Verkon suojaamiseen tarkoitetut laitteet
Verkon suojaamiseen tarkoitetut laitteet ovat fyysisiä laitteita, jotka valvovat verkkoliikennettä, suodattavat paketteja ja suojaavat IT-infrastruktuuria luvattomalta pääsyltä. IT-osastoille, jotka ovat vastuussa yrityksen resurssien suojaamisesta, oikean laitteen valinta vaikuttaa organisaation kykyyn kestää kyberuhkia ja noudattaa säädöksiä, kuten NIS2-direktiiviä.
Tämä opas selittää, mitä eri laitetyypit ovat, mihin parametreihin kiinnittää huomiota ja mitä valmistajia löydät Seneticin valikoimasta.
Mihin palomuuri on tarkoitettu?
Palomuuri (engl. firewall) on laite tai ohjelmisto, joka valvoo liikennettä määriteltyjen turvallisuus sääntöjen perusteella. Se toimii sisäverkon ja ulkomaailman rajalla: se analysoi saapuvia paketteja, tarkistaa lähde-IP-osoitteet, porttinumerot ja protokollat, ja päättää sitten liikenteen päästämisestä tai estämisestä ylläpitäjän määrittelemien sääntöjen mukaan.
Palomuurit voivat olla laitteisto-, ohjelmisto- tai pilvipohjaisia.
- Laitteistopalomuurit (tunnetaan myös laitteistopalomuureina tai palomuurina) ovat omistettuja fyysisiä laitteita, joissa on oma prosessori ja muisti, riippumattomia verkon tietokoneiden käyttöjärjestelmästä.
- Ohjelmistopalomuurit toimivat isäntäjärjestelmän käyttöjärjestelmän tasolla ja suojaavat yksittäisiä koneita.
- Monet organisaatiot käyttävät hybridimallia, yhdistäen molemmat kerrokset.
Laitteistopalomuuri eroaa tavallisesta reitittimestä siinä, että se tarjoaa kehittyneitä mekanismeja:
- pakettien suodatus ottaen huomioon verkkoyhteyksien tilan (stateful inspection),
- osoitteiden käännös (network address translation, NAT),
- tunkeutumisen estojärjestelmät (IPS)
- syvä pakettitarkastus (DPI).
Perinteinen reititin siirtää liikennettä verkkojen välillä; palomuuri analysoi tätä liikennettä aktiivisesti uhkien varalta ja estää epäilyttävän toiminnan. Kyberturvallisuus vaatii monikerroksista lähestymistapaa, ja laitteistopalomuurit tarjoavat paremman suorituskyvyn ja luotettavuuden kuin puhtaasti ohjelmistopohjaiset ratkaisut, koska ne käsittelevät liikennettä omistetuilla piireillä, kuormittamatta palvelimien ja työasemien resursseja.
Verkon suojaamiseen tarkoitetut laitteet
Verkon suojaamiseen tarkoitettujen laitteiden valinta riippuu suojattavan verkon tyypistä, käyttäjien määrästä ja turvallisuusvaatimusten tasosta. Alla on käsitelty kategorioita, joita löytyy Seneticin valikoimasta.
Perinteiset palomuurit
Ensimmäisen sukupolven palomuurit perustuivat liikenteen suodattamiseen verkon tasolla: IP-osoitteiden, protokollien ja porttinumeroiden analysointi. Pakettien suodattavat palomuurit ovat yksinkertaisin palomuurityyppi ja ne toimivat edelleen hyvin pienissä yrityksissä, jotka tarvitsevat perussuojausta reunoilta ja estävät liikennettä tuntemattomista lähteistä. Perinteiset toiminnot sisältävät aktiivisten yhteyksien tilan seuraamisen, VPN:n ja pakettien suodattamisen OSI-mallin kerroksilla 3-4. Palomuurit estävät luvattoman pääsyn verkkoon ja vähentävät tietomurtojen riskiä, jopa tässä peruskonfiguraatiossa.
VPN-portit ja etäyhteyslaitteet
Virtuaalinen yksityisverkko (VPN) mahdollistaa turvalliset, salatut etäyhteydet yrityksen toimipisteiden välillä tai työntekijöille, jotka työskentelevät toimiston ulkopuolella. Omistetut VPN-portit tukevat IPsec- ja SSL/TLS-protokollia; palomuurit, joissa on VPN-integraatio, tarjoavat turvallisen pääsyn etätyöntekijöille. Siirron salaaminen on avainasemassa tietojen suojaamisessa verkossa.
Valmistajat
Seneticin valikoimassa on laitteita useilta valmistajilta, joista jokainen kohdistaa eri markkinasegmentteihin ja turvallisuusvaatimusten tasoihin.
Fortinet on johtaja, jolla on laaja laiteportfolio pienistä toimistoista datakeskuksiin. FortiGate-sarja yhdistää palomuurin, IPS:n, sovellusten hallinnan ja SSL-tarkastuksen Security Fabric -alustalla. Fortinetin ratkaisut ovat skaalautuvia ja niillä on korkea tarkastussyvyys.
