Здравейте,

в съществуваща мрежа с 20тина потребителя ползваме рутер Asus RT-AC68U, като

на него е пуснат vpn сървър ако се налага работа от разстояние (хоум офис).

Разчитаме на актуален firmware на рутера, компютри с редовно обновяване

и платена антивирусна eset endpoint antivirus.

Ако сменим въпросният рутер с Check Point 1530 Base Appliance ще получим

ли по-висока степен на защита от външни атаки (общо казано)?

Говорим за сценария ако и Check Point 1530 Base Appliance и Asus RT-AC68U

са достатъчно добре конфигурирани?

Ясна е разликата от почти 10 пъти в цената, но пък марката му е прекалено

жълта на това чудо. Но пък е специализирано уж...

Няма нищо жълто в CheckPoint, освен завода-производител на физическото изделие. На теория, ако наистина стената е настроена, както трябва, ще имате в пъти по-добра защита. На практика, нямаме изходния код на ASUS-а, за да знаем какви твърдо набити правила има той в стената си, за да направим сравнение. Тъй като атаките са много различни по характер, а най-често срещаните имат за цел просто да ти затрапят връзката към Интернет, или да принудят рутера ти да увисне от претоварване на процесора с паразитен трафик или експлоатиране на бъг в софтуера му чрез малформирани пакети, и т.н. Защитата от атаки е комбинация от добре написан фърмуер и грамотен администратор, който знае как да анализира логове и да пише адекватни правила. Ще ви помогне много и някакъв активен мониторинг на всички тези неща, не set it and forget it. А такава прозрачност и гъвкавост с ASUS-а към момента нямате.

преди 10 часа, Stoqn Petkov написа:

Здравейте,

в съществуваща мрежа с 20тина потребителя ползваме рутер Asus RT-AC68U, като

на него е пуснат vpn сървър ако се налага работа от разстояние (хоум офис).

Разчитаме на актуален firmware на рутера, компютри с редовно обновяване

и платена антивирусна eset endpoint antivirus.

Ако сменим въпросният рутер с Check Point 1530 Base Appliance ще получим

ли по-висока степен на защита от външни атаки (общо казано)?

Говорим за сценария ако и Check Point 1530 Base Appliance и Asus RT-AC68U

са достатъчно добре конфигурирани?

Ясна е разликата от почти 10 пъти в цената, но пък марката му е прекалено

жълта на това чудо. Но пък е специализирано уж...

Външна атака може да е ориентирана само към рутера или пренасочена услуга в него - вътрешната мрежа не се вижда от публична страна. По-скоро осигурете защита с регулиране на достъпа до публична страна от локалната мрежа, понеже връзките се изграждат отвътре навън.

на 20.01.2024 г. в 4:17, Rammkopf написа:

Няма нищо жълто в CheckPoint, освен завода-производител на физическото изделие. На теория, ако наистина стената е настроена, както трябва, ще имате в пъти по-добра защита. На практика, нямаме изходния код на ASUS-а, за да знаем какви твърдо набити правила има той в стената си, за да направим сравнение. Тъй като атаките са много различни по характер, а най-често срещаните имат за цел просто да ти затрапят връзката към Интернет, или да принудят рутера ти да увисне от претоварване на процесора с паразитен трафик или експлоатиране на бъг в софтуера му чрез малформирани пакети, и т.н. Защитата от атаки е комбинация от добре написан фърмуер и грамотен администратор, който знае как да анализира логове и да пише адекватни правила. Ще ви помогне много и някакъв активен мониторинг на всички тези неща, не set it and forget it. А такава прозрачност и гъвкавост с ASUS-а към момента нямате.

не разбирам много, но по принцип марките в този сектор са няколко - Cisco,  Zyxel, Huawei...

А тази марка за мен е тотално нечувана и затова се зачудих, но пък е специализирана в това.

Ще прикача скрийншотове от възможностите на firewall на асуса

 

преди 21 часа, JohnTRIVOLTA написа:

Външна атака може да е ориентирана само към рутера или пренасочена услуга в него - вътрешната мрежа не се вижда от публична страна. По-скоро осигурете защита с регулиране на достъпа до публична страна от локалната мрежа, понеже връзките се изграждат отвътре навън.

Това е така. То и на този чек поинт ще се вдигне vpn сървър. Но понеже поне за мен е нечувана марка се чудех

дали може да се разчита на това чудо.

Ще прикача скрийншотове от възможностите на firewall на асуса

Асусчето не е лошо, ама ако имаше малко повечко памет, можеше да му се сложи едно OpenWRT и на него да запуснеш Adguard и BanIP, не че инак не може, но много малко памет ... дори с 512MB да беше щеше да е необходимо задача за рестарт на няколко дена.

