ПО для комплексной защиты коммерческого web-сервиса

[ITSpec 0]

Имеется некий web-сервис, которым пользуются внешние клиенты. Сервис реализован как сайт на базе IIS и неких других программных компонентов. Стоит задача - максимально защитить его как от внешних, так и от внутренних угроз, т.е. обеспечить его комплексную защиту. Был бы признателен за отзывы по использованию систем комплексной защиты с указанием конкретных наименований продуктов (критерии: качество защиты, удобство администрирования, гибкость настроек, масштабирование и т.д.). Например, Deep Security (Trend Micro), RealSecure Server Sensor (IBM), продукты от CheckPoint и т.д.

[Сергей Ильин 1538]

Рассматривали ли какие-то продукты класса Web Application Firewall (WAF)?

Примеры:

Barracuda Web Application Firewall

http://www.barracudanetworks.com/ns/produc...ll-overview.php

Cisco ACE Web Application Firewall

http://www.cisco.com/en/US/products/ps9586/index.html

SecureSphere Web Application Firewall (от Imperva)

http://www.imperva.com/products/wsc_web-ap...n-firewall.html

Fortinet Web Application Firewall

http://www.fortinet.com/solutions/web_application.html

Breach Security Web Application Firewalls

http://www.breach.com/products/web-application-firewall.html

Первые три достаточно известны в России.

[Кирилл Керценбаум 671]

От себя добавлю, что Deep Security (Trend Micro) вам точно не подойдет, с IPS/IDS у Trend Micro не очень хорошо. Рекомендую также обратить внимание на IBM Proventia Server Intrusion Prevention System

[ITSpec 0]

От себя добавлю, что Deep Security (Trend Micro) вам точно не подойдет, с IPS/IDS у Trend Micro не очень хорошо. [/url]

Это из личного опыта?

[Кирилл Керценбаум 671]

Это из личного опыта?

Да

[ITSpec 0]

От себя добавлю, что Deep Security (Trend Micro) вам точно не подойдет, с IPS/IDS у Trend Micro не очень хорошо. Рекомендую также обратить внимание на IBM Proventia Server Intrusion Prevention System

Что скажете по поводу продуктов от Cisco, CheckPoint и Microsoft?

[Кирилл Керценбаум 671]

Что скажете по поводу продуктов от Cisco, CheckPoint и Microsoft?

Microsoft выкидываем из списка сразу, ну не занимаются они ИБ всерьез, тем более системами класса IPS/IDS. CheckPoint имеет неплохие решения в части предотвращения различного класса атак, Cisco тоже неплоха в этом, но когда речь идет в первую очередь о защите периметра сети и только в аппаратном виде

[ITSpec 0]

Microsoft выкидываем из списка сразу, ну не занимаются они ИБ всерьез, тем более системами класса IPS/IDS. CheckPoint имеет неплохие решения в части предотвращения различного класса атак, Cisco тоже неплоха в этом, но когда речь идет в первую очередь о защите периметра сети и только в аппаратном виде

Вы считаете лучшим в этом отношении IBM?

Рассматривали ли какие-то продукты класса Web Application Firewall (WAF)?

Примеры:

Barracuda Web Application Firewall

http://www.barracudanetworks.com/ns/produc...ll-overview.php

Cisco ACE Web Application Firewall

http://www.cisco.com/en/US/products/ps9586/index.html

SecureSphere Web Application Firewall (от Imperva)

http://www.imperva.com/products/wsc_web-ap...n-firewall.html

Fortinet Web Application Firewall

http://www.fortinet.com/solutions/web_application.html

Breach Security Web Application Firewalls

http://www.breach.com/products/web-application-firewall.html

Первые три достаточно известны в России.

Сергей, я правильно понимаю, что все эти продукты только ограничивают доступ к определенным портам, но никак не анализируют содержимое трафика?

[Bulit 0]

День добрый.

Еще одно решени IPS интересное могу предложить от StoneSoft

http://www.stonesoft.com/en/products/ips/index.html

очень удобное управление / аналитика. цена не космическая )

[Pavel Polyanskiy 65]

продукты от CheckPoint и т.д.

