Firmen haben bei Sicherheitslösungen wie Firewalls, Viren- und Malware-Scanner, Contentfilter oder auch Intrusion Detection Systemen die Qual der Wahl. Sie können sie als Software oder als virtuelle Appliance auf dem eigenen Server betreiben, als eigene Appliance ins Rechenzentrum stellen oder teilweise auch schon als Cloud-Dienst mieten. Bei höheren Anforderungen an den Datendurchsatz sollte die IT-Abteilung auf jeden Fall eine physikalische Appliance in Betracht ziehen. Ein weiterer Vorteil einer Appliance ist eine höhere Sicherheit, da sie von den Unternehmensservern komplett getrennt arbeitet und so auch keine Kernelkomponenten auf dem Server erfordern, die ihn bei Fehlern in der Firewall-Software zusätzlich angreifbar machen.
Security Appliances gibt es in verschiedenen Preis- und Leistungsklassen: Vom günstigen Standalone-Gerät für den Schutz eines Kleinunternehmens oder einer Außenstelle bis hin zu Enterprise-Lösungen für das Rechenzentrum. Zusätzlich hat man noch die Wahl zwischen spezialisierten Geräten und UTM-Appliances. Diese Unified-Threat-Management-Appliances vereinigen verschiedene Funktionen in einem Device, sie sind meist für kleinere oder mittlere Unternehmen ausgelegt.
Die besten Security-Appliances
In großen und komplexen Netzwerken mit hohem Datenaufkommen ist es sinnvoll, Sicherheitsfunktionen wie die Firewall oder den Virenschutz in eigene Appliances auszulagern. Wir stellen verschiedene dieser Sicherheitslösungen vor.
Check Point 1100
Für die Außenstelle hat Central Point die UTM-Appliances der 1100er-Serie im Programm. Das Einstiegsmodell mit 10 GBit-Ethernet-Ports liefert eine Threat-Prevention für Büros mit bis zu 50 Mitarbeitern und dient auch gleich als sicherer WLAN-Access-Point. Optional ist das Gerät auch mit integriertem ADSL-Model verfügbar.
Check Point 41000
Am entgegengesetzten Ende der Check-Point-Modellpalette liegen die Enterprise- und Carrier-Systeme. Das modulare 41000 Security System ist für einen Firewall-Durchsatz von bis zu 40 Gbps ausgelegt. Das System ist über sogenannte Software Blades erweiterbar. In der Grundversion stehen die folgenden Funktionen bereits bereit: Firewall, IPsec VPN, Identity Awareness, Advanced Networking sowie Acceleration & Clustering.
Cisco ASA5500
Ciscos Next-Generation-Firewalls der 5000er-Serie für Kleinunternehmen oder Filialen reichen vom Einstiegsmodell ASA 5505 mit einem Stateful-Inspection-Durchsatz von 150 Mbps bis hin zur ASA 5515-X, die 1,2 Gbps bewältigen kann.
Cisco ASA5585-X
Die Enterprise-Firewall ASA 5585-X von Cisco wird mit verschiedenen Service-Modulen kombiniert. In der hier abgebildeten Spitzenversion mit dem Security Services Processor-60 (SSP-60) liefert die Next-Generation-Firewall eine Stateful-Inspection-Firewall-Performance von bis zu 40 Gbps.
Dell SuperMassive 9800
Die SuperMassive 9800 ist das neue Spitzenmodell unter den Next-Generation-Firewalls der 9000er-Serie von Dell. Sie soll bis zu 20 Gbit/s Leistung bei der Deep-Packet-Inspection bringen.
Fortinet FortiGate 5000
Laut Fortinet ist die FortiGate 5144C die erste Firewall mit einem Durchsatz von mehr als einem Terabit pro Sekunde. Das FortiGate-5144C-Chassis bietet Platz für bis zu 14 Security-Blades, mit dem FortiController-5913C kann auch ein 100-GbE-Controller eingesetzt werden.
Fortinet FortiWiFi 60D
Die FortiWiFi-60D-Appliance gehört zur Connected-UTM-Serie von Fortinet. Das Gerät ist für den umfassenden Schutz kleinerer Firmen und Zweigstellen bestimmt und bietet neben sieben Gigabit-Ethernet-Ports auch einen WLAN-Access-Point, der 802.11n auf beiden Bändern unterstützt.
Netgear UTM25S
Die Geräte aus Netgears UMT-S-Serie sollen den bisherigen Router ersetzen und so für Kleinbetriebe, Zweigstellen und auch Privatanwender eine umfassende Sicherheitslösung darstellen. Das UMT25S bietet zwei GBit-WAN und vier GBit-LAN-Ports und unterstützt zudem den 802.11n-WLAN-Standard auf dem 2,4- und dem 5-GHz-Frequenzband.
McAfee M-4050
Die McAfee-Appliance M-4050 ist ein Intrusion Prevention System mit integrierter Network-Access-Control-Funktion. Damit soll die Appliance das Netzwerk nicht nur vor Angriffen von außen schützen, sondern auch die Verwendung nicht genehmigter Endgeräte im Firmennetzwerk unter Kontrolle halten.
