Lancom Systems 55087 Software-Lizenz/-Upgrade Basis 5 - 30 Lizenz(en) 3 Jahr(e)

Von A bis Z abgesichert: UTM-Security-Features für Unified Firewalls

Die digitalisierte Gegenwart und ausgeklügelte Cyber-Angriffe definieren die Regeln für Ihre Netzwerksicherheit neu. Anwendungskontrolle und -blockierung sowie Angriffserkennung und -prävention sind für sichere IT-Netzwerke daher ein Muss. Integriert im leistungsstarken Firewall-Betriebssystem LCOS FX sorgen diese und weitere branchenführenden UTM-Sicherheitsfunktionen für eine vertrauenswürdige IT-Infrastruktur "Made in Germany" und einen erheblichen Sicherheitsvorteil für Ihr Netzwerk. Das Feature-Set für die LANCOM R&S®Unified Firewalls und LANCOM vFirewalls wird regelmäßig erweitert, sodass professionelle Netzwerke auch gegen neuartige Risiken geschützt sind.

Application Manage­ment & R&S®PACE 2 DPI-Engine

DPI-basierte Kontrolle über Anwendungen und Inhalte
Die Überwachung digitaler Anwendungen sowie die präzise Klassifizierung des Netzwerkverkehrs auf Anwendungsebene sind nur zwei der vielen Aufgaben einer Deep Packet Inspection (DPI)-Engine. Die branchenführende R&S®PACE 2 DPI-Engine überprüft dabei Datenpakete bis auf Layer 7 – sie analysiert also nicht nur die Metadaten, sondern auch den Datenbereich eines Datenpakets. Mittels Application Management ermöglicht die DPI-Engine Ihnen somit selbst zu entscheiden, welche Anwendungen, Anwendungsgruppen oder Protokolle in Ihrem Netzwerk erlaubt (validiert), gefiltert oder blockiert werden sollen (Application Filter, Application-based Routing). Über definierbare Black- und Whitelists können Sie Ihre Verwaltung schadhafter oder vertrauens­würdiger Applikationen gezielt definieren.

Intrusion Detection / Prevention System (IDS / IPS)

Datenbankbasierter Schutz vor bekannten Bedrohungen
Auch bekannte Bedrohungen wie DDoS (Distributed Denial of Service), Portscans oder Botnets dürfen nicht auf die leichte Schulter genommen werden. Dafür pflegt das Angriffs­erkennungs­system Intrusion Detection / Prevention System („IDS / IPS“) eine Datenbank bekannter Bedrohungen, um Endgeräte im Netzwerk vor einem breiten Spektrum feindlicher Angriffe zuverlässig zu schützen. Die zugrunde­liegende Bedrohungsdatenbank enthält eine Blacklist mit mehr als 40.000 aktiven Signaturen, IP-Adressen sowie Muster zur Erkennung von unter anderem Malware, Schnittstellen- und Netzwerk-Scanning sowie Brute-Force-Angriffen. Der IDS-Modus erkennt und warnt vor bösartigem Datenverkehr. Diese Warnmeldungen veranlassen den IPS-Modus dazu, die Kommunikationsverbindung zu feindlichen Quellen zu beenden und fortan zu blockieren. Zusätzlich verhindert "Virtual Patching" das Ausnutzen bekannter Schwachstellen, beispielsweise bei nicht patchbaren Systemen. Bei einem „falschen Alarm“ kann der Admin den entsprechenden Datenverkehr erlauben und Ausnahmen konfigurieren.