Если говорить про Check Point, то в данном случае это будет отличным решением, ибо данный вендор отлично обеспечивает защиту Веб-серверов компании с помощью софтверного блейда IPS, который можно приобрести в составе железа, либо отдельно, и он интегрирован с другими компонентами (FW, VPN...) в рамках единой платформы SPLAT.

[Shell 301]

Обратились бы вы к специалистам. В интегратор... Для "Хоум-сайта" - достаточно программного файервола правильно настроенного. Для информационного - ткнуть в фидбек циски\ibm или не заморачиваясь взять решение от барракуды. Для более менее чего то серьезного может оказаться и одной барракуды мало. Выбор средств так не делается. Сначала постройте модель нарушителя, проанализируйте уязвимости и угрозы. А потом уже решайте - какой уровень рисков вы покроете тем или иным решением. для платежных транзакций ваш подход может оказаться плачевным.

Трафик вы хотите анализировать на предмет чего? Обмен данными будет какой то? Или банальное заполнение простых форм без пдн и прочей конф информации?

Необходимо также учитывать - подходит ли сзи вашим требованиям по уровню, классу защищенности и пр. (испдн, АС... + pci dss?)

[ITSpec 0]

Если выбирать между Imperva, StoneGate, McAfee, Symantec и Checkpoint - что на Ваш взгляд лучше защитит Web-приложение?

[alexgr 556]

Для полного ответа информации маловато. Особенно неясно- от каких внутренних угроз вы хотите защиты, с какими рисками будете сталкиваться.... И что это за сайт по сути? Просто сайт - визитка или интернет-магазин? Тут подходы будут разные уже в постановочной части

[ITSpec 0]

Для полного ответа информации маловато. Особенно неясно- от каких внутренних угроз вы хотите защиты, с какими рисками будете сталкиваться.... И что это за сайт по сути? Просто сайт - визитка или интернет-магазин? Тут подходы будут разные уже в постановочной части

внутренние угрозы:

1. во внутреннюю сеть попал вирус - пытается атаковать веб-сервис через внутренний интерфейс

2. инсайдер

Что это за сайт? Это Интернет-Банк.

[alexgr 556]

Тогда это система ДБО, которая имеет свои отдельные критичные активы. И инсайдеры бывают разные - осознанные и неосознанные. Соответственно, их действия несут разные угрозы

[ITSpec 0]

Тогда это система ДБО, которая имеет свои отдельные критичные активы. И инсайдеры бывают разные - осознанные и неосознанные. Соответственно, их действия несут разные угрозы

Ориентируемся на осознанных

[A. 876]

тогда у вас нет ни малейшего шанса

p.s. а уж если учесть что вы уже два года выбираете ...

[ITSpec 0]

тогда у вас нет ни малейшего шанса

p.s. а уж если учесть что вы уже два года выбираете ...

понятно, что на 100% защититься невозможно...выбираем по оптимальному соотношению цена/риски

[Сергей Ильин 1538]

1. во внутреннюю сеть попал вирус - пытается атаковать веб-сервис через внутренний интерфейс

Насколько я понимаю, подразумевается целевая атака именно ваш сервис. В этом случае защититься в принципе крайне сложно. Атака будет развивать поэтапно и специально под вас. В лучшем случае можно будет спалить по системным и сетевым аномалиям. Возможно я не прав, но решения класса SIEM здесь будут хоть какой-то страховкой.

2. инсайдер

Если у него есть доступ к данным и он подготовится, то опять же мало вероятно будет такую утечку засечь. Но DLP даст хоть какой-то шанс, особенно если о нем никто не будет знать в компании Ну и тот же SIEM и web или application firewall. Если человек обычно открывал карточки клиетов, а тут вдруг снял копию всей таблицы клиентов, то это явно о чем-то будет говорить. Ну и подозрительные действия с программой тоже должны фиксироваться.

Я так себе это вижу, если кто не согласен, давайте обсуждать

[alexgr 556]

Сергей, вы правы. Однако - инсайдер может просто снять экран на мобильный телефон. Тогда нужно видео и т.д. Целевая атака - это всегда непросто. Смотрим на дело "США против Гонсалеса"