Automatyzacja dokumentacji i zarządzania firewallami Juniper

Wiadomość

#1

Hej,

Możecie polecić jakiś soft współpracujący z wszelkiej maści SRXami do:
1) Automatyzacji tworzenia jakiejś dokumentacji polityk wdrożonych na firewallach. Coś a'la doxygen dla programistów
2) Kompleksowego rozwiązania do zarządzania firewallami. Juniper na swoich stronach choćby AlgoSec Security Management Suite rekomenduje ale nie wiem na ile to dobre jest. Miło by było jakby było zgodne z PCI-DSS.

Pzdr,

PatrykW · #2

STRM - Security Threat Response Manager ?

bart · #3

STRM to korelator logów i zdarzeń, więc w tym przypadku raczej się średnio nada.

House · #4

Może Tufin się będzie nadawał. http://www.tufin.com/

krzyszt · #5

Pewnie Juniperowy Space to za wiele?

House · #6

krzyszt pisze:Pewnie Juniperowy Space to za wiele?

A Space jest już dostępny?

#7

Juniperowy Space to podobno produkt, któremu potrzeba jeszcze 2-3 lata na dopracowanie. Takie info słyszałem z kilku źródeł z trzech kontynentów więc coś w tym musi być.

@House - używasz tego Tufina?

bart · #8

House pisze:A Space jest już dostępny?

Ano coś tam już jest:
https://www.juniper.net/support/products/space/#doc

Jest jeszcze NSM ale z moich kontaktów z nim to powiem szczerze, że średnio się on nadaje do czegokolwiek

W każdym bądź razie jest softem do zarządzania SSG/SRX.
Jednak mam wrażenie, że Peperowi chyba do końca nie o taki soft chodzi jak NSM/Space.

#9

W optymalnym rozwiązaniu centralny soft co pozwoli zarządzać kilkunastoma klastrami firewalli rozsianymi po świecie. Głównie SRXy ale ASA się też trafiają. Chodzi głównie o zadania zawiązane ze sprawdzeniem czy dla zadanego ruchu z punktu A do punktu B trzeba jakieś porty otwierać albo routing dodać, przyspieszyć wdrażanie polityk, dodatkowo może zrobić raporty z logów czy wygenerować raport z audytu zgodny z normami PCI-DSS 2.0.

bart · #10

peper pisze:Juniperowy Space to podobno produkt, któremu potrzeba jeszcze 2-3 lata na dopracowanie. Takie info słyszałem z kilku źródeł z trzech kontynentów więc coś w tym musi być.

@House - używasz tego Tufina?

Z tego co ostatnio słyszałem, to jakoś już to działa i jeżeli chodzi o SRX, to być może, nawet lepiej się komuś nada niż NSM

Aczkolwiek droga jeszcze daleka dla tego produktu, zresztą jak wspomniałeś. Inna sprawa, że same SRXy też zbytnio nie grzeszą poprawnością, stabilnością etc.

bart · #11

peper pisze:W optymalnym rozwiązaniu centralny soft co pozwoli zarządzać kilkunastoma klastrami firewalli rozsianymi po świecie. Głównie SRXy ale ASA się też trafiają. Chodzi głównie o zadania zawiązane ze sprawdzeniem czy dla zadanego ruchu z punktu A do punktu B trzeba jakieś porty otwierać albo routing dodać, przyspieszyć wdrażanie polityk, dodatkowo może zrobić raporty z logów czy wygenerować raport z audytu zgodny z normami PCI-DSS 2.0.

To raczej NSM się na pewno do tego nie nadaje. Nie wiem jak JSpace ale w aktualnym stanie też pewnie nie. To jest soft Junipera dedykowany stricte do zarządzania ich urządzeniami. Owszem może zbierać logi ale o jakiś bardziej zaawansowanych funkcjach jak audyty, raporty to raczej chyba mowy nie ma.

BTW Jeżeli chodzi o klastry SRX to musisz się dobrze zastanowić, bo soft Junipera z tym sobie dobrze nie radzi a co dopiero firm trzecich

piotrekgotrek · #12

Miałem przyjemność testować TUFINa pod kątem SRXów.

Nie powiem, że stanowczo odradzam, ale widać, że jest to produkt świetnie radzący sobie przede wszystkim z Checkpointem. Kompletnie nie radzi sobie z NATami SRXa. Czyta natomiast nieźle polityki i radzi sobie z ich przeszukaniem. Jak znajdę gdzieś dokument z podsumowaniem, to Ci wyślę.

Miałem również przyjemność testować SPACE`a.
Produkt bardzo mocno i szybko się rozwija, odkąd Juniper zatrudnił programistów z Checkpointa, natomiast tak jak któryś kolega napisał, potrzeba jeszcze trochę czasu, aby był naprawdę fajny. Może nie 2-3 lata, ale rok na pewno.

Na początku roku miałem spotkanie z szefem działu rozwoju produktu SRX Junipera. Koleś wydawał się bardzo treściwy, a przede wszystkim zna produkt od podszewki. Powiedział, że Juniper zdaje sobie sprawę z 2 poważnych wad produktu, a właściwie z jego zarządzaniem.
Pierwszy, to okropny troubleshooting, gdzie on sam przyznał, że ma z tym nieraz problemy.
Juniper mocno pracuje nad uproszczeniem i ułatwieniem inżynierom pracy.

Druga, to mocny rozwój SPACE`a celem właśnie wzmocnienia zarządzania GUI dla firewalli. Stąd zresztą wspomniane już przeze mnie zatrudnienie ludzi z Checkpointa, odpowiedzialnych za stworzenie i rozwój SmartDashboard`a.

Pozdrówka.

#13

Ja miłośnikiem dashboarda nie jestem. Wolałbym coś zewnętrznego jeżeli chodzi o soft bo czasem mi się ASA przewija także. Jakbyś znalazł raport z tego Tufina to chętnie przeczytam, na razie wysłałem request o dostęp do demo

bart · #14

piotrekgotrek pisze: Miałem również przyjemność testować SPACE`a.
Produkt bardzo mocno i szybko się rozwija, odkąd Juniper zatrudnił programistów z Checkpointa, natomiast tak jak któryś kolega napisał, potrzeba jeszcze trochę czasu, aby był naprawdę fajny. Może nie 2-3 lata, ale rok na pewno.

Dobrze wiedzieć, że jest szykowana jakaś realna alternatywa dla NSM.

House · #15

peper pisze:Juniperowy Space to podobno produkt, któremu potrzeba jeszcze 2-3 lata na dopracowanie. Takie info słyszałem z kilku źródeł z trzech kontynentów więc coś w tym musi być.

@House - używasz tego Tufina?

Pracowałem w firmie wdrażającej to rozwiązanie. Parę dużych instalacji koledzy robili.