McAfee N-450
Die McAfee-Appliance N-450 ist ein Bespiel für hochspezialisierte Security-Appliance: Sie ist eine reine Network-Access-Control-(NAC) Appliance die sicherstellen soll, dass nur bekannte und sichere Endgeräte Zugriff auf das Firmennetzwerk erhalten. Für Gäste und externe Dienstleister können auf Regeln basierende Zugriffsrechte definiert werden, die sie etwa auch ein spezielles Gast-Portal weiterleiten.
McAfee Next Generation Firewall
McAfee hat Entwicklung effektiver Next-Generation-Firewalls den finnischen Anbieter Stonesoft gekauft. Eines der Resultate aus dieser Übernahme sind die Firewall-Appliances der 3200-Serie. Mit einem Stateful-Inspection-Durchsatz von bis 30 Gbps sind sie für den Schutz größerer Netzwerke ausgelegt.
WatchGuard FireboxT10
Die Lösung Firebox T10 hat WatchGuard speziell für SOHO- (Small and Home Office), Einzelhandels- und Filialumgebungen entwickelt. Egal ob stand-alone betrieben oder von der Unternehmenszentrale aus gesteuert: Die Appliance bietet einen theoretischen Firewall-Durchsatz von 200 Mbps beziehungsweise eine 55 Mbps UTM-Performance und verfügt über drei 1-Gigabit-Ethernetports. Konfigurationswerkzeuge und WatchGuards RapidDeploy-Technologie helfen Netzwerkadministratoren, die Firebox T10 in kurzer Zeit per Fernzugriff in Betrieb zu nehmen.
Palo Alto Appliance PA-5060
Der Firewall-Durchsatz beträgt 20 Gbps.
Die Spezialisten
Auch spezialisierte Security-Appliances wie etwa Firewalls übernehmen heute zusätzliche Aufgaben, die über das reine Filtern von Netzwerkpaketen herausgehen. So genannte Next Generation Firewalls verfügen nicht nur über einen ganzen Satz von Applikationsfiltern, sondern auch meist noch über ein integriertes Intrusion Prevention System (IPS), das Einbruchsversuche anhand von Kommunikationsmustern erkennt und verhindert. Zudem fungieren Firewalls oft auch als Endpunkt für VPN-Verbindungen. Wichtige Anbieter von Firewalls sind etwa Cisco, Intel mit McAfee, Check Point, Fortinet, Juniper oder Barracuda. Auch Dell ist seit der Übernahme von SonicWall in 2012 verstärkt in diesem Markt aktiv. McAfee hat sich 3013 den finnischen Anbieter Stonesoft einverleibt, um dessen Schutz gegen Advanced Evasion Techniques (AETs) in die eigenen Next-Generation-Firewalls integrieren zu können. Bei dieser Angriffsart wird Malware in Einzelteile zerlegt über verschiedene Protokolle ins Netzwerk eingeschleust
Ein weiterer Typ spezialisierter Security-Appliances sind Viren- und Malware-Scanner. Sie können digitale Schädlinge schon herausfiltern, bevor sie Endgeräte im Firmennetzwerk erreichen und hier ihr Unwesen treiben können. Auch Spam oder Phishing-Attacken sollen durch diese Geräte eliminiert werden. Allerdings werden diese Funktionen immer öfter gleich durch die Firewall-Appliance mit abgedeckt.
Die Alleskönner
Noch mehr Funktionen erfüllen die UTM-Appliances. Sie enthalten eine Firewall, filtern den Datenstrom und oft auch den Inhalt elektronischer Kommunikation auf Suche nach Viren und Malware und erfüllen teilweise sogar noch die Funktion eines VPN-Gateways und Routers. Teilweise sind diese Geräte sogar noch mit einem integrierten WLAN-Access-Point ausgestattet und schützen damit auch den drahtlosen Netzwerkverkehr innerhalb der Firma. Die meisten UTM-Geräte sind eher für kleinere Unternehmen oder für Außenstellen größerer Firmen bestimmt, es gibt aber auch UTM-Geräte für mittlere oder größere Unternehmen, die für eine entsprechend größere zu untersuchende Datenmenge ausgelegt sind. UTM-Geräte sind meist günstiger als eine Kombination spezialisierter Appliances und sie bieten in der Regel auch eine einheitliche Bedienung aller Module. Allerdings sind sie hohem Netzwerktraffik weniger gewachsen und sie bilden natürlich einen Single Point of Failure: Beim Ausfall der UTM-Appliance ist das Netzwerk entweder komplett schutzlos oder gar nicht mehr zu erreichen.
Einen neuen Ansatz für eine UTM-Appliance hat Barracuda mit der im November 2014 vorgestellten Security Suite gewählt. Hier laufen Firewall, Web Filter und Spam Filter als virtuelle Appliances auf der gemeinsamen Hardware Barracuda IS300. Die Leistung der einzelnen Elemente kann dabei vom Administrator angepasst werden. (hal)