Spam - ZyXEL
Spam - ZyXEL
Spam - ZyXEL
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
Mehrstufi ge Sicherheit<br />
durch Teamwork<br />
UTM Unifi ed-Threat-Management<br />
Kampf gegen Würmer, Trojaner, Viren<br />
und <strong>Spam</strong><br />
Warum setzt sich UTM durch?<br />
Funktionen der UTM-Firewalls von <strong>ZyXEL</strong><br />
Praktische Einsatzbeispiele für KMU<br />
Zentrales Management von Firewalls
Die neue UTM-Firewall<br />
Heute gilt der Sicherheitsfokus nicht mehr alleine den<br />
Firmendaten, sondern dem gesamten Firmennetzwerk.<br />
Die Netzwerkkomponenten sind deshalb zusätzlichen<br />
Anforderungen ausgesetzt: Datenpakete sollen neben<br />
einer Prüfung der Zugangsberechtigung auch nach<br />
Viren, bestimmten Attacken-Mustern und schädlichen<br />
Codes untersucht werden. Auch <strong>Spam</strong>-E-Mails soll eine<br />
Firewall ausfi ltern können. Bestehende Stateful-Inspection-Firewalls<br />
werden den neuen Gefahren nicht mehr<br />
gerecht. «Vereint gegen die Schädlinge» heisst das<br />
Motto der neuen Firewall-Generation – oder im Fachjargon:<br />
UTM = Unifi ed-Threat-Management.<br />
ANTI-SPAM<br />
INTRUSION-PREVENTION<br />
ANTI-VIRUS<br />
WEB-CONTENT-FILTERING<br />
BANDBREITEN-MANAGEMENT<br />
LOAD-BALANCING<br />
VPN<br />
FIREWALL<br />
All-in-One-Sicherheitslösungen<br />
02<br />
UTM löst bestehende Sicherheitslösungen ab<br />
Virenschutz, Intrusion-Detection-Prevention, Anti-<strong>Spam</strong><br />
und Content-Filter bilden mit der Firewall ein vereintes<br />
Sicherheitsteam gegen Gefahren. In einer Hardware<br />
aufeinander abgestimmt (All-in-One) bilden sie bereits<br />
am Gateway eine widerstandsfähige Schranke gegen<br />
verschiedenste Angriffe. Wie beim Sport braucht es<br />
auch für den Netzwerkschutz mehrere Stufen für die<br />
Abwehr des Gegners resp. der Gefahr.<br />
Gründe für All-in-One<br />
Im KMU-Markt sind All-in-One-Lösungen der Trend.<br />
Höhere Kosten und der schwierige Unterhalt von verschiedenen<br />
Produkten führen dazu, möglichst viele<br />
Sicherheitsaufgaben mit einer Hardware wahrzunehmen.<br />
<strong>ZyXEL</strong> UTM-FIREWALL
Gefahren in aktiven Inhalten<br />
Oft nutzen Angreifer Active-Content-Elemente. Viele<br />
wichtige Unternehmensanwendungen verwenden ebenfalls<br />
diese Technik. Solche Applets und ausführbare Dateien<br />
können somit nicht einfach blockiert werden. Wie<br />
kann nun der IT-Verantwortliche im aktiven Code Eindringlinge<br />
nach «gut» und «böse» unterscheiden?<br />
Schwierige Erkennung<br />
Die Machenschaften von aktivem Code sind für den Anwender<br />
meist unsichtbar. Der Code wird automatisch<br />
auf den Rechner geladen, sobald ein Mail empfangen,<br />
eine Website aufgerufen oder ein Instant-Messaging-<br />
Dienst verwendet wird. Websites können eine ganze<br />
Reihe aktiver Inhalte aufweisen wie ActiveX, Java- oder<br />
Visual-Basic-Scripts. Diese Programmteile eignen sich<br />
für feindliche Aktionen genauso gut wie für die Programmierung<br />
von «harmlosen» Websites und Anwendungen.<br />
Gefahren durch Peer-to-Peer (P2P)<br />
Sicherheitsspezialisten warnen vor Gefahren aus Peerto-Peer-Filesharings<br />
und Instant-Messaging in Unternehmen.<br />
Beispiele von P2P-Applikationen sind Kazaa,<br />
eDonkey, Skype, etc. Diese Anwendungen suchen sich<br />
automatisch offene Ports oder kommunizieren über HTTP.<br />
So erreichen Viren, Würmer und schadhafte Programme<br />
unkontrolliert das Firmennetzwerk. Exzessives Filesharing<br />
führt oftmals auch zu Bandbreiten-Problemen. Intrusion-<br />
Grosse Sicherheitsrisiken<br />
Detection-Prevention-Systeme sind die einzige Lösung,<br />
um P2P-Verbindungen zu blockieren.<br />
Firmen-Mailserver als <strong>Spam</strong>-Schleuder<br />
Nicht selten werden Firmen-Netzwerke missbraucht:<br />
Zum Beispiel zu <strong>Spam</strong>-Zwecken, oder um von dort aus<br />
unerkannte Angriffe auf ein fremdes Ziel zu starten. Ein<br />
solcher Missbrauch bleibt häufi g unbemerkt, ausser<br />
man erhält eine Verwarnung seines Providers.<br />
Gefahren lauern auch intern!<br />
Gefahren drohen nicht nur aus dem Internet, sondern<br />
auch aus dem «sicheren» lokalen Netzwerk. Schädlinge<br />
schleust man oft über Notebooks, USB-Memory-Sticks<br />
oder VPN-verschlüsselte Verbindungen ein. Durch Mitarbeiter<br />
zugefügte Netzwerkkomponenten, wie z. B. ein<br />
eigenes WLAN im Büro ohne entsprechende Konfi guration,<br />
durchlöchern das Sicherheitskonzept. Vertrauen in<br />
die Mitarbeiter ist wichtig. Die Ausbildung der Mitarbeitenden,<br />
das Durchsetzen von Sicherheitsvorgaben und<br />
fortlaufende Kontrollen sind jedoch unerlässliche Massnahmen<br />
für ein sicheres Netzwerk.<br />
UTM wird heutigen Gefahren gerecht<br />
Viele der heutigen Gefahren können mit einzelnen Sicherheitslösungen<br />
nicht mehr zuverlässig abgewehrt<br />
werden. Ganzheitliche Sicherheitslösungen, bei denen<br />
die Firewall als Gateway möglichst viele Sicherheitsfunktionen<br />
abdeckt, sind deshalb klar der Trend.<br />
03
Firewall alleine genügt nicht mehr<br />
Heute reicht die Installation einer Firewall und Anti-<br />
Viren-Lösung nicht mehr aus, um eine ganzheitliche<br />
Sicherheit zu gewährleisten. Viele der gegenwärtigen<br />
Gefahren erkennt eine reine Firewall aufgrund ihrer<br />
Funktion nicht und kann sie deshalb auch nicht abwehren.<br />
Ergänzender Virenschutz<br />
Die Anti-Viren-Lösung auf dem Gateway ersetzt nicht<br />
den bereits vorhandenen Virenschutz auf dem Mailserver<br />
und Desktop, sondern ergänzt diesen. Das Ziel ist<br />
jedoch, möglichst viele Viren bereits beim Eintreffen ins<br />
Netzwerk zu neutralisieren.<br />
Firewall übernimmt viele Sicherheitsfunktionen<br />
Durch das Zusammenspiel von Firewall und Anti-Viren-<br />
Lösung, <strong>Spam</strong>-Filter, Intrusion-Detection-Prevention<br />
Schutztechniken von Unifi ed-Threat-Management<br />
Know-how<br />
Firewall mit<br />
Stateful-Packet-<br />
Inspection<br />
Wirkung Kontrolliert Ports<br />
und IP-Adressen der<br />
Datenübertragung.<br />
Nutzen Erkennt/sperrt<br />
Protokollfehler und<br />
Falschzugriffe anhand<br />
von Protokoll-Spezifi -<br />
kationen.<br />
Intrusion-Detection-Prevention<br />
(IDP)<br />
Analysiert den Inhalt<br />
der Datenübertragung<br />
bis ins Detail.<br />
Sicherheit als Ganzes<br />
Erkennt/blockiert<br />
Attacken durch<br />
Würmer, Trojaner und<br />
Backdoors sowie<br />
modifi zierte Versionen<br />
eines Schädlings,<br />
auch ohne neue Signaturen.<br />
04<br />
und Content-Filter bietet Unifi ed-Threat-Management<br />
eine vielschichtige Lösung gegen Gefahren. Oftmals<br />
gelangen Viren als Attachment von <strong>Spam</strong>-Mails ins<br />
Netzwerk. Der <strong>Spam</strong>-Filter kennzeichnet oder löscht<br />
den Grossteil der <strong>Spam</strong>-Flut. Der Viren-Filter überprüft<br />
Daten am Gateway und macht die entdeckten Viren<br />
unschädlich. Falls trotzdem ein Schädling ins Netzwerk<br />
gelangt und aktiv wird, schlägt das Intrusion-Prevention-System<br />
Alarm und verhindert einen Ausbruch im lokalen<br />
Netzwerk.<br />
Strategische Partnerschaften<br />
<strong>ZyXEL</strong> setzt bei den neuen Funktionen auf starke Partner:<br />
Die Firma Kaspersky ist ein weltweit führender<br />
Hersteller von IT-Sicherheits-Software und erstellt die<br />
Virensignaturen für die ZyWALL. Den <strong>Spam</strong>-Schutz<br />
liefert Mailshell, bekannt für Entwicklungen von <strong>Spam</strong>-<br />
Filter-Technologien.<br />
Anti-Virus Anti-<strong>Spam</strong><br />
Vergleich von Dateien<br />
mit Viren-Signaturen.<br />
Erkennt/löscht Viren<br />
und schadhaften<br />
Code anhand von<br />
aktuellen Signaturen.<br />
TM<br />
mailshell<br />
Anti-<strong>Spam</strong><br />
Vergleich von E-Mails<br />
mit <strong>Spam</strong>-Signaturen.<br />
Kennzeichnet/blockiert<br />
<strong>Spam</strong>- sowie<br />
Pishing-Mails anhand<br />
aktuellster Filter-Technologien.
