Hoe kies ik een Europese firewall om een Fortinet FortiGate te vervangen?
Begin met de vraag die een datasheet niet kan beantwoorden: vraagt je aanbesteding of je toezichthouder om een benoemde kwalificatie? Zo ja, dan is de shortlist kort.
Stormshield publiceert een ANSSI-kwalificatie en Spaanse CCN-goedkeuring, en genua vermeldt Common Criteria EAL 4+ plus goedkeuring voor Duitse VS-NfD, NATO RESTRICTED en EU RESTRICTED op zijn genugate-productpagina. De andere leveranciers op deze pagina vermelden op de bekeken pagina's geen nationale goedkeuring van dat soort. Filter daarom eerst daarop en vergelijk daarna de functies.
Als geen kwalificatie vereist is, gaat de keuze over het beheermodel. Securepoint en R&S LANCOM Unified Firewalls zijn ingericht voor organisaties met een klein IT-team en een wederverkoper. Endian is gebouwd rond kantoor- en industriële gateways, Clavister rond routingintensieve netwerken, en OPNsense en IPFire rond beheerders die hun eigen hardware onderhouden.
Fortinet heeft het hoofdkantoor in Sunnyvale, Californië. Dat is de reden waarom kopers met de eis van een Europese leverancier met dit zoeken beginnen, maar jurisdictie alleen rangschikt de alternatieven niet onderling.
Voer, welke leveranciers je ook op de shortlist zet, een doorvoertest uit met inspectie ingeschakeld en je eigen regelset. De kernfuncties (inbraakpreventie, applicatiecontrole, VPN, sandboxing) worden door bijna elke leverancier hier genoemd, en de cijfers die verschillen zijn de cijfers die je zelf meet.
Welke van deze firewalls publiceren prijzen en hoe zijn de licenties opgebouwd?
Alleen OPNsense en IPFire publiceren een prijs. OPNsense heeft een gratis communitybuild en een Business Edition van EUR 149 per jaar, geldig voor één installatie. IPFire stelt dat geen functie een licentie nodig heeft en geen update een abonnement. Apparaten en supportcontracten voor beide worden apart verkocht, dus de gratis software is niet het hele budget.
De commerciële leveranciers werken met offertes. Securepoint beschrijft één licentie die hardware, software, service en support dekt, en biedt huur, aankoop of een beheerde dienst. De R&S LANCOM Unified Firewalls gebruiken runtimelicenties van één, drie of vijf jaar. genua, Clavister, Endian, Stormshield, Sophos en Check Point geven prijzen op aanvraag of verwijzen naar de website zonder bedrag.
Vraag bij offertes schriftelijk drie dingen: wat stopt met werken als het abonnement verloopt, of een tweede apparaat in een high-availability-paar een eigen licentie nodig heeft, en wat hetzelfde apparaat in jaar vier kost. R&S LANCOM stelt dat een high-availability-cluster geen extra licentie nodig heeft, en zo'n clausule verandert het totaal over vijf jaar.
Houdt een Europese firewallleverancier je verkeer buiten het bereik van Amerikaanse wetgeving?
Voor de meeste producten hier is de vraag kleiner dan hij lijkt, want de firewall is een apparaat in je eigen rek. genua zegt dat de licentie offline geactiveerd kan worden en dat patches handmatig worden toegepast. Securepoint, Endian, Clavister en R&S LANCOM verkopen apparaten voor op locatie, en OPNsense en IPFire draaien op je eigen hardware. Verkeer dat door een apparaat gaat dat je bezit, gaat niet naar de leverancier, tenzij je een clouddienst inschakelt.
De cloudonderdelen zijn de plek om te controleren. R&S LANCOM biedt de LANCOM Management Cloud, Securepoint de Unified Security Console, Endian de Switchboard en Sophos een cloudconsole in Sophos Central, en elk slaat configuratie- en apparaatdata ergens op. Clavister zegt dat de anomaliedetectie op het apparaat draait en geen cloudverwerking gebruikt. Stormshield stelt dat het gegevens vooral binnen de EER verwerkt, met standaardcontractbepalingen voor de rest.
De jurisdictie verschilt per leverancier: Duitsland, Frankrijk, Zweden, Nederland en Italië liggen in de EU, het Verenigd Koninkrijk valt onder een adequaatheidsbesluit, en Israël valt buiten de EU en de EER. Deze site accepteert Israëlische leveranciers volgens de toelatingsregels, dus Check Point staat hier, maar je moet het verschil opnemen in je eigen risicodossier.
Wat gaat er mis als ik firewallbeleid van FortiGate migreer?
De regelset converteert niet vanzelf. Beleid, adresobjecten, VPN-tunnels en licenties moeten opnieuw worden opgebouwd in het model van de nieuwe leverancier. De plekken waar modellen verschillen, zijn de plekken die storingen veroorzaken: hoe een applicatie wordt herkend, hoe de volgorde van NAT ten opzichte van filteren is geregeld, en hoe site-to-site-tunnels hun parameters onderhandelen. Plan de overstap bij een hardwarevernieuwing, zoals Fortinet-kopers meestal doen, en draai beide apparaten een tijd parallel.
Kies de migratieroute die bij je omgeving past. Een filiaalnetwerk met tien identieke locaties verhuist gemakkelijk naar een leverancier met een centrale console, zoals Securepoint met de Unified Security Console of R&S LANCOM met zijn managementcloud. Een datacenterperimeter met jarenlange uitzonderingen is hoe dan ook een herschrijving, welke leverancier je ook kiest. Clavister, met routing op basis van applicaties en virtuele routers, is de enige op deze pagina die rond dat soort netwerk is gebouwd.
Vraag elke kandidaat om een proefapparaat of een virtuele image voordat je je vastlegt. R&S LANCOM verkoopt een virtuele firewall voor ESXi, Hyper-V, KVM en VirtualBox, en OPNsense en IPFire draaien allebei op virtuele machines, dus de testkosten van die drie zijn laag.
Wanneer moet ik niet overstappen van Fortinet?
Wanneer het contract met Fortinet niet is wat je wakker houdt. Als je functionaris voor gegevensbescherming geen eis heeft voor een Europese leverancier, en als je hardware midden in zijn levenscyclus zit en je team het platform kent, dan is een migratie kosten zonder meetbaar voordeel.
Hetzelfde geldt voor zeer grote netwerken: Securepoint en Endian zeggen weinig over multinationale uitrollen, en de eigen pagina van Clavister vermeldt dat het kleiner is dan Check Point of Sophos, wat telt voor partnerdekking, ook al vallen beide buiten de EU.
Stap ook niet over vanwege een functielijst. De Europese tools komen overeen met de gangbare kernfuncties, maar de integratie van firewalls, switches, access points en endpointagents door één leverancier geef je op wanneer je één laag vervangt. R&S LANCOM en Sophos zijn de opties op deze pagina die pleiten om binnen het ecosysteem van één leverancier te blijven, dus controleer wat je al hebt voordat je begint.
Is een firewall hetzelfde als een webapplicatiefirewall?
Nee. Een netwerkfirewall zoals de UTM van Securepoint of Clavister NetWall bepaalt het verkeer tussen netwerken op basis van adres, poort, applicatie en gebruiker. Een webapplicatiefirewall inspecteert HTTP-verzoeken voor één site of API en heeft op deze site een eigen categorie.
De twee overlappen in sommige producten. genugate bevat naast zijn pakketfilter een geïntegreerde webapplicatiefirewall, en de meeste organisaties draaien de twee lagen toch als aparte aankopen. Als je doel is een publieke webshop te beschermen, dan dekt een netwerkfirewall alleen dat niet.