Anti-Virus / Anti-Malware / Anti-Spam

Schutz vor unbekannten Bedrohungen mit Sandboxing und Machine Learning
Um Netzwerke vor Cyber-Angriffen auf bisher unbekannte Schwachstellen („Zero-Day-Exploits“) zu schützen, werden potenzielle Gefahren durch ein mehrstufiges Scan-Konzept erkannt und beseitigt. Zu diesem Zweck kommt nach einer lokalen Überprüfung Cloud-basiertes Sandboxing und Maschinelles Lernen (ML) zum Einsatz. Maschinelles Lernen hilft dabei, Informationen zu neuen Angriffsversuchen an alle an die Anti-Virus-Cloud angeschlossenen Firewalls weiterzugeben. Konkret: Alle Firewalls "lernen" von den Erfahrungen der anderen. Dazu werden verdächtige Dateien in einer isolierten Cloud-Testumgebung (Sandbox) identifiziert, analysiert, gescannt, getestet und bei Bedarf blockiert. Die zuverlässige Überprüfung von Protokollen wie HTTP/S, FTP, POP3/S, SMTP/S und IMAP/S kann mit konfigurierbaren Ausnahmen in Black- und Whitelists gesteuert werden. Unter der Verwendung von Recurrent Pattern Detection (RPD) wird Spam, Phishing und Malware auf Basis des Verteilungs­musters von E-Mails erkannt und verdächtige E-Mails daraufhin automatisch zurückgewiesen oder gelöscht.

High Availability (HA)

Hochverfügbarkeit Ihrer Unified Firewalls
Für einen reibungslosen Betrieb ist High Availability in kritischen Netzwerk­installationen ein Muss. Daher sorgen mehrere Unified Firewalls im HA-Cluster für erhöhte Ausfallsicherheit und konstante Verfügbarkeit. Durch das Active- / Passive-Cluster springt die zweite modellgleiche Firewall erst ein, wenn sie auch wirklich benötigt wird. Dank Hot-Standby und Stateful Failover funktioniert dies ohne jegliche Unterbrechungen sofort nach dem Ausfall der primären Firewall, damit Ihre unternehmenskritischen Systeme zu jedem Zeitpunkt bestens geschützt sind.

VPN: IPSec-VPN & SSL-VPN

Sichere und verschlüsselte Standortvernetzung
Unternehmensstandorte, wie Filialen oder mobile Mitarbeitende im Homeoffice, werden über ein virtuelles und privates Netzwerk (VPN) sicher miteinander verbunden. Das clientseitig konfigurierbare VPN fungiert wie ein sicherer Datentunnel, obwohl es das öffentliche Internet als Kommunikationsweg nutzt. Dabei entsteht ein vertrauens­würdiges Wide Area Network (WAN), auf das dank Benutzerauthentifizierung ausschließlich Befugte zugreifen können. Mit IPSec und SSL stehen gleich zwei verschiedene VPN-Technologien zur Verfügung: IPSec verwendet das vom Bundesamt für Sicherheit in der Informationstechnologie (BSI) empfohlene Protokoll IKEv2 und unterstützt NAT-T. IPsec-Tunnel sind beispielsweise für performante Site-to-Site Verbindungen und SSL-Tunnel für eine flexible Client-to-Site Anbindung einsetzbar.

Secure Web Gateway (SWG) mittels HTTP(S)-Proxy

Filterung des Netzwerkverkehrs
Ein Secure Web Gateway (SWG) dient zum Schutz eines Netzwerkes und der darin enthaltenen Geräte vor An- und Zugriffen aus dem Internet. Genau diese Aufgabe übernimmt der HTTP(S)-Proxy-Server in den Unified Firewalls, um Netzwerkverkehr bis auf Anwendungsebene zu analysieren und zu filtern. Der Proxy fungiert als Barriere zwischen dem eigenen Netzwerk und dem Webserver und fängt ungesicher­tem Datenverkehr stellvertretend ab, bevor dieser das Netzwerk erreicht. Mit Hilfe eigener HTTP(S)-Proxy-CA generiert der HTTP(S)-Proxy ein Pseudo-Zertifikat für die Website und verwendet dieses für den anschließenden Verbindungsaufbau. HTTP(S)-Proxys werden nach Anonymitätsgrad unterschieden und sind in den Unified Firewalls in der transparenten und nicht transparenten Variante konfigurierbar.

