IronPort WSA e Anyconnect Secure Mobility Solution

Hai mai sentito parlare di IronPort Web Security Appliance (WSA)? Pensi possa comportarsi come un tradizionale proxy web server?  Hai la necessità di implementare un prodotto di fascia enterprise che ti permetta di ottenere Application Visibility & Control? IronPort Web Security Appliance (WSA) S-Series, oggi parte di Cisco Systems, fornisce una valida piattaforma per il controllo e il filtraggio dei protocolli http e https legati al mondo web. WSA, insieme al prodotto on-the-cloud Scansafe, pone Cisco come uno dei leader mondiali nel campo della web security e  tale posizione è dimostrata dal  rapporto Gartner Magic Quadrant for Web Security Gateway del Gennaio 2010.

IronPort WSA agisce come un tradizionale proxy web server all’interno del perimetro della rete aziendale e fornisce quelle funzionalità avanzate necessarie per il controllo e la gestione dei rischi legati alle applicazioni web. Il suo sistema operativo ad alte prestazioni denominato AsyncOS, di derivazione FreeBSD, ha ormai raggiunto la versione 7 e con questo aggiornamento, datato fine 2010, sono state introdotte molte interessanti innovazioni.

Innnovazioni

Application Visibility & Control insieme alla gestione della banda QoS per gli applicativi di tipo stream erano tra le novità più attese e permettono al dispositivo IronPort WSA di fare un notevole passo in avanti rispetto alla precedente versione 6.5, allineandosi così al più conosciuto e maggiore concorrente nonchè leader del mercato in Italia ovvero WebSense. Ulteriori novità come la capacità di identificazione trasparente dell’utente, gestione servizi di Instant Messaging (IM), decifratura SSL con report avanzati indicano quanto importante sia questa release per la strategia Cisco.

Integrazione con AnyConnect

Il tutto si basa su una rapida e semplice integrazione con il firewall Cