использование данного ПО.

Первая уязвимость с идентификатором CVE-2020-3187 получила оценку 9,1, что означает критический уровень опасности. Ее эксплуатация не требует высокой квалификации от злоумышленника. Воспользовавшись уязвимостью в WebVPN, неавторизованный внешний злоумышленник может проводить DDoS-атаки на устройства Cisco ASA просто удаляя файлы из системы. Такие действия позволяют отключить VPN в Cisco ASA. Помимо этого, ошибка дает злоумышленнику возможность читать некоторые файлы, относящиеся к веб-интерфейсу VPN.

Блокировка VPN грозит нарушением множества бизнес-процессов. Например, может быть нарушена связанность филиалов в распределенной корпоративной сети, могут перестать работать электронная почта, ERP и другие ключевые системы. Другая проблема — возможная недоступность внутренних ресурсов для сотрудников, работающих удаленно. Это крайне опасно, так как многие компании в связи со вспышкой коронавируса переходят или уже перешли на дистанционную работу, — отметил эксперт Positive Technologies Михаил Ключников, выявивший уязвимость.

Вторая уязвимость в Cisco ASA, обнаруженная Михаилом Ключниковым и Никитой Абрамовым, получила оценку 7,5 (CVE-2020-3259). Ее эксплуатация позволяет читать некоторые части динамической памяти устройства и получить актуальный идентификатор сессии пользователя, подключенного к Cisco VPN. Используя клиент для Cisco VPN, злоумышленник может указать украденный идентификатор сессии и войти во внутреннюю сеть организации. Кроме того, в памяти Cisco ASA может храниться и другая конфиденциальная информация, которая поможет при дальнейших атаках, например имена пользователей, адреса электронной почты, сертификаты. Данная уязвимость также может быть реализована удаленно и не требует авторизации.

Эксперты Positive Technologies отмечают, что для устранения уязвимости необходимо обновить Cisco ASA до последней версии. Также для блокировки возможной атаки компании могут использовать межсетевые экраны уровня приложений. Например, PT Application Firewall обнаруживает и блокирует эксплуатацию CVE-2020-3187 «из коробки»: систему следует перевести в режим блокировки опасных запросов для защиты в реальном времени. С помощью последнего обновления PT Application Firewall также выявляет и блокирует атаки через уязвимость CVE-2020-3259. Для своевременного выявления подобных уязвимостей в инфраструктуре рекомендуется использовать автоматизированные сканеры уязвимостей, в частности MaxPatrol 8.

В Positive Technologies подчеркивают, что недостаточное внимание к устранению этих уязвимостей вкупе с общим ростом числа удаленных рабочих столов, уязвимых для BlueKeep (CVE-2019-0708), существенно повышает шансы злоумышленников на проведение успешных атак, нацеленных на доступ к конфиденциальной информации, к критически важным для бизнеса сетям и системам (включая технологические сети, сети управления банкоматами, процессинг, серверы «1С»).

2017: «Элвис-Плюс» расширила перечень услуг поддержки ASA 5500

19 июля 2017 года компания «ЭЛВИС-ПЛЮС» заявила о расширении спектра оказываемых услуг и предложила услуги сертификации и технической поддержки межсетевых экранов серии ASA 5500 производства Cisco Systems.

Действующие требования регулятора обязывают организацию-заявителя обеспечить поддержку и обновление софта на протяжении жизненного цикла изделия. При этом зарубежные поставщики должны осуществлять распространение своих обновлений через локальные ресурсы российских юридических лиц^[3].

Компания «ЭЛВИС-ПЛЮС» обладает необходимыми полномочиями и компетенциями, готова оказывать заказчикам услуги по организации сертификационных испытаний межсетевых экранов Cisco серии ASA5500 в системе сертификации ФСТЭК России, а также своевременную оперативную поддержку и внесение в программное обеспечение обновлений, связанных с выявленными уязвимостями.

Доверив проведение работ по сертификации нашей компании, заказчики не только существенно сократят свои временные и финансовые издержки, связанные с получением документов, разрешающих использование указанных продуктов для защиты конфиденциальной информации, но и получат гарантированную и своевременную услугу по получению обновлений, направленных на нейтрализацию обнаруженных в изделии уязвимостей. Сергей Акимов, заместитель генерального директора «ЭЛВИС-ПЛЮС»

2016: Продлен сертификат ФСТЭК России по схеме «серия» на Cisco ASA

Летом 2016 года был продлен сертификат ФСТЭК России по схеме «серия» на новую версию ПО для платформы Cisco ASA, позволяющую устанавливать на нее расширенный защитный функционал FirePOWER. Сертификация была произведены испытательной лабораторией «САТЕЛ».

Обновленный сертификат №2934 на межсетевой экран Cisco ASA 5500-X подтвердил соответствие последней версии флагманского продукта Cisco в области сетевой безопасности (9.6) требованиям руководящего документа ФСТЭК «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» по 3-му классу защищенности.

Многофункциональные сервисы Cisco Firepower, устанавливаемые на платформу Cisco ASA 5500-X, блокируют 99,2% угроз. Только устройство Cisco ASA с FirePOWER Services, включающее в себя расширенный защитный функционал (межсетевой экран нового поколения, системы предотвращения вторжений нового поколения и борьбы с вредоносным кодом, сканер уязвимостей и др.), продемонстрировало такую высокую эффективность защиты в ходе независимого тестирования межсетевых экранов нового поколения, произведенного компанией NSS Labs в 2015 году.

2014: Cisco ASA 5500 с функциями FirePOWER

16 сентября 2014 года Cisco представила первый в отрасли межсетевой экран нового поколения, ориентированный на угрозы - Cisco ASA с функциями FirePOWER.

Cisco ASA 5500 с функциями FirePOWER

Cisco ASA 5500 с функциями FirePOWER

Посредством первого в отрасли ориентированного на угрозы межсетевого экрана (МСЭ) Cisco нового поколения у компаний появится новый инструмент защиты от изощренных угроз. Cisco ASA с функциями FirePOWER обеспечивает полную осведомленность о контексте и динамические механизмы безопасности, что необходимо для автоматической оценки угроз, корреляции аналитических данных и оптимизации мер безопасности для защиты всех сетей. Объединяя надежный межсетевой экран Cisco ASA 5500 с системой управления приложениями, а также разработанными компанией Sourcefire предотвращения вторжений (СОВ) нового поколения и усиленной защитой от вредоносного кода Advanced Malware Protection (AMP), Cisco создала комплексное решение для защиты на протяжении всего жизненного цикла атаки.

Cisco ASA с функциями FirePOWER представляет собой адаптивное, ориентированное на угрозы решение, обеспечивающее превосходную многоуровневую защиту и реализующее возможности, недоступные прежним МСЭ нового поколения. До сих пор МСЭ нового поколения фокусировались на политиках и управлении приложениями и не были в состоянии бороться с современными атаками и атаками нулевого дня.

Cisco ASA с функциями FirePOWER использует совершенно иной подход, основанный на прозрачности, ориентации на угрозы и работе на платформе:

• Прозрачность означает полную осведомленность о контексте (пользователях, мобильных устройствах, клиентских приложениях, взаимодействии виртуальных машин, уязвимостях, угрозах, URL-адресах и других важных телеметрических данных). Пользователи получают в свое распоряжение возможности управления корпоративного класса — панели мониторинга и подробнейшие отчеты об обнаруженных хостах, подозрительных приложениях, угрозах и индикаторах компрометации, что делает сетевую активность абсолютно прозрачной.
• Ориентация на угрозы. В Cisco ASA с функциями FirePOWER задействованы ведущие системы предотвращения вторжений нового поколения для полноценной защиты от известных и современных угроз, а также система AMP для борьбы с атаками нулевого дня и целенаправленными атаками. Аналитика больших данных, непрерывный анализ и интеллектуальная экосистема коллективной информационной безопасности Cisco CSI обеспечивают возможность обнаружения, блокировки, отслеживания, анализа и восстановления для защиты от всего спектра известных и неизвестных угроз.
• Работа на платформе. Cisco ASA с функциями FirePOWER объединяет возможности межсетевого экрана, системы управления приложениями и ведущей системы предотвращения вторжений нового поколения, а также расширенные функции обнаружения угроз и восстановления в одном устройстве. Такая интеграция позволяет усилить защиту корпоративной информационной системы, одновременно снижая ее сложность и затраты на сопровождение. Новое решение упрощает архитектуру информационной безопасности и экономит сетевые ресурсы (становится меньше устройств безопасности, которые необходимо разворачивать и контролировать, а для расширения функциональности можно приобрести дополнительные подписки).

Cisco ASA с функциями FirePOWER обеспечивает комплексную защиту от угроз и по-настоящему помогает компаниям справиться с самыми серьезными рисками безопасности — современными угрозами и угрозами нулевого дня.

Cisco ASA с функциями FirePOWER предоставляет непревзойденные возможности для мониторинга и непрерывного анализа с целью обнаружения современных, разнонаправленных угроз, упрощает и автоматизирует процесс реагирования на известные и неизвестные типы вредоносного кода. Пользователи получают целостные, имеющие практическую ценность индикаторы компрометации, ускоряющие расследование угроз и их устранение с использованием ретроспективных данных. Кроме того, доступны встроенные функции для оценки области реагирования на инциденты и автоматического обновления политик обнаружения.

Эти возможности обеспечиваются межсетевым экраном корпоративного класса с контролем состояния соединений, VPN, механизмами кластеризации и управления на прикладном уровне. Используемые совместно, эти компоненты реализуют применяемые в СОВ нового поколения специализированные политики обнаружения угроз для оптимизации системы информационной безопасности. Интеграция с такими решениями на основе открытого исходного кода, как Snort, OpenAppID и ClamAV, позволяет заказчикам легко настроить функции безопасности для максимально быстрого создания систем защиты любых приложений от новых или известных угроз.

2012

Cisco ASA 5500-X

В состав семейства устройств для информационной безопасности Cisco ASA входят модели ASA 5512-X, 5515-X, 5525-X, 5545-X и 5555-X, оптимизированные для установки в граничных сегментах сетей, предоставляющих доступ в Интернет как малым, так и большим предприятиям. Учитывая контекст с помощью архитектуры Cisco SecureX Framework, эти устройства поддерживают множество услуг информационной безопасности без установки дополнительных аппаратных модулей, работают на мультигигабитных скоростях, предоставляют широкий выбор интерфейсов и обладают резервными блоками питания – и все это заключено в компактный корпус 1RU. В качестве опции предлагается более широкая и глубокая защита сети с помощью интегрированных облачных и виртуализированных программных сервисов информационной безопасности, поддерживаемых центром анализа сетевых угроз Cisco SIO.

В сентябре 2012 года компания Cisco анонсировала новые решения для информационной безопасности, предназначенные для защиты центров обработки данных от угроз, возникающих при переходе к более консолидированной и виртуализированной среде. Кроме того, новые решения предоставят заказчикам преимущества новых облачных бизнес-моделей. Все анонсированные решения расширяют возможности технических специалистов ЦОД и специалистов по информационной безопасности в том, что касается комплексной защиты мощных ЦОДов и мобильных сотрудников.

Были анонсированы: новое отлично масштабируемое программное обеспечение для самого распространенного в мире сетевого экрана Cisco Adaptive Security Appliance (ASA); виртуализированные сетевые экраны ASA для многопользовательской среды; система предотвращения вторжений (IPS) для ЦОДов и новые усовершенствования для безопасного мобильного клиента Cisco AnyConnect Secure Mobility Client, поддерживающие строгие требования трудовых коллективов, стремящихся в повышению своей мобильности и производительности.

Виртуализацию и облачные вычисления можно назвать "мегатрендом", вызывающим глубокие изменения в центрах обработки данных. Этот "мегатренд" оказывает влияние на все аспекты функционирования ЦОДов – от ИТ-сервисов до бизнес-моделей и архитектур. Правильное отношение к подобным трендам дает бизнесу такие преимущества, как сокращение капитальных расходов и использование новых возможностей для развития и повышения эффективности, гибкости и масштабируемости, столь необходимой в эпоху глобализации. Анонсируя эти решения, Cisco помогает системам информационной безопасности решать целый ряд важных задач, в том числе удовлетворять требования быстро меняющихся высокопроизводительных виртуальных и облачных инфраструктур, все более сложных сетей, строгих законодательных и нормативных требований, а также сотрудников, которые приносят на работу свои домашние устройства.

Исходя из того, что для надежной защиты унифицированных центров обработки данных системы информационной безопасности должны быть тесно интегрированы в сеть, компания Cisco выступает за унификацию сетевых политик в физическом и виртуальном мирах. Необходимо также защищать коммуникации между виртуальными машинами и доступ к приложениям со стороны фиксированных и мобильных клиентов. Такой подход к безопасности стал абсолютно необходим после того, как заказчики задумались о переходе к облачным вычислениям и о внедрении более гибкой корпоративной культуры, предоставляющей сотрудникам возможность работы на любых устройствах. Новейшие продукты Cisco полностью поддерживают этот подход.

Межсетевой экран Cisco ASA 5500-X (модели Cisco ASA 5512/5515/5525/5545/5555/5585) получил летом 2013 года сертификат ФСТЭК России сроком на три года. Это устройство признано соответствующим требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» по 3-му классу защищенности.

Сертификация проведена по схеме «серия» испытательной лабораторией ЗАО «ДОКУМЕНТАЛЬНЫЕ СИСТЕМЫ». В результате в дальнейшем у покупателей межсетевых экранов Cisco ASA 5500-X сократятся временные и финансовые издержки на получение документов, разрешающих их использование для защиты конфиденциальной информации. Заявитель сертификации – ООО «Верком».

Cisco ASA 9.0

Это обновление повышает производительность платформы до уровня, необходимого мощным центрам обработки данных, поддерживая пропускную способность сетевого экрана до 320 Гбит/с, а системы IPS – до 60 Гбит/с. Теперь данная платформа поддерживает до 1 млн соединений в секунду и 50 млн одновременных соединений, и при этом в восемь раз превосходит конкурирующие решения по плотности.

Платформа Cisco ASA 9.0 позволяет заказчику оплачивать ресурсы постепенно, по мере масштабирования системы и роста трафика виртуальных машин, избавляя его от крупных капитальных платежей на начальных этапах проекта. Масштабирование достигается с помощью кластеризации, позволяющей ИТ-специалистам управлять стеком ASA как единым логическим устройством.

Платформа учитывает контекст, что позволяет поддерживать прозрачность и управляемость на качественно новом уровне. Она поддерживает групповые метки TrustSec и функции сетевой идентификации и экранирования, повышающие прозрачность и позволяющие устанавливать в сети более точные и подробные правила (политики). Платформа поддерживает безопасность многопользовательской и облачной среды.

Платформа Cisco ASA 9.0 хорошо интегрируется с решением для веб-безопасности Cisco Cloud Web security (прежнее название - ScanSafe), что дает возможность проводить глубокое сканирование контента без ущерба для производительности сетевого экрана ASA.

И, наконец, эта платформа поддерживает расширенные функции отлично защищенного удаленного доступа по каналам IPv6 с минимальным ущербом для производительности, а также шифрование нового поколения, в том числе криптографические алгоритмы NSA `Suite B`.

Cisco ASA 1000V: базовая технология ASA, оптимизированная для виртуальной и облачной среды

Этот сетевой экран ASA специально разработан для многопользовательских виртуальных и облачных инфраструктур. В отличие от конкурирующих предложений, он выходит за пределы обычного физического устройства ASA, работающего на виртуальной машине, предоставляя заказчику небывалую гибкость и повышенную эффективность использования ресурсов.

Один экземпляр ASA 1000V может защитить множество рабочих потоков, работающих под управлением разных политик информационной безопасности на разных хостах ESX. В результате сокращается сложность установки и повышается масштабируемость данного решения в разнородной среде.

Это решение защищает граничные сегменты сети заказчика и делит сеть на отлично защищенные сегменты, поддерживая полную информационную безопасность в физической, виртуальной и облачной среде (как частной, так и общедоступной) с помощью проверенного на практике сетевого экрана.

В состав решения входит лучший в отрасли коммутатор Cisco Nexus® 1000V. Данное решение дополняет функции виртуального шлюза информационной безопасности Cisco Virtual Security Gateway (VSG) и формирует комплексную систему защиты виртуальных и облачных инфраструктур.

Межсетевой экран Cisco ASA теперь доступен не только в виде аппаратного решения, но также и в виде независимой виртуальной машины. Cisco ASA 1000V Cloud Firewall специально оптимизирован для поддержания безопасности многопользовательских инфраструктур, Cisco ASA 1000V способен обеспечить надежное функционирование физических, виртуальных и облачных инфраструктур в комплексе.

Используя проверенные технологии Adaptive Security Appliance (ASA), экран Cisco ASA 1000V нацелен на виртуальную и облачную среду. От привычной «железной» ASA он отличается как раз виртуальностью, которая проявляется в высокой доступности и независимости от инфраструктуры. Выходя за пределы стандартного устройства ASA, функционирующего на виртуальной машине, Cisco ASA 1000V обеспечивает особую гибкость управления и повышенную эффективность использования ресурсов, что в совокупности с признанной стабильностью технологий ASA и широким функционалом выгодно отличает Cisco ASA 1000V от конкурирующих предложений.

Используемое средство контроля сетевого трафика Cisco Virtual Security Gateway (VSG) гарантирует безопасность в многопользовательских средах, функциональность шлюзов и защиту от сетевых атак. Его функции дополняются за счет коммутатора Cisco Nexus 1000V, интеграция с которым позволяет обеспечить безопасность сразу нескольких хостов VMware ESX, что повышает масштабируемость в разнородной среде и упрощает установку.

Cisco ASA 1000V Firewall также использует Cisco Virtual Network Management Center, что дает следующие преимущества:

• быстрое и масштабное развертывание с помощью динамичной шаблонной политики управления на основе профилей безопасности;
• повышение гибкости управления через XML API, что помогает обеспечить программную интеграцию со сторонними инструментами управления;
• совместное управление соответствующими интерфейсами сети, серверами и администраторов безопасности.

Разделяя сеть на защищенные сегменты и охватывая граничные области, Cisco ASA 1000V гарантирует комплексную информационную безопасность физической, виртуальной и облачной среды, обеспеченной на базе проверенного практикой сетевого экрана.

Cisco IPS 4500 Series: система предотвращения вторжений (IPS) для ЦОД

Эта система показывают самую высокую производительность и плотность в отрасли: 10 Гбит/с на стойку, – а также высочайшую эффективность защиты приложений в центре обработки данных. Система специально разработана для центров обработки данных. Она защищает критически важные ресурсы ЦОД с помощью компактного (2RU) устройства с функциями IPS, обладающего отличной производительностью и плотностью.

Данное решение позволяет легко встраивать функции предотвращения вторжений (IPS) в самые разные сети и обеспечивать взаимодействие с существующими сетевыми элементами. Оно позволяет принимать эффективные решения по сдерживанию угроз с помощью учета контекста IPS и репутации сетей.

Примечания