преди 23 часа, JohnTRIVOLTA написа:

Асусчето не е лошо, ама ако имаше малко повечко памет, можеше да му се сложи едно OpenWRT и на него да запуснеш Adguard и BanIP, не че инак не може, но много малко памет ... дори с 512MB да беше щеше да е необходимо задача за рестарт на няколко дена.

Т.е това дава достатъчно добра защита както си е с оригиналният firmware и

можем спокойно да си караме така и да не се купува чек поинта?

преди 1 час, Stoqn Petkov написа:

Т.е това дава достатъчно добра защита както си е с оригиналният firmware и

можем спокойно да си караме така и да не се купува чек поинта?

Вие имате ли някакъв реален проблем, или просто профилактично искате да преминете на професионално оборудване? Отговорът на този въпрос е и отговор на твоя. Беше доста конкретен за CheckPoint ... някой ви го препоръча ли?

преди 4 часа, Rammkopf написа:

Вие имате ли някакъв реален проблем, или просто профилактично искате да преминете на професионално оборудване? Отговорът на този въпрос е и отговор на твоя. Беше доста конкретен за CheckPoint ... някой ви го препоръча ли?

Нямаме за момента проблем. Просто искаме да сме достатъчно добре защитени. Ясно е, че някой каже ли "тези трябва да се

сринат" - всичко заминава. Нямаме информация, която да струва стотици хиляди левове, че да се целят в нас

големите спецове. Просто да имаме едно достатъчно добро на защита.

Те ако решат да ви крадат информацията, никаква стена няма да ги спре. Мрежовите технологии вече станаха толкова комплексни и желязно защитени, че огромен процент от атаките не са ориентирани към пробив на самото оборудване, а "пробив" на самите служители. Социалното инженерство е най-финото и търсено изкуство в момента. Разчита се на човешкото незнание и доверие, изпращат се убедителни фишинги, хората цъкат там, дават си паролите на сайт, който адски прилича на истинския. Или пък водите кореспонденция с бизнес-партньор, който има зле криптирана поща и през тяхната система научават кой какъв е във вашата организация, като четат кореспонденцията ви през отсрещния сървър. Така пък правят spear-фишининг. И хората се хващат. И плащат едни луди пари, които после нямат връщане.

Или пък пращат прикачен файл с безобиден скрипт, който преминава антивирусна проверка, а като отвориш файла, скриптът изтегля от Интернет друг скрипт, който пък отваря reverse shell сесия: вместо хакерът да се мъчи да пробие файъруола и да се свърже с тебе, той те убеждава да стартираш троянски кон, който кара твоя компютър да се свърже с него и така започва белята - с абсолютна тишина.

Та, повече залагайте на обучение на персонала, по-малко на защитната стена. Имам клиенти с оборудване за милиони, дето изгарят точно заради служителско невежество.

преди 6 часа, Rammkopf написа:

Те ако решат да ви крадат информацията, никаква стена няма да ги спре. Мрежовите технологии вече станаха толкова комплексни и желязно защитени, че огромен процент от атаките не са ориентирани към пробив на самото оборудване, а "пробив" на самите служители. Социалното инженерство е най-финото и търсено изкуство в момента. Разчита се на човешкото незнание и доверие, изпращат се убедителни фишинги, хората цъкат там, дават си паролите на сайт, който адски прилича на истинския. Или пък водите кореспонденция с бизнес-партньор, който има зле криптирана поща и през тяхната система научават кой какъв е във вашата организация, като четат кореспонденцията ви през отсрещния сървър. Така пък правят spear-фишининг. И хората се хващат. И плащат едни луди пари, които после нямат връщане.

Или пък пращат прикачен файл с безобиден скрипт, който преминава антивирусна проверка, а като отвориш файла, скриптът изтегля от Интернет друг скрипт, който пък отваря reverse shell сесия: вместо хакерът да се мъчи да пробие файъруола и да се свърже с тебе, той те убеждава да стартираш троянски кон, който кара твоя компютър да се свърже с него и така започва белята - с абсолютна тишина.

Та, повече залагайте на обучение на персонала, по-малко на защитната стена. Имам клиенти с оборудване за милиони, дето изгарят точно заради служителско невежество.

да, това е точно така и там битката с неуките служители е най-тежка. Значи ще си останем на сегашният Асус и ще трябва да

се наблегне на разговори със служителите. Иначе всички компютри са с локален акаунт и парола от 15тина символа на

администраторският акаунт. Отделно е платеният нод ендпоинт антивирус и отделно имат файлов сървър с

openmediavault да си качват документите и каквото им е важното.