Seuraavan sukupolven palomuuri ja sen konfigurointi

Abstract

Opinnäytetyön aiheena oli Firepowerin eli Ciscon valmistaman seuraavan sukupolven palomuurin ominaisuuksien tutkiminen ja sen soveltuvuus toimitettavaksi palveluna usealle asiakkaalle. Tavoitteena oli myös Firepowerin käyttöönottaminen Kymenlaakson ammattikorkeakoulun ICTLAB-opetusympäristössä.

Opinnäytetyössä käytiin läpi Firepoweriin liittyvä teoria ennen käytännön osuutta. Teoriaosuudessa käsiteltiin palomuurien, IDPS:ien, SSL:n ja Firepowerin toimintoja yleisellä tasolla.

Käytännön osuus aloitettiin asentamalla Firepower Management Center virtuaalisena versiona ICTLAB:n ESXi-palvelimelle. Tämän jälkeen Firepower-ominaisuus asennettiin kahteen eri Cisco ASA 5515-X laitteeseen, joista toinen on tarkoitettu laboratoriotestikäyttöön ja toinen tuotantoverkkoon. Asennuksen jälkeen ne liitettiin osaksi management centeriä, jossa varsinainen hallinta tapahtui.

Management centerissä luotiin pääsynhallinta-, SSL-, AMP-, NGIPS- ja identiteettikäytännöt ja niihin tarkoituksenmukaiset säännöt. Kaikki käytännöt liitettiin osaksi pääsynhallintakäytäntöä, joka liitettiin ASA-laitteeseen. Järjestelmän luomasta informaatiosta luotiin verkkokohtaisia raportteja, joista selvisi esimerkiksi mahdolliset haittaohjelmat, hyökkäykset ja niiden määrä. Lopussa testattiin myös korrelaatioiden toimintaa ja konfiguroitiin käyttöön ulkoinen autentikointi LDAP-menetelmällä.

Työ onnistui hyvin ja järjestelmä jäi käyttöön ICTLAB-opetusympäristöön. Työtä tehtäessä kävi ilmi, että Firepower soveltuu myös tarjottavaksi palveluna asiakkaille, mutta karsituin ominaisuuksin. Hyödyllisiä ominaisuuksia nousi myös esille, kuten raportoinnin automatisointi. Jatkokehitettäväksi jäi luotujen sääntöjen optimointia.

The subject of this thesis was to investigate features of Cisco’s next-generation firewall called Firepower and to find out if it can be used as a service delivered to multiple customers. Another goal was to implement this system to ICTLAB of Kymenlaakso University of Applied Sciences.

The theoretical framework around the subjects connected to Firepower was explored before the practical part of the work. The theoretical framework included basic theory about features of firewall, IDPS, SSL and Firepower.

The practical part was started by installing a virtual version of Firepower Management Center into ESXi server of ICTLAB. After this, Firepower feature was installed in two different Cisco’s ASA 5515-X devices, one for testing and the other for production network. After the installation, the devices were connected to be a part of the management center where the actual controlling happened.

Access control, SSL, AMP, NGIPS and identity policies and appropriate rules were created in the management center. All created policies were linked as part of the access control policy, which was linked to the ASA device. Reports defined by networks were created from system generated information. Reports included information such as possible malwares, intrusions and amount of intrusions. In the end, correlations were also tested and external authentication was configured with LDAP.

The thesis was successful and the system was left running in the ICTLAB. During the thesis process it was found out that it is possible to deliver Firepower as a service but the features are limited. Useful features such as automatic reports were also found. The work can be continued by optimizing the rules created.