Zyxel erikoistuu UTM- ja ATP-ratkaisuihin keskikokoisille yrityksille. USG- ja ATP-sarjan laitteet tarjoavat intuitiivisen hallintaliittymän, sisällön suodatuksen, sovelluspohjaisen hallinnan ja VPN:n. Valmistaja tarjoaa houkuttelevia hintoja, mikä on suuri etu organisaatioille, joissa helppo konfigurointi ja nopea käyttöönotto ovat etusijalla. Zyxel tukee asiakkaitaan aktiivisesti NIS2-direktiivin vaatimuksiin sopeutumisessa tarjoamalla laitteita, joissa on tapahtumaraportointitoimintoja ja verkkosegmentointia.
Ubiquiti
Ubiquiti Networks tarjoaa moderneja ratkaisuja, kuten Dream Machine ja UniFi Security Gateway, jotka on integroitu UniFi-ekosysteemiin. Alkuinvestointi on alhainen, ja hallinta tapahtuu yhdestä konsolista, joka kattaa kytkimet, pääsy-pisteet ja turvallisuusportin. Ubiquitin Wi-Fi-pisteet tukevat uusimpia salausstandardeja. NGFW-toiminnot ja TLS/IPS-tarkastus ovat vähemmän kehittyneitä kuin Fortinetillä; ratkaisu toimii hyvin paikoissa, joissa suojausvaatimukset eivät vaadi syvää salatun liikenteen tarkastusta.
Cisco
Cisco tarjoaa yritystason ratkaisuja: ASA (Adaptive Security Appliance), Secure Firewall ja Meraki-alusta pilvimenettelyllä. Portfolio sisältää kehittyneitä NGFW-toimintoja, integraation Talos-uhkatiedustelun kanssa ja skaalautuvia suojausratkaisuja suurille yrityksille, joilla on useita sijainteja. Lisenssit ja tuki ovat kalliimpia kuin kilpailijoilla, mutta integrointi- ja keskitetyn hallinnan mahdollisuudet tekevät Ciscosta standardin IT-alalla yritysorganisaatioille.
Meraki GO
Meraki GO on Cisco-tuoteperhe, joka on suunnattu pienille yrityksille, jotka tarvitsevat yksinkertaista palomuurin käyttöönottoa ja hallintaa mobiilisovelluksen kautta. Laitteet toimivat pilvimallissa: konfigurointi, valvonta ja päivitykset tapahtuvat etänä. Tämä on skaalautuva suojausratkaisu yrityksille ilman omistettua IT-tiimiä.
Planet
Planet tarjoaa taloudellisia VPN-ratkaisuja ja peruspalomuureja. Laitteet tukevat pakettien suodatusta, NAT:ia ja IPsec VPN:ää alhaisella hankintahinnalla. Tämä on vaihtoehto yrityksille, joilla on rajalliset IT-budjetit ja jotka tarvitsevat perussuojausta reunoilta ja turvallisia yhteyksiä toimipisteiden välillä.
Usein kysytyt kysymykset
Miten laitteistopalomuuri eroaa ohjelmistopalomuurista?
Laitteistopalomuuri on omistettu laite, jossa on oma prosessori, muisti ja ohjelmisto; se toimii riippumattomasti verkon tietokoneiden käyttöjärjestelmästä. Ohjelmistopalomuurit asennetaan palvelimelle tai työasemalle, mikä kuormittaa isäntäresursseja. Laitteistopalomuurit tarjoavat paremman suorituskyvyn ja luotettavuuden, koska ne käsittelevät liikennettä ilman vaikutusta muihin sovelluksiin. Ohjelmistopalomuurit ovat joustavampia ja halvempia ottaa käyttöön, joten monet organisaatiot käyttävät molempia ratkaisuja samanaikaisesti hybridimallissa.
Mitä UTM-lyhenne tarkoittaa ja miten se eroaa NGFW:stä?
UTM (Unified Threat Management) on laite, joka yhdistää palomuurin, IPS:n, virustorjunnan, sisällön suodatuksen, VPN:n ja roskapostin torjunnan yhteen koteloon. NGFW (next-generation firewall) keskittyy syvään pakettitarkastukseen, sovellustason hallintaan, SSL/TLS-tarkastukseen ja uhkatiedustelun integraatioon. UTM voi sisältää NGFW:n yhtenä toimintoina, mutta suurilla verkkoliikennemäärillä NGFW tarjoaa paremman suorituskyvyn, koska se käsittelee liikennettä erikoistuneemmilla mekanismeilla. UTM toimii hyvin keskikokoisissa yrityksissä, jotka etsivät yhtä hallintapistettä; NGFW on parempi valinta organisaatioille, joilla on korkea kaistanleveys ja kehittyneet turvallisuusvaatimukset.
Minkälaista kaistanleveyttä palomuurilta tulisi valita?
Hyvä sääntö on valita laite, joka tarjoaa vähintään 1,5-2 kertaa odotettua kuormitusta kaikilla turvallisuusominaisuuksilla päällä. Laitteen suorituskyky heikkenee, kun SSL-tarkastus, IPS ja sovellushallinta ovat aktiivisia samanaikaisesti. Jos yritys käyttää 1 Gbps yhteyttä, palomuurin, jossa on IPS ja SSL-tarkastus, tulisi tukea vähintään 2 Gbps näissä tiloissa.
Tarvitseeko laitteistopalomuuri tilauksen?
Kyllä, jos tarvitaan palveluja, kuten uhkasignaalien päivityksiä, URL-suodatusta, sandboxing- tai haittaohjelmasuojaa. Ilman aktiivista lisenssiä monet laitteet toimivat vain peruspalomuurina pakettien suodatuksella, menettämättä pääsyä uhkatiedustelutietokantoihin. Vanha laiteohjelmisto voi usein johtaa hyökkäyksiin, koska uusia haittaohjelmavariaatioita ei tunnisteta. Valmistajat, kuten Fortinet, tarjoavat FortiGuard- ja FortiCare-paketteja vuosittaisina, 3- ja 5-vuotisina vaihtoehtoina.
Mitä tapahtuu, kun laitteen lisenssi vanhenee?
Laite jatkaa toimintaa palomuurina perustoiminnoilla (pakettien suodatus, NAT, VPN), mutta menettää pääsyn päivityksiin, uusiin haittaohjelma määritelmiin, URL-suodatukseen ja sandboxingiin. Säännölliset päivitykset auttavat hallitsemaan laitteiden käyttöjärjestelmien haavoittuvuuksia; ilman niitä turvallisuusriski kasvaa. Yksi tietomurto voi maksaa miljoonia.
Kuinka monta käyttäjää palomuuri voi palvella pienessä yrityksessä?
Se riippuu verkkoliikenteen määrästä, samanaikaisten sessioiden määrästä ja käytettävistä turvallisuusominaisuuksista. 30-100 työntekijän yritykselle riittää yleensä UTM-laite, joka tukee 500-2000 samanaikaista sessiota ja 1-2 Gbps kaistanleveyttä täydellä suojauksella. Tehokas tietokoneverkon suojaus hyödyntää monipuolista laitteistoa ja hyviä käytäntöjä; palomuurin lisäksi on suositeltavaa toteuttaa verkkosegmentointi ja pääsynhallinta. Hallittava kytkin mahdollistaa porttien hallinnan ja liikenteen valvonnan, mikä tarjoaa lisätoimintoja liikenteen rajoittamiseksi hyökkäystilanteissa.
Mitä VPN-portti on ja milloin sitä tarvitaan?
VPN-portti on laite, joka mahdollistaa salattuja yhteyksiä yrityksen toimipisteiden välillä (site-to-site VPN) tai etätyöntekijöille (remote access VPN). Sitä tarvitaan aina, kun yrityksen tietoja siirretään julkisissa verkoissa tai Internetissä. Palomuurit, joissa on VPN-integraatio, tarjoavat turvallisen pääsyn etätyöntekijöille ilman erillisen laitteen hankintaa. Monivaiheista todennusta tulisi käyttää kriittisissä resursseissa, jotka ovat saatavilla VPN:n kautta.
Mitä korkean saatavuuden (HA) tila tarjoaa?
HA-tila tarkoittaa laitteiston redundanssia: kaksi identtistä laitetta toimii rinnakkain, ja jos toinen niistä vikaantuu, toinen ottaa liikenteen hallintaansa ilman keskeytystä. Kriittisille toimijoille ja julkisille laitoksille, jotka tarvitsevat jatkuvaa suojaa 24/7, HA eliminoi yksittäisen laitteen vikaantumisen aiheuttaman seisokin riskin. HA-konfiguraatio vaatii kaksi identtistä laitetta, joissa on asianmukaiset HA-portit ja lisenssit.
Korvataanko palomuurilla tietokoneiden virustorjunta?
Ei. Palomuuri suojaa tietovirtaa verkon tasolla analysoimalla saapuvaa ja lähtevää liikennettä, estäen haitallisen liikenteen ja luvattoman pääsyn. Virustorjuntaohjelma suojaa päätepisteitä (tietokoneita, palvelimia) tartunnan saaneilta tiedostoilta, paikallisesti käynnistetyiltä haittaohjelmilta ja sisäverkon hyökkäyksiltä. Kyberturvallisuus vaatii monikerroksista lähestymistapaa, ja molemmat ratkaisut täyttävät täydentäviä rooleja. Ilman verkkosegmentointia haittaohjelmat voivat levitä nopeasti, vaikka palomuuri verkon reunoilla olisi oikein konfiguroitu. Myös reitittimien ja pääsy-pisteiden laiteohjelmistoa tulisi päivittää säännöllisesti, sillä heikot salasanat ovat yleinen syy hyökkäyksiin ja muodostavat haavoittuvuuden, joka on riippumaton palomuurista.