DNS Web Filter & Con­tent Filter mit BPjM Filter

Inhaltsbasierte Filter zum Schutz vor Phishing-Angriffen
Der Einsatz von Nutzer-eigenen Endgeräten (Bring your own device, kurz BYOD) ist in Schulen oder bei hybriden Arbeitsformen kein Novum mehr. Der DNS Web Filter bietet dabei Sicherheit ganz ohne aufwändige Zertifikate: DNS-Anfragen, die über den DNS-Server Ihrer Unified Firewalls laufen, werden per Online-Scan-Technologie identifiziert, klassifiziert und gemäß ihrer Kategorien oder der individuell konfigurierten Black- und Whitelists gefiltert. Durch diesen DNS-basierten Schutz werden unerwünschte und schädliche Seitenaufrufe sofort blockiert. Über den Content Filter können darüber hinaus kategorienbasierte Filterregeln für z.B. kriminelle, pornografische oder gewalttätige URLs und Inhalte festgelegt werden. Die Regeln können je nach Benutzer individuell konfiguriert und über importierte oder exportierte URL-Listen angepasst oder überschrieben werden (Override-Funktion). Der im Content Filter integrierte BPjM Filter enthält eine offizielle Webseiten-Liste der deutschen Bundesprüfstelle für jugendgefährdende Medien (BPjM), deren Inhalte offiziell als jugendgefährdend eingestuft werden. Eine stetige Aktualisierung und Erweiterung dieser Auflistung ist dabei gewährleistet.

SD-WAN mit dyna­mischem Routing & Traffic Shaping

Effiziente und robuste Standortvernetzung
Durch die effiziente Steuerung der maximalen Bandbreite sowie der Priorisierung einer Leitung (Traffic Shaping) werden garantiert die für Sie wichtigen Anwendungen mit bester Qualität in und aus Ihrem Netzwerk heraus durchgeführt. Dabei sparen die Vorkonfiguration gängiger Szenarien sowie wählbare Traffic Shaping-Gruppen und -Profile (QoS) je nach WAN-Verbindung Konfigurationszeit. Durch die Aussteuerung bestimmten Datenverkehrs direkt ins Internet (Application Steering) entscheiden Sie selbst, welche Anwendungen (z.B. Microsoft 365) Sie als vertrauenswürdig einstufen, um die Gesamtperformance Ihres Netzwerkes zu steigern. Darüber hinaus sorgen Multi-WAN und ein dynamisches, Richtlinien-basiertes Routingverfahren für schnelle Reaktionen auf Netzwerkänderungen. Je nach Belastungsgrad kann mit Hilfe des Routing-Protokolls BGP (Border Gateway Protocol) in- und extern (EBGP, IBGP) die optimale Route dynamisch festgelegt werden, vergleichbar mit einem Navigationssystem. Über Firewall-Regeln lässt sich auch ein statisches Routing für mehrere Gateways basierend auf Eingangs- und Ausgangs­schnittstellen sowie Quell- und Ziel-IP frei konfigurieren.

Netzwerksegmentierung (VLAN)

User-basierte Regeln und Netztrennung
Die logische Aufteilung eines Netzwerkes ermöglicht Ihnen, je nach Anforderungen der Nutzer-Kreise individuelle Sicher­heits­einstellungen und Zugriffsrechte zu definieren sowie Ihre Infrastrukturen und Applikationen in verschiedene Bereiche zu unterteilen. Durch diese Trennung (Zonierung) entstehen keine klassischen physikalischen Netze, sondern rein logische virtuelle Netze, sogenannte VLANs (Virtual Local Area Networks). So können Sie beispielsweise das Buchhaltungs­netz vom Human Resources-Netz trennen, um unberechtigte Zugriffe auf sensible Firmendaten einzugrenzen. Der Vorteil: Ihr Unternehmensnetzwerk bleibt als Ganzes weiterhin geschützt, auch wenn ein Netzwerksegment beschädigt wird. Dabei überwachen und kontrollieren die Unified Firewalls über Benutzer-, Gruppen- oder Zeit-basierte Richtlinien, welche User wann und unter welchen Umständen über Zonengrenzen hinaus kommunizieren dürfen.

Management, Monitoring & Administration
Trotz fortschreitender Automatisierung ist ein "Easy-to-use"-Bedienkonzept mehr als hilfreich. Um die Komplexität und damit auch die Fehleranfälligkeit zu reduzieren, stehen folgende Tools und Funktionen für die Unified Firewalls bereit:
- Management-Tools mit grafischen Oberflächen, selbsterklärenden Funktionen und Dashboards sowie Wizards zur Ersteinrichtung für den Überblick über das gesamte Netzwerk
- Rollenbasierte Administration mit objektorientierter Konfiguration und IP-basierter Zugriffbeschränkung für SSH und Webclient
- Ausführliches Monitoring mit Statistiken über z.B. IDS / IPS mit Applikations- und Surfkontrolle sowie Connection Tracking, einfachen Netzwerkverwaltungsprotokollen (SNMP v2c und v3) und Protokollierung zu externen Syslog-Servern
- Exportierbarer, ausführlicher Bericht (Executive Report als PDF, HTML, CSV oder XLS)

Benutzerauthentifizierung

Richtlinienkonformität dank Zugriffsregeln
Damit Sie immer im Blick haben, welche Benutzer, Geräte und Dienste im Netzwerk sind, welche Identität wirklich dahinter­steckt und wer welche Funktionen hat oder Aktionen aus­führen darf, ist eine Netzwerkzugangskontrolle unabdingbar. Dabei kann die Authentifizierung auf Richtlinienkonformität über Web oder Client vielfältig aussehen:
- Active Directory-Import
- Lokale Benutzerverwaltung
- Single Sign-On (Kerberos)
- Mehrere Anmeldungen
- Captive-Portal
- Terminal Server Support (über Remote Desktop IP Virtualisierung)

Cloud-managed Security

Management über die LANCOM Management Cloud (LMC)
Mit der LMC automatisieren und vereinfachen Sie Management, Konfiguration und Monitoring Ihrer Unified Firewalls. Über die zentrale Management-Instanz verwalten Sie beispielsweise das Application Management als auch Firmware-Updates. Die automatische Einrichtung von VPN-Verbindungen zwischen allen Standorten (Auto-VPN) ist ebenso einfach wie die Integration neuer Firewalls mittels sicherem Pairing-Prozess sowie der Austausch von Firewalls inklusive vollständiger Konfiguration.

Backup & Wiederherstellung

Automatische oder zeitbasierte Sicherung
Sicherungen Ihrer Daten sind notwendig, um diese vor Beschädigung und Löschung zu schützen. Vor allem aufwändige Firewall-Konfigurationen sollten vor bedeutenden Änderungen oder einem Firmware-Upgrade gesichert werden. Die Backups können dabei automatisch oder zeitbasiert erfolgen und via lokalem Zugriff oder Fernzugriff gesteuert oder automatisiert während einer Installation importiert werden. Zusätzlich können die Backups automatisiert hochgeladen (FTP, SCP) oder auf einem USB-Stick im Falle eines Desaster-Recoverys gesichert werden.

SSL Inspection

Sicherheit auch bei verschlüsselten Kanälen
Die zunehmende Verschlüsselung und Verschleierung birgt das Risiko, dass auch Schadsoftware über verschlüsselte Kanäle in Ihr Netzwerk eindringen kann. Die Unified Firewalls bieten mit Secure Sockets Layer Inspection, kurz SSL Inspection, die Möglichkeit, Scans, Filterung und Anwendungserkennung auch bei verschlüsselten Datenpaketen durchzuführen, um Ihre Sicherheitsvorgaben erfolgreich umzusetzen.