<strong>Spam</strong> – Belästigung und Gefahr<br />
Massive Zunahme von <strong>Spam</strong><br />
<strong>Spam</strong>-Mails werden immer professioneller erstellt. Längst<br />
bewirbt man mit <strong>Spam</strong> nicht mehr nur Produkte. Wegen<br />
profi tablem Geschäft nehmen kriminelle Aktivitäten unter<br />
<strong>Spam</strong>ern stark zu. Für Mail-Adressen besteht ein lukrativer<br />
Handel. Hand in Hand arbeitet die <strong>Spam</strong>-, Trojaner- und<br />
Phishing-Industrie zusammen. Mittels Trojaner verschafft<br />
man sich Zugang zu Rechnern in fremden Netzwerken.<br />
Über diese Ressourcen wiederum lassen sich unerkannt<br />
<strong>Spam</strong>-Mails versenden. Der bekannte Beagle-Wurm<br />
z. B. öffnet eine Hintertür, über die der befallene Rechner<br />
<strong>Spam</strong>-Mails versendet.<br />
Phishing<br />
Auch Phishing nutzt die <strong>Spam</strong>-Technologie: Der Phisher<br />
schickt seinem Opfer offi ziell wirkende E-Mails, die<br />
verleiten sollen, wichtige Informationen, oftmals Passwörter,<br />
in gutem Glauben dem Täter preiszugeben. Mit<br />
Phishing wird oft versucht, Zugangsdaten zu erhalten,<br />
z. B. für Onlinebanking.<br />
Illegale Arten von <strong>Spam</strong><br />
Viele <strong>Spam</strong>-Mails bewerben Massenprodukte wie Medikamente,<br />
Kredite, Software, Socken, Druckerpatronen.<br />
Andere versuchen, einen Dialer einzuschleusen, der<br />
automatisch taxpfl ichtige Wählverbindungen aufbaut.<br />
Generell sind Schneeballsysteme mit Geldfl uss zum<br />
Absender illegal, sofern ein klares Missverhältnis zur<br />
Gegenleistung besteht. Das Schweizer Lotteriegesetz<br />
verbietet diese Form von Mailings.<br />
Zweiter <strong>Spam</strong>-Schutz sinnvoll<br />
Service-Provider bieten oft <strong>Spam</strong>-Filter an. Diese Filter<br />
sind in der Regel rudimentär und blockieren nur einen<br />
Teil der <strong>Spam</strong>-Mails. Deshalb lohnt es sich, einen zusätzlichen<br />
Filter auf dem Gateway zu installieren.<br />
geschütztes Netzwerk<br />
<strong>Spam</strong>-Mails<br />
ZyWALL SPAM-FILTER<br />
PROVIDER SPAM-FILTER<br />
Nützliche Dienste im MS-Outlook wie der Regel-Assistent<br />
helfen beim Verwalten von <strong>Spam</strong>-Mails.<br />
Wohin mit <strong>Spam</strong>?<br />
Es empfi elt sich, einen speziellen <strong>Spam</strong>-Ordner im E-Mail-<br />
Client anzulegen. In MS-Outlook leistet die Regelassistenten-Funktion<br />
sehr nützliche Dienste. Je nach<br />
Einstellung verschiebt oder löscht dieser Assistent automatisch<br />
eingehende Mails, die eine <strong>Spam</strong>-Markierung<br />
aufweisen.<br />
Kontrollierte Webzugriffe mit Content-Filter<br />
Nebst Schulen oder Bibliotheken wünschen auch viele<br />
Unternehmensverantwortliche eine Einschränkung des<br />
Internetzugriffs. Ein Content-Filter lässt sich einsetzen<br />
zum Schutz von Minderjährigen oder zur Durchsetzung<br />
von Unternehmens-Richtlinien für die Nutzung des Internets.<br />
Allein das Wissen, dass ein Content-Filter im<br />
Einsatz steht, genügt oft, um die Disziplin bei Webzugriffen<br />
zu verbessern. Ein positiver Nebeneffekt ist<br />
ebenso, dass die Blockade von einschlägigen Web-Kategorien<br />
auch das Einschleusen von schadhaftem Code<br />
reduziert. Der Content-Filter-Service ist auch im reinen<br />
Log-Modus einsetzbar. Dabei werden keine Kategorien<br />
blockiert, sondern es wird nur mit Reports aufgezeigt,<br />
auf welche Web-Kategorien und Webseiten zugegriffen<br />
wird. Die Privatsphäre der Mitarbeiter bleibt gewahrt,<br />
da die Reports gesamthaft, ohne Bezug zu einzelnen<br />
Personen erscheinen.<br />
05
Netzwerke ohne öffentliche Server<br />
Viele kleinere und mittlere Unternehmen bedürfen einer<br />
einfachen, kostengünstigen IT-Infrastruktur, um<br />
E-Mail-Verkehr abzuwickeln resp. im Internet zu surfen.<br />
Dafür ist die ZyWALL 5 ideal: Bis zu vier Arbeitsplätze<br />
lassen sich über den integrierten 4-Port-Switch direkt<br />
anschliessen. Die leistungsfähige Firewall bietet in der<br />
Grundausstattung Stafeful-Packet-Inspection für einen<br />
zeitgemässen Basisschutz.<br />
<strong>ZyXEL</strong> ZyWALL 5<br />
Firewall für kleinere Netzwerke<br />
UVP incl. MWST: 548.– EUR<br />
DMZ für isolierte Rechner<br />
Oft steht ein separater Rechner z. B. nur für Supportaufgaben<br />
zur Verfügung, bei dem ab und zu USB-Memory-<br />
Sticks oder fremde CD-ROMs eingelesen werden. Hier<br />
empfi ehlt es sich, diesen zu isolieren. Die ZyWALL 5<br />
enthält dafür eine sogenannte DMZ (demilitarisierte<br />
Zone), die frei konfi gurierbar ist. Der Datenaustausch<br />
zwischen DMZ und LAN ist dadurch unterbunden.<br />
Computer-Schädlinge, die auf den isolierten Supportrechner<br />
gelangen,<br />
können sich nicht<br />
auf die anderen Stationen<br />
ausbreiten.<br />
Die Sicherheit wird<br />
mit dieser einfachen<br />
Methode stark erhöht.<br />
Support-PC<br />
DMZ<br />
Isolierte Zone (DMZ) für «unsichere» Rechner<br />
Einsatzgebiete ZyWALL 5<br />
06<br />
Datenaustausch LAN – DMZ<br />
Ist ein Datenaustausch zwischen dem Supportrechner<br />
und den internen Arbeitsstationen nötig, so defi niert<br />
man einfach Firewall-Regeln zwischen der DMZ und<br />
dem LAN-Segment. Damit sich Viren oder Trojaner<br />
nicht ausbreiten, wird die Aktivierung des Anti-Virus- /<br />
Intrusion-Prevention-Dienstes empfohlen. Dies erfordert<br />
eine Turbokarte, die in den Slot auf der Rückseite<br />
der ZyWALL 5 eingeschoben wird. Bei der ZyWALL 5<br />
(auch ZyWALL 35) lässt sich die DMZ fl exibel auf einem<br />
der vier Ethernet-Ports einrichten.<br />
Sicheres Wireless-LAN<br />
Wünscht ein Unternehmen ein Wireless-LAN,<br />
kann analog zum Supportrechner in der DMZ<br />
– also getrennt vom internen LAN – auch ein<br />
WLAN-Access-Point installiert werden. Dank den<br />
eigenen Firewall-Regeln der DMZ resp. der WLAN-<br />
Zone, können z. B. Laptops mit WLAN sicher Daten<br />
über das Internet austauschen und je nach Berechtigung<br />
auf interne Daten zugreifen. Die zentralen Sicherheitsfunktionen<br />
wie Anti-Virus, Intrusion-Detection-Prevention<br />
oder Anti-<strong>Spam</strong> stehen auch für den DMZ-Port (auf<br />
ZyWALL 5, 35 und 70) zur Verfügung.<br />
Verschlüsselter Datenaustausch / WPA-PSK<br />
Für WLAN-Verbindungen zwischen Access-Point und<br />
Client empfi ehlt sich die WPA-PSK-Sicherheitseinstellung<br />
für den verschlüsselten Datenaustausch. Jeder<br />
WLAN-Benutzer muss dazu das Start-Kennwort<br />
(WPA-PSK) einmal im WLAN-Client-Treiberprogramm<br />
hinterlegen. Damit das Kennwort bei ausscheidenden<br />
Mitarbeitern nicht geändert werden muss, bietet sich<br />
zusätzlich der Einsatz des internen RADIUS-Servers<br />
(durch ZyWALL 5, 35 und 70 unterstützt) an. Jeder<br />
Mitarbeiter erhält einen eigenen Account mit Benutzernamen<br />
und Passwort. Bevor eine WLAN-Verbindung<br />
aufgebaut wird, muss man sich authentifi zieren.<br />
RADIUS-Server<br />
User: Claudia<br />
Password: PW1SEC27<br />
User: John<br />
Password: PW1SEC25<br />
User: Charlie<br />
Password: PW1SEC29<br />
User: Bettina<br />
Password: PW1SEC32<br />
Access-Point<br />
Anmeldung Benutzer am Wireless-LAN<br />
User: John<br />
Password: PW1SEC25<br />
DMZ
Netzwerke mit öffentlichen Servern<br />
Unternehmen mit eigenen Web-, FTP- oder Mailservern<br />
etc. müssen sicherstellen, dass diese – im Gegensatz<br />
zu internen Rechnern – vom Internet erreichbar sind. Öffentliche<br />
Server richtet man in einer DMZ ein, und interne<br />
Rechner werden am besten in verschiedene LAN-Segmente<br />
aufgeteilt. Bei der ZyWALL 70 stehen vier DMZ-<br />
Ports zur Verfügung. Dennoch reichen Firewall-Regeln<br />
zwischen DMZ und LAN heute nicht mehr aus, um Datenmissbrauch<br />
zu verhindern. Da öffentliche Server vom<br />
Internet her zugänglich sein müssen, öffnen sie Schlupfl öcher.<br />
Schutz vor «Exploits» (Angriffe auf Sicherheitslöcher<br />
von Programmen) erreicht man nur durch den kombinierten<br />
Einsatz einer Firewall mit Anti-Virus- und Intrusion-<br />
Detection-Prevention-Lösung.<br />
<strong>ZyXEL</strong> ZyWALL 70<br />
Firewall für Netzwerke mit<br />
öffentlichen Servern<br />
UVP incl. MWST: 1'279.– EUR<br />
IP- und Port-Forwarding<br />
Öffentliche Server brauchen eine fi xe IP-Adresse, um<br />
über eine bestimmte Domäne erreichbar zu sein. Die<br />
ZyWALL-Modelle enthalten die IP- und Port-Forwarding-<br />
www.beispiel.ch<br />
217.11.1.20<br />
Verschiedene interne Server-Dienste werden von<br />
extern über die gleiche IP-Adresse angesprochen.<br />
Einsatzgebiete ZyWALL 70<br />
SMTP/25<br />
Funktion. Damit lässt sich eine externe Web-Anfrage auf<br />
den internen Server mit einer anderen IP-Adresse inkl.<br />
Angabe einer Portnummer umleiten. Dies ist notwendig,<br />
wenn mehrere interne Server mit unterschiedlichen IP-<br />
Adressen über nur eine externe IP-Adresse angesprochen<br />
werden. So können mehrere Regeln für verschiedene<br />
Services defi niert werden.<br />
Erhöhtes <strong>Spam</strong>-Aufkommen bei eigenen<br />
Mailservern<br />
Ist ein lokaler Mailserver im Einsatz, so empfi ehlt sich<br />
die Aktivierung der Anti-<strong>Spam</strong>-Funktion auf der ZyWALL<br />
besonders. Suspekte E-Mails, welche auf <strong>Spam</strong> hindeuten,<br />
werden entweder in der Betreff-Zeile mit einem<br />
Zusatztext markiert oder vollständig verworfen und nicht<br />
an den Client weitergeleitet. Die Quarantäne erfolgt<br />
z. B. bei Microsoft Outlook über eine Regel, die<br />
als <strong>Spam</strong> gekennzeichnete E-Mails in<br />
einen separaten Ordner verschiebt.<br />
Hoher Datendurchsatz, auch<br />
mit UTM<br />
Die neuen UTM-Funktionen wie Anti-<br />
Virus und Intrusion-Prevention sind rechenintensiv,<br />
was den Einsatz einer Turbo-Card<br />
erfordert. Dank dieser Karte erreichen die<br />
ZyWALL-Firewalls einen hohen Datendurchsatz.<br />
Die Echtzeit-Signaturüberprüfungen lassen sich bis auf<br />
einzelne Services und Ports inklusive Richtungsangabe<br />
(Inbound / Outbound) konfi gurieren. Dies ist gerade für<br />
Firewalls sehr wichtig, die einzelne Segmente innerhalb<br />
des LANs trennen. Da Netzwerke heute üblicherweise<br />
mit 100 Mbps arbeiten, darf die ZyWALL den Datendurchsatz<br />
nicht massiv bremsen.<br />
07<br />
HTTP/80<br />
FTP/20/21<br />
Mailserver<br />
192.168.2.35<br />
Webserver<br />
192.168.2.34<br />
Fileserver<br />
192.168.2.33
Flexibel erweiterbare IT-Infrastruktur<br />
Die meisten Firmen wünschen sich fl exible IT-Infrastrukturen.<br />
Die ZyWALL 35 bietet 35 VPN-Tunnels und ist<br />
eine leistungsstarke Lösung am Hauptsitz eines KMUs.<br />
Als Gateway-Firewall mit UTM schützt sie das interne<br />
Netzwerk mit LAN und DMZ. Der integrierte RADIUS-<br />
Server bietet zusätzliche Sicherheit, z. B. die Authentifi -<br />
zierung von VPN-Benutzern.<br />
Filialen anbinden<br />
Bestehende Firmen-Netzwerke lassen sich mit <strong>ZyXEL</strong>-<br />
Firewalls jederzeit erweitern. Wird z. B. eine neue Filiale<br />
eröffnet, bietet die ZyWALL 2 in der Regel ausreichende<br />
Sicherheitsfunktionen. Sie lässt sich mit einem VPN-Tunnel<br />
an den Hauptsitz anbinden. Am zweiten verfügbaren<br />
VPN-Tunnel der ZyWALL 2 könnte der Home-PC des<br />
Filialleiters (ev. über ZyWALL P1) angebunden werden.<br />
<strong>ZyXEL</strong> ZyWALL 35<br />
Leistungsstarke<br />
Gateway-Firewall<br />
UVP incl. MWST: 929.− EUR<br />
Sicherheit für Aussendienstler<br />
Reisende Mitarbeiter sind Bestandteil des Sicherheitskonzepts<br />
einer Firma. Eine sichere VPN-Verbindung<br />
zwischen dem Mitarbeiter unterwegs und der Firma ist<br />
somit immer häufi ger ein Bedürfnis. Die ZyWALL P1 ist<br />
eine Stateful-Packet-Inspection-Firewall in der Grösse<br />
eines PDAs. Die Firewall-Regeln sowie VPN-Einstellungen<br />
werden vorgängig durch den IT-Administrator konfi<br />
guriert. Es müssen somit keine Laptops mehr eingesammelt<br />
oder Programme mühsam installiert werden.<br />
HAUPTSITZ<br />
Einsatzgebiete ZyWALL 35<br />
VPN<br />
08<br />
www<br />
KMU ZyWALL 70<br />
Home Office<br />
Zentrales Management<br />
Nur eine regelmässig gewartete IT-Infrastruktur bietet einen<br />
zeitgemässen Schutz. Vantage CNM (Centralized-Network-Management)<br />
ist eine<br />
Client/Server-Software-Applikation, mit der<br />
verteilte ZyWALLs zentral konfi guriert und<br />
verwaltet werden können. Schon ab einer<br />
geringen Anzahl von Firewalls ist die Verwaltung<br />
über das jeweilige Web-GUI aufwändig.<br />
Vantage CNM beinhaltet auch ein Tool für<br />
grafi sche Reports, die man sich als PDF-File aufbereiten<br />
lassen kann.<br />
MITARBEITER UNTERWEGS<br />
FILIALE<br />
ZyWALL 2<br />
ZyWALL P1<br />
www<br />
Verteilte Firewalls zentral verwalten mit Vantage CNM.<br />
ZyWALL 2<br />
internes Netzwerk<br />
MANAGED-SECURITY<br />
VANTAGE CNM<br />
Anbindung von Filialen<br />
und Aussendienstler am<br />
Hauptsitz mit VPN.
FIREWALL<br />
Wer regelt den Zugriff zwischen verschiedenen<br />
Netzwerken? Wer blockiert Attacken?<br />
ANTI-SPAM<br />
Wer erkennt <strong>Spam</strong> und kennzeichnet<br />
das <strong>Spam</strong>-Mail, damit<br />
es in einen speziellen Ordner<br />
verschoben oder gelöscht werden<br />
kann?<br />
Wer verschlüsselt die Verbindung<br />
zu Heimarbeitsplätzen<br />
oder Zweigstellen?<br />
VPN<br />
Wer kann den Webzugriff einschränken?<br />
Auf welche Art von<br />
Webseiten greifen die Mitarbeiter<br />
zu?<br />
CONTENT-FILTER<br />
Eine UTM-Firewall meistert all diese Aufgaben. Wichtig<br />
bei IDP, Anti-Virus und Anti-<strong>Spam</strong> sind stets aktualisierte<br />
Signaturen. Das dafür benötigte Know-how erreicht<br />
<strong>ZyXEL</strong> durch die Zusammenarbeit mit führenden Herstellern<br />
aus unterschiedlichen Spezialgebieten.<br />
09<br />
Was bewirkt UTM?<br />
ANTI-VIRUS<br />
Wer erkennt Viren bereits am Gateway<br />
und macht sie unschädlich?<br />
Wer erkennt und blockiert Netzwerkbasierte<br />
Angriffe? Wer kann Peer-to-<br />
Peer-Applikationen kontrollieren?<br />
IDP
Anti-Virus auf dem Gateway<br />
Der weltweite Schaden, den Viren verursachen, ist immens.<br />
Rechner ohne Virenschutz sind die Ausnahme.<br />
Weshalb braucht es Anti-Virus auf dem Gateway, wenn<br />
bereits auf den Arbeitsstationen der Mitarbeiter ein Virenschutz<br />
installiert ist? Eine Anti-Viren-Lösung auf der<br />
Firewall blockt Viren, Würmer, Trojaner und Backdoors,<br />
die via SMTP / POP3 / FTP ins interne Netzwerk<br />
gelangen. In Echtzeit scannt der ZyWALL-Gateway<br />
nach File-basierten Viren und schadhaften Codes.<br />
Jeder Virus, der schon am Gateway erkannt und vernichtet<br />
wird, entlastet das Netzwerk. Anti-Virus auf der<br />
ZyWALL ergänzt die Virenlösung auf Mailserver und<br />
Desktop, ersetzt diese aber nicht!<br />
Wirkungsweise<br />
Die ZyWALL identifi ziert SMTP-, POP3-, HTTP- und<br />
FTP-Pakete auf den Standardports. Die Scan-Engine<br />
untersucht den Paket-Inhalt auf Viren. Wird ein Virenmuster<br />
erkannt, entfernt die ZyWALL den infi zierten<br />
Teil des Files. Auch gezippte Dateien untersucht die<br />
ZyWALL. Ist der Windows-Nachrichtendienst beim<br />
Empfänger aktiviert, erscheint eine Warnmeldung auf<br />
dem Bildschirm.<br />
Detaileinstellungen im Web-GUI zeigen auf,<br />
welche Dienste/Interfaces auf Viren untersucht werden.<br />
Kaspersky als Partner<br />
Kaspersky hat sich innert kurzer Zeit zu einem führenden<br />
Anbieter von Anti-Virus-Lösungen gemausert. Höchste<br />
Erkennungsrate, schnellste und häufi ge Updates sind<br />
die Stärken dieses Partners. Die auf der ZyWALL verwendeten<br />
Viren-Signaturen werden durch Kaspersky<br />
entwickelt.<br />
10<br />
Anti-Virus<br />
Übersicht aktuelle Viren<br />
Als ZyWALL UTM-Kunde erhält man den Zugriff auf<br />
eine Online-Plattform, auf welcher stets die aktuellen<br />
Viren-Signaturen aufgeführt sind. Zudem erfährt man<br />
im Detail, welche Auswirkungen der Virus hat und wie<br />
gefährlich er eingestuft wird.<br />
Stets online im Bild über bekannte Viren und ihre Auswirkungen.<br />
Automatischer Update<br />
Neue Signaturen kann die ZyWALL automatisch aktualisieren.<br />
Der Signaturen-Abgleich kann stündlich, täglich,<br />
wöchentlich oder manuell erfolgen. Die Signaturen sind<br />
nach dem Update unterbruchsfrei aktiv.<br />
Turbo-Card<br />
Um den Service Anti-Virus/IDP zu aktivieren, installiert<br />
man die Turbo-Card im Erweiterungs-Slot. Den äusserst<br />
rechenintensive Scan des Datenverkehrs nach Signaturen<br />
lagert die ZyWALL auf diese Turbo-Card aus. So<br />
bleibt die Performance auch mit aktivierten Services erhalten.<br />
Die benötigte Prozessorleistung bietet der speziell<br />
für diese Aufgabe entwickelte «SecuASIC-Chip».<br />
Leistungsstarker SecuASIC-Chip<br />
in ZyWALL Turbo-Card.
Was ist Intrusion-Prevention?<br />
Die IDP-Technologie von <strong>ZyXEL</strong> erkennt Schädlinge<br />
anhand von Mustern (Signaturen) und abnormalem<br />
Verhalten. Sie überprüft den Dateninhalt von mehreren<br />
IP-Paketen. Durch die Anomalie-Erkennung werden unbekannte<br />
Attacken auch aufgedeckt, ohne dass eine<br />
neue Signatur vorhanden sein muss.<br />
Wahrnehmung<br />
Mustererkennung<br />
Reaktion<br />
Wie sicher ist Internet-Browsen?<br />
Möchte man Internetseiten aufrufen, muss zwangsläufi g<br />
der Port 80 für HTTP geöffnet sein. Da Webseiten oft<br />
mit dynamischen Inhalten (ActiveX, Cookies, PHP- und<br />
Java-Scripts etc.) programmiert sind, muss im Browser<br />
die Sicherheitseinstellung auf «tief» gesetzt sein, damit<br />
diese Inhalte angezeigt werden. Über den offenen Port<br />
gelangen unerwünschte Eindringlinge auf den Rechner.<br />
Die Schädlinge installieren und aktivieren sich meist<br />
automatisch. Ein Intrusion-Prevention-System erkennt<br />
solchen schädlichen Code während des Datentransfers<br />
über das Netzwerk und schützt die eingebundenen<br />
Rechner.<br />
IDP versus Firewall<br />
Eine Firewall kontrolliert Ports und IP-Adressen. Mit dem<br />
Stateful-Packet-Inspection-Mechanismus überprüft sie<br />
zudem ganze IP-Sessions auf die korrekte Einhaltung<br />
von RFC-Spezifi kationen. Eine Intrusion-Prevention-Lösung<br />
hingegen untersucht den Dateninhalt von Paketen.<br />
Die Lösung von <strong>ZyXEL</strong> kann sogar fragmentierte IP-Pakete<br />
erkennen und analysieren.<br />
User<br />
IDP kann P2P-Verkehr verhindern.<br />
Muster-<br />
Datenbank<br />
Intrusion-Prevention<br />
IDP versus Anti-Virus-Scanner<br />
Im Gegensatz zu einem Anti-Viren-Scanner erkennt die<br />
Intrusion-Prevention ein abnormales Datenaufkommen,<br />
das durch Schädlinge generiert wird. Die IDP bekämpft<br />
also mit der Anomalie-Erkennung nicht nur die Schädlinge<br />
selbst, sondern auch deren Wirkung anhand von<br />
bestimmten Datenmustern. Der IT-Administrator kann<br />
den Schädling in einem zweiten Schritt eliminieren.<br />
IDP-Signaturen der ZyWALL<br />
Die ZyWALL umfasst über 1'800 IDP-Signaturen, die<br />
stündlich automatisch aktualisiert werden können. Die<br />
Datenbank erkennt Schädlinge aus 12 Kategorien wie<br />
z. B. Buffer-Overfl ows, Access-Control, Trojaner, Würmer,<br />
Peer-to-Peer-Applikationen etc. Die jeweiligen Blockiermassnahmen<br />
der Signaturen sind bereits vorkonfi guriert.<br />
Der IT-Manager kann deshalb sehr schnell ein System in<br />
Betrieb nehmen und später Anpassungen vornehmen.<br />
INTRUSION DETECTION AND PREVENTION<br />
Keine Chance für BitTorrent, eDonkey, Kazaa<br />
oder Skype<br />
Peer-to-Peer (P2P)- und Messaging-Applikationen sind<br />
gefährliche Anwendungen für die ganze IT-Infrastruktur.<br />
Sie suchen über offene Ports automatisch den Weg zum<br />
Internet und umgehen so praktisch jede normale Firewall.<br />
Das Intrusion-Prevention-System kontrolliert den gesamten<br />
Datenverkehr und kann gezielt P2P-Inhalte blockieren.<br />
Legitime Dateninhalte werden ungehindert weitergeleitet.<br />
DATENMUSTER<br />
01011011000101010010110101011001101<br />
11<br />
Port 80 offen<br />
www<br />
Übersichtliche<br />
Kategorisierung der<br />
IDP-Signaturen
Content-Filter<br />
Die Kontrolle über die besuchten Websites ist ein vorhandenes<br />
Bedürfnis von Unternehmen, Schulen und<br />
Familien mit Kindern. Mit einem Content-Filter-Service<br />
auf der ZyWALL können Webseiten anhand von bestimmten,<br />
bereits vordefi nierten Kategorien vor Zugriffen<br />
gesperrt werden.<br />
Aktualität des URL-Filters<br />
Der Content-Filter greift auf eine Online-Datenbank beim<br />
Dienstanbieter Blue Coat zu und garantiert einen laufend<br />
aktualisierten Service. Fast fünf Millionen Webseiten<br />
sind derzeit in einer oder mehreren der 52 Kategorien<br />
eingetragen. Noch nicht kategorisierte Webseiten<br />
durchlaufen im Hintergrund ebenfalls verschiedene Filter,<br />
die auf auffällige Muster reagieren. Unter den noch<br />
nicht eingestuften Websites werden diejenigen mit den<br />
meisten Zugriffen laufend kategorisiert. Der im Jahresabonnement<br />
eingeschlossene Online-Report gibt<br />
Aufschluss über die Internetnutzung. Ersichtlich ist der<br />
Anteil der verschiedenen Kategorien und die aufgerufenen<br />
Websites. Persönlichkeitsrechte bleiben dabei<br />
<strong>ZyXEL</strong> ZyWALL Turbo-Card<br />
Beschleunigungskarte<br />
mit SecuASIC-Chip<br />
UVP incl. Lizenz und MWST: ab 339.− EUR<br />
NETZWERK<br />
Server<br />
Content-Filter/Turbo-Card<br />
12<br />
gewahrt, da die IP-Adressen der Benutzer nicht erfasst<br />
werden. Der Service ist in Form einer «iCard Content-<br />
Filter» im Fachhandel erhältlich.<br />
WEB-SERVER<br />
ZyWALL 5/35/70<br />
ZyWALL 2/5/35/70<br />
BENUTZER<br />
Anfragen: www.info.com ✔<br />
www.sex.com ✘<br />
Ausfi ltern von Websites mit Content-Filter<br />
Rechenpower<br />
Das Überprüfen des Datenverkehrs nach Viren- und Intrusion-Signaturen<br />
ist äusserst rechenintensiv. Hersteller<br />
von kombinierten Lösungen (Firewall, Anti-Virus, IDP)<br />
kämpfen alle mit Performance-Problemen. In der Regel<br />
bricht der Datendurchsatz mit dem Aktivieren des IDP-<br />
und Anti-Virus-Scans ein. Bei den ZyWALL 5, 35 und 70<br />
wird dieser Scan auf die Turbokarte ausgelagert. Durch<br />
den speziell entwickelten ASIC (Application-Specifi c-<br />
Integrated-Circuit) wird der Datenstrom kontinuierlich<br />
und ohne ein Umordnen der Datenpakete gescannt. Die<br />
Grösse der inspizierten Files spielt dank dieser Architektur<br />
ebenfalls keine Rolle.<br />
www<br />
Rechenintensiver Scan von Datenpaketen<br />
wird auf Turbo-Card ausgelagert.<br />
info.com sex.com<br />
www<br />
Auswertungen als Diagramm
<strong>Spam</strong> in Blacklist<br />
Es ist nicht einfach, <strong>Spam</strong> aus dem E-Mail-Verkehr zu<br />
fi ltern. Am einfachsten erkennt man <strong>Spam</strong> anhand von<br />
Listeneinträgen. Diese Black-/Whitelist-Einträge können<br />
in der ZyWALL defi niert werden. Für jeden Eintrag wird<br />
eine E-Mail-, IP-Adresse oder eine MIME-Erweiterung<br />
hinterlegt. E-Mails, die einem dieser Einträge entsprechen,<br />
werden ohne weitere Überprüfung als <strong>Spam</strong><br />
(Blacklist) bzw. kein <strong>Spam</strong> (Whitelist) markiert.<br />
Externe Inhaltsüberprüfung<br />
In der zweiten Stufe der ZyWALL <strong>Spam</strong>-Engine wird mittels<br />
eines speziellen Algorithmus der Inhalt des E-Mails<br />
gescannt und eine Art Fingerabdruck erstellt. Der externe<br />
Signatur-Server empfängt über Internet dieses eindeutige<br />
Abbild und errechnet anhand von über 300‘000<br />
Signaturen die <strong>Spam</strong>-Wahrscheinlichkeit. Die ZyWALL<br />
erhält nun diese Bewertung in Form eines Wertes zwischen<br />
0 und 100 zurück (100 = <strong>Spam</strong>-E-Mail) und entscheidet<br />
anhand eines frei defi nierbaren Schwellwertes,<br />
ob dieses E-Mail als <strong>Spam</strong> gekennzeichnet wird oder<br />
nicht. Es empfi ehlt sich, den Schwellwert in der ersten<br />
Phase zu variieren, um den gewünschten Filtereffekt zu<br />
erzielen. Wie <strong>Spam</strong>-E-Mails in der Betreffzeile vermerkt<br />
werden, kann man frei defi nieren.<br />
Gewünschter Filtereffekt mit Schwellwert (Threshold) defi nieren.<br />
Anti-<strong>Spam</strong><br />
Schädlinge im Rucksack<br />
Vielfach beinhalten <strong>Spam</strong>-E-Mails Attachments mit<br />
Schädlingen. Solche Schädlinge können nur durch einen<br />
Anti-Viren-Scanner und durch Intrusion-Detection-<br />
Prevention erkannt und neutralisiert werden. Es versteht<br />
sich von selbst, dass eine Kombination aller Security-<br />
Services (Anti-<strong>Spam</strong>, Anti-Virus und IDP) den zuverlässigsten<br />
Schutz bietet.<br />
<strong>Spam</strong> erkannt – was nun?<br />
Empfängt der E-Mail-Client wie z. B. Outlook die markierten<br />
<strong>Spam</strong>-E-Mails, so sollten diese am besten in<br />
einen Quarantäne-Ordner verschoben werden. In MS-<br />
Outlook erfolgt dank der Regelassistenten-Funktion das<br />
Verschieben der <strong>Spam</strong>-E-Mails automatisch. Es kommt<br />
vor, dass <strong>Spam</strong>-Filter ein harmloses E-Mail fälschlicherweise<br />
als <strong>Spam</strong>-E-Mail kennzeichnen. Sollte ein erwartetes<br />
E-Mail nicht eintreffen, so kann der Quarantäne-<br />
Ordner auf dieses E-Mail überprüft werden.<br />
13<br />
EXTERNER SIGNATUREN-SERVER<br />
TM<br />
mailshell<br />
Anti-<strong>Spam</strong><br />
SPAM<br />
1<br />
Datenbank<br />
White-,<br />
Blacklist<br />
Kalkulation<br />
Wahrscheinlichkeitswert<br />
www<br />
2<br />
ZyWALL 5/35/70<br />
1 Die Firewall überprüft, ob zum eingehenden Mail White-/ Blacklist-<br />
Einträge vorhanden sind.<br />
2 Der Inhalt des Mails wird gescannt, und ein Fingerabdruck wird zur<br />
Überprüfung weiter geleitet.<br />
3 Der Fingerabdruck wird ausgewertet und die Wahrscheinlichkeit berechnet,<br />
dass es sich bei dem Mail um <strong>Spam</strong> handelt.<br />
4 Das Mail wird mit oder ohne Vermerk «<strong>Spam</strong>» an den Mail-Client<br />
oder Server gesendet.<br />
3<br />
4
Stateful-Packet-Inspection<br />
Stateful-Packet-Inspection bietet einem Netzwerk<br />
Schutz vor unerlaubtem Zugriff aus dem Internet. Gleichzeitig<br />
wird der Zustand einer Verbindung kontrolliert,<br />
d. h. ob die Antwort auf eine Anfrage aus dem internen<br />
Netzwerk zurückzuführen ist. In einer internen Tabelle<br />
werden diese Verbindungskontrollen verwaltet und<br />
überwacht. Dies ist die Basis für die Entscheidung, ob<br />
die Firewall ein Datenpaket passieren lässt, oder ob es<br />
blockiert wird. Die Einschränkung der Kontrolle auf IP-<br />
Adressen und Protokolle unterscheidet die Firewall von<br />
Intrusion-Detection-Prevention-Systemen.<br />
DMZ<br />
Öffentliche Server wie z. B. ein Webserver müssen vom<br />
Internet her erreichbar sein – lokale dagegen nicht. Um<br />
diese unterschiedlichen Anforderungen zu erfüllen, platziert<br />
man öffentliche Server in einem separaten Netzwerksegment.<br />
Diese sogenannte demilitarisierte Zone<br />
ist durch Firewall-Regeln vom Internet und vom lokalen<br />
Netzwerk getrennt. Damit erhöht sich die Sicherheit,<br />
weil ein infi zierter Server in der DMZ keinen Zugriff auf<br />
das lokale Netzwerk hat. Bei den ZyWALL 5 und 35 lassen<br />
sich vier LAN-Ports fl exibel als DMZ einrichten. Die<br />
DMZ verfügt über eigene DHCP-Funktionalitäten.<br />
ZyWALL 5/35<br />
Mail-Server<br />
DMZ<br />
14<br />
Firewall-Funktionen<br />
Bandbreiten-Management<br />
Verschiedene Anwendungen wie Web, FTP, VPN, VoIP,<br />
etc. «kämpfen» mit unterschiedlichen Bandagen um die<br />
verfügbare Bandbreite des Internetzugangs. Der zunehmende<br />
VoIP-Verkehr verschärft diese Problematik.<br />
Die Qualität von VoIP sinkt beim Versand von E-Mails<br />
mit grossen Anhängen oder bei gleichzeitigem FTP-<br />
Download. Aggressive Anwendungen wie z. B. FTP<br />
nehmen sich so viel Bandbreite wie möglich. Darunter<br />
leiden zeitkritische Applikationen, weil sie sich mit dem<br />
verbleibenden Rest der Bandbreite begnügen müssen.<br />
Die Qualität eines Telefongesprächs über Internet oder<br />
die Stabilität einer VPN-Verbindung können durch das<br />
Bandbreiten-Management garantiert werden.<br />
Prioritätensetzung der Bandbreiten<br />
INTERNES NETZWERK<br />
2 Mbps<br />
öffentliche Server<br />
(Web, FTP, etc.)<br />
DMZ<br />
Bei der ZyWALL 5, 35 und 70 lässt sich der Datenstrom<br />
nach verschiedenen Kriterien konfi gurieren: Für zeitkritische<br />
Anwendungen wie VoIP kann beispielsweise<br />
eine garantierte Mindestbandbreite defi niert werden.<br />
Aggressiven Protokollen wie FTP weist man eine eher<br />
tiefe Priorität (resp. maximal zu nutzende Bandbreite) zu,<br />
HTTPS und der IP-Adresse des Onlineshops dagegen<br />
eine hohe.<br />
www<br />
Web/Online-Shop<br />
FTP<br />
Voice-over-IP<br />
VoIP
Zweiter WAN-Anschluss<br />
Die Verfügbarkeit und Bandbreite sind kritische Faktoren<br />
eines Internetanschlusses. Der zweite WAN-Anschluss<br />
der ZyWALL 35 und 70 lässt sich gleichzeitig mit Loadbalancing<br />
oder als Back-up einsetzen. Fällt die primäre<br />
Internetverbindung aus, wird automatisch auf einen<br />
zweiten Zugang gewechselt. Ist Redundanz gefragt,<br />
wählt man für die beiden WAN-Verbindungen mit Vorteil<br />
unterschiedliche Technologien wie DSL, Kabel oder<br />
Standleitung. Reicht die Bandbreite eines einzelnen<br />
ADSL-Abonnements für einen Firmenzugang nicht aus,<br />
kann eine zweite Leitung dazu geschaltet werden.<br />
www<br />
ISP 1<br />
ZyWALL 35/70<br />
Höhere Bandbreite oder Back-up-Funktion<br />
durch zwei simultane Broadband-Verbindungen.<br />
www<br />
ISP 2<br />
Dial-Back-up<br />
Fällt ADSL aus, kann ein externes Modem oder ein<br />
ISDN-Adapter automatisch wieder eine Verbindung ins<br />
Internet herstellen. Damit ist zumindest ein notdürftiger<br />
Betrieb wieder möglich.<br />
NETZWERK<br />
ISDN-TA<br />
Internetzugang über ADSL<br />
ADSL ist unterbrochen, Verkehr<br />
wird auf ISDN-Adapter umgeleitet<br />
www<br />
ADSL<br />
Firewall-Funktionen<br />
VPN und Authentifi zierung<br />
Für die Vernetzung von Firmen-Niederlassungen und<br />
Heimarbeitsplätzen ist VPN nicht mehr wegdenkbar. Die<br />
verfügbaren Netzwerkressourcen (Programme, Dateien,<br />
etc.) sind damit über verteilte Standorte nutzbar. Doch<br />
nicht nur die VPN-Unterstützung, sondern auch die Verschlüsselungstiefe<br />
(DES, 3DES und AES), der mögliche<br />
Datendurchsatz und die Authentifi zierungsmöglichkeiten<br />
stehen für die Qualität einer VPN-Firewall. Die Abfrage von<br />
Benutzernamen und Passwort oder die Verwendung von<br />
Zertifi katen beim Aufbau einer VPN-Verbindung werden<br />
immer häufi ger als weitere Sicherheitselemente gefordert.<br />
Diese zusätzliche Authentifi zierung ist für VPN- und Wireless-LAN-Verbindungen<br />
möglich. Als VPN-Client kann<br />
auch eine Software wie der ZyWALL VPN-Client oder<br />
TheGreenBow eingesetzt werden.<br />
Wireless-ready<br />
Durch den Einsatz einer Wireless-Karte (zum Beispiel<br />
ZyAIR G-100) lassen sich die <strong>ZyXEL</strong> ZyWALL 5, 35 und<br />
70 zum Access-Point erweitern. Neu ist es möglich, die<br />
WLAN-Karte ins LAN oder als separate Firewall-Zone<br />
zu konfi gurieren. Firewall-Regeln zwischen Wireless-<br />
LAN und dem lokalen Netzwerk erhöhen die Sicherheit.<br />
Bei der Authentifi zierung nach 802.1x können bis zu 32<br />
Benutzer auf der internen Datenbank oder einem externen<br />
RADIUS-Server eingerichtet werden. Im Verlauf des<br />
1. Quartals 2006 kann zusätzlich eine WLAN-Zone auf<br />
einem Ethernet-Port defi niert werden.<br />
Vom lokalen Netzwerk<br />
getrenntes Wireless-LAN.<br />
Sichere Fernwartung<br />
Die Datenverschlüsselung der Remote-Konfi guration mit<br />
VPN, HTTPS oder SSH verhindert das Abhorchen durch<br />
Unberechtigte. Die Zugriffsberechtigung lässt sich auf<br />
eine bestimmte IP-Adresse einschränken und mit einem<br />
Zertifi kat zusätzlich authentifi zieren.<br />
15<br />
WLAN-ZONE<br />
User: John<br />
Password: PW1SEC25<br />
RADIUS-Server<br />
User: Claudia<br />
Password: PW1SEC27<br />
User: John<br />
Password: PW1SEC25<br />
User: Charlie<br />
Password: PW1SEC29<br />
User: Bettina<br />
Password: PW1SEC32
zentrales Management/Vantage CNM<br />
CNM = Centralized-Network-Management<br />
Vantage CNM ist eine Software-Applikation, mit der verteilte<br />
<strong>ZyXEL</strong>-Netzwerkkomponenten effi zient konfi guriert,<br />
analysiert und überwacht werden können.<br />
VPN-Verbindungen per Mausklick<br />
Eine benutzerfreundliche grafi sche Oberfl äche ermöglicht,<br />
VPN-Verbindungen einfach per Mausklick zu erstellen.<br />
Start- und Endadressen müssen nicht mehr<br />
manuell eingegeben werden.<br />
unterstützte<br />
Modelle/Firmware<br />
für CNM 2.2<br />
Anzahl managebare<br />
Devices<br />
technische Voraussetzungen<br />
Update von Version<br />
2.1 auf 2.2<br />
Eine in der VPN-Übersicht hinterlegte<br />
Grafi k ermöglicht die Übersicht des<br />
betreuten Netzwerks.<br />
Automatisch erscheint nach Initialisierung<br />
der VPN-Verbindung ein VPN-<br />
Wizard mit Default-Einstellungen, die<br />
sich weiter anpassen lassen.<br />
ZyWALL 2, 10W: FW 3.62<br />
ZyWALL 5, 35, 70: FW 3.64<br />
16<br />
Device- und Account-Management<br />
Vantage CNM ermöglicht, die Netzwerkkonfi guration<br />
mit Hierarchiestufen darzustellen, zum Beispiel Firmen-,<br />
Abteilungs- oder Device-Level. Für jede Hierarchiestufe<br />
lassen sich Benutzer mit unterschiedlichen Zugriffsrechten<br />
defi nieren.<br />
Infrastruktur für Vantage CNM<br />
Für Vantage CNM wird ein Server mit FTP-, Syslog- und<br />
Telnet-Dienst vorausgesetzt. Der FTP-Server ist für das<br />
Hosten der verschiedenen Firmware-Versionen erforderlich,<br />
während der Syslog-Server die Log-Einträge aller<br />
gemanagten Devices aufzeichnet. Für den Betrieb des<br />
Servers wird eine fi xe, öffentliche IP Adresse benötigt. Die<br />
örtlich verteilten Devices kommunizieren über das sogenannte<br />
Service-Gateway-Management-Protocol (SGMP),<br />
wobei die Übertragung sicher mit DES oder 3DES verschlüsselt<br />
werden kann. Vantage CNM Administratoren<br />
können sich bequem über einen Webbrowser mit Internetzugang<br />
mit ihren persönlichen Account-Informationen<br />
einloggen. Damit kann der Administrator an einem beliebigen<br />
Rechner und Standort auf alle Devices zugreifen.<br />
Features Vantage CNM<br />
One-Click-VPN-Tunnels<br />
Konfi gurations-Management<br />
Firmware-Verwaltung mit Scheduling-Funktion<br />
Device- und Account-Management<br />
Umfassende Log- & Alarm-Reports<br />
Firewall-Regelverwaltung<br />
ZyWALL P1:<br />
Prestige 652HW(-I):<br />
Prestige 662HW(-I):<br />
Eine aktuelle Produktliste ist unter www.zyxel.de ersichtlich.<br />
Lizenzen für 10, 25, 50, 100 oder 300 Devices sowie Testlizenz für<br />
30 Tage erhältlich<br />
Server mit Win XP Englisch oder<br />
Linux RedHat 9.0 / 2,6 GHz / 1 GB RAM Arbeitsspeicher<br />
Kostenlos im 4. Quartal 2005<br />
Features der Version 2.2: - optimierte Performance<br />
- Firmware-Update mit Zeitplanung<br />
- verbesserte Bedienerfreundlichkeit<br />
FW 3.64 (XJ.4)<br />
FW 3.40<br />
FW 3.40
VRPT = Vantage-Reporting-Toolkit<br />
Das Vantage-Reporting-Toolkit ist nicht zu verwechseln<br />
mit Vantage CNM. VRPT ist ein eigenständiges<br />
Tool, das grafi sche Reports erstellt. Es sammelt Informationen<br />
von verteilten ZyWALLs und generiert bis zu<br />
26 vordefi nierte Reports wie z. B. Bandbreiten- oder<br />
Attackenübersicht. Täglich oder wöchentlich lassen<br />
sich die Berichte als PDF automatisch per E-Mail versenden.<br />
Automatische Reports<br />
Die VRPT-Server-Lösung ist einfach über einen Browser<br />
zu bedienen. Per Knopfdruck werden Reports über<br />
Attacken, Intrusions, Bandbreiten-Auslastung, Servicebenutzung<br />
etc. erstellt. Verteilte Firewalls können auch<br />
getrennt analysiert werden.<br />
Bandbreiten-Report<br />
Dieser Report zeigt einem IT-Administrator ein anomalisches<br />
Verhalten auf. Generiert z. B. eine IP-Adresse<br />
aus dem LAN ein erhöhtes Datenvolumen im Vergleich<br />
zu den anderen Adressen, könnte auf diesem Rechner<br />
ein Schädling am Werk sein. Der betroffene Rechner<br />
kann nun gezielt in Quarantäne gesetzt und gesäubert<br />
werden.<br />
Auswertungsmöglichkeiten<br />
mit VRPT 2.2<br />
unterstützte<br />
Modelle/Firmware<br />
Voraussetzungen<br />
Server<br />
Reporting/Vantage VRPT 2.2<br />
- Bandbreite<br />
- Webzugriffe und Webfi lter<br />
- Attacken (Firewall-Regeln)<br />
- Report pro Service<br />
(FTP, HTTP, SNMP, etc.)<br />
17<br />
- Intrusions (ZyWALL IDP 10)<br />
- Datenvolumen für Services<br />
wie VPN, E-Mail, etc.<br />
- Device-Errors<br />
- Verbindungsunterbrüche<br />
Es stehen pro Report weitere Darstellungsoptionen zur Verfügung, z. B. aufgelistet<br />
nach Kategorie, Art der Attacken, Art der Intrusions, etc. und als Zusammenfassung.<br />
- ZyWALL IDP 10:<br />
- ZyWALL 2:<br />
- ZyWALL 5, 35, 70:<br />
FW 2.00<br />
FW 3.62<br />
FW 3.64<br />
- Prestige 652HW(-I):<br />
- Prestige 650R(-I):<br />
- Prestige 662HW(-I):<br />
FW 3.40<br />
FW 3.40<br />
FW 3.40<br />
Intel P4 / 2,6 GHz / 1 GB RAM / 80 GB HDD / Windows XP / 2003 Server.<br />
Verfügbarkeit VRPT 2.2 ist kostenlos unter www.zyxel.de downloadbar. Die kommende Version 2.3 wird<br />
Anti-Virus- und IDP-Funktionen der FW 4.0 unterstützen und kostenpfl ichtig sein.
estehende Kunden (ZyWALL bereits vorhanden)<br />
neue Kunden (noch keine ZyWALL vorhanden)<br />
UTM-Services<br />
Produkt-<br />
Bezeichnung<br />
iCard IDP+AV<br />
Turbo-Suite<br />
(mit Turbo-Card)<br />
Inhalt<br />
1x Turbo-Card<br />
1x iCard IDP+AV<br />
iCard Anti-<strong>Spam</strong> 1x iCard AS<br />
iCard Content-Filter 1x iCard CF<br />
Produkt-<br />
Bezeichnung<br />
ZyWALL UTM<br />
iCard IDP+AV<br />
(ohne Turbo-Card)<br />
Inhalt<br />
1x ZyWALL<br />
1x Turbo-Card<br />
1x iCard IDP+AV<br />
iCard Anti-<strong>Spam</strong> 1x iCard AS<br />
iCard Content-Filter 1x iCard CF<br />
Laufzeit<br />
18<br />
Übersicht<br />
ZyWALL 5 ZyWALL 35 ZyWALL 70<br />
UVP incl. MWST UVP incl. MWST UVP incl. MWST<br />
iCard Silver «IDP+AV» iCard Gold «IDP+AV»<br />
1 Jahr 339.− EUR 499.− EUR 499.− EUR<br />
2 Jahr 449.− EUR 689.− EUR 689.− EUR<br />
iCard Silver «AS» iCard Gold «AS»<br />
1 Jahr 80.− EUR 179.− EUR 179.− EUR<br />
2 Jahr 125.− EUR 279.− EUR 279.− EUR<br />
iCard Silver «CF» iCard Gold «CF»<br />
1 Jahr 57.− EUR 249.− EUR 249.− EUR<br />
Aufrüsten von ZyWALL 5/35/70<br />
Der Upgrade auf UTM ist mit einem Firmware-Wechsel auf Version 4.0 wie gewohnt kostenlos. IDP, Anti-Virus und Anti-<strong>Spam</strong> lassen sich während 90 Tagen, der Content-Filter<br />
während 30 Tagen austesten. Für den Test von IDP+Anti-Virus benötigt man eine Turbokarte. Der Leihbezug einer Turbokarte ist bei einem ZyWALL-Fachhändler möglich.<br />
Laufzeit<br />
UTM-Funktionen für weitere ZyWALL-Modelle<br />
<strong>ZyXEL</strong> ZyWALL P1: IDP und Anti-Virus per Anfang 2006 verfügbar, keine Integration<br />
von Anti-<strong>Spam</strong> und Content-Filter.<br />
<strong>ZyXEL</strong> ZyWALL 2: Content-Filter bereits verfügbar, keine Integration von weiteren<br />
UTM-Services.<br />
ZyWALL 5 ZyWALL 35 ZyWALL 70<br />
UVP incl. MWST UVP incl. MWST UVP incl. MWST<br />
569.− EUR 929.− EUR 1'429.− EUR<br />
iCard Silver «IDP+AV» iCard Gold «IDP+AV»<br />
1 Jahr 169.− EUR 325.− EUR 325.− EUR<br />
2 Jahr 275.− EUR 519.− EUR 519.− EUR<br />
iCard Silver «AS» iCard Gold «AS»<br />
1 Jahr 80.− EUR 179.− EUR 179.− EUR<br />
2 Jahr 125.− EUR 279.− EUR 279.− EUR<br />
iCard Silver «CF» iCard Gold «CF»<br />
1 Jahr 57.− EUR 249.− EUR 249.− EUR<br />
Drei Monate Bonus<br />
Die Services IDP+AV und Anti-<strong>Spam</strong> können drei Monate gratis getestet werden.<br />
Wird während dieser Testzeit eine Ein- oder Zweijahres-Lizenz registriert, verlängert<br />
sich die Laufzeit des Services um weitere drei Monate. Die Lizenzerweiterungen<br />
sind via Fachhandel erhältlich.
Firewalls von <strong>ZyXEL</strong><br />
Features ZyWALL P1<br />
(FW 4.0)<br />
Einsatzgebiet der Firewall<br />
Aussendienstmitarbeiter<br />
ZyWALL 2<br />
(FW V3.63)<br />
Private und<br />
Kleinfi rmen<br />
ZyWALL 5<br />
(FW 4.0)<br />
Kleine und mittlere<br />
Firmen<br />
ZyWALL 35<br />
(FW 4.0)<br />
Kleine und mittlere<br />
Firmen<br />
ZyWALL 70<br />
(FW 4.0)<br />
Mittlere und grosse<br />
Firmen<br />
LAN/DMZ-Anschlüsse 1 x LAN 4 x LAN 4 x LAN/DMZ 4 x LAN/DMZ 1 x LAN, 4 x DMZ<br />
WAN-Anschlüsse 1 1 1 2 2<br />
Bandbreiten-Management - - ✓ ✓ ✓<br />
VPN-Tunnels 1 2 10 35 100<br />
PKI-Support für VPN ✓ ✓ ✓ ✓ ✓<br />
Authentifi kation für VPN ✓ ✓ ✓ ✓ ✓<br />
2 Login-Levels ✓ - - - -<br />
Übersicht<br />
Bridge-Modus ✓ - ✓ ✓ ✓<br />
NAT-Session 2'048 1'024 6'000 10'000 10'000<br />
Remote-Management (HTTPS/SNMP) ✓ ✓ ✓ ✓ ✓<br />
Vantage CNM unterstützt ✓ ✓ ✓ ✓ ✓<br />
Vantage VRPT unterstützt - ✓ ✓ ✓ ✓<br />
PCMCIA-Slot (für WLAN oder Turbo-Card) - - ✓ ✓ ✓<br />
Referenzpreis (ohne UTM) 199.− EUR 199.− EUR 548.− EUR 929.− EUR 1'279.− EUR<br />
Technische Dienstleistungen der <strong>ZyXEL</strong> Deutschland GmbH<br />
RMA/Reparaturen<br />
Alle Informationen zur RMA/Reparaturenabwicklung nden Sie im Internet unter: www.zyxel.de/support<br />
Support-Hotline<br />
Tel.: 018 05 / 21 32 47 (12 Cent/Min.)<br />
Die <strong>ZyXEL</strong> Hotline-Mitarbeiter bieten gern Unterstützung bei technischen Fragen von Mo. - Do. 9.00 bis 17.00 Uhr und Fr. von 9:00 bis 15:00 Uhr.<br />
Zusätzlich bieten wir eine Hotline Nr. bei allgemeinen Netzwerk- und Betriebssystemproblemen: 0900 / 19 99 35 (1.57 EUR / Min.)<br />
Security-Kurse<br />
<strong>ZyXEL</strong> Deutschland bietet seit Jahren technische Weiterbildungskurse für IT-Spezialisten an, davon drei Kurse im Security-Bereich. Eine Übersicht aller<br />
Kurse und die Möglichkeit zur Online-Anmeldung finden Sie unter http://www.zyxel.de/reseller.<br />
19
<strong>ZyXEL</strong> Deutschland GmbH<br />
Adenauerstrasse 20 / A2<br />
52146 Würselen<br />
sales@zyxel.de<br />
www.zyxel.de<br />
10/2005, Copyright by <strong>ZyXEL</strong> Deutschland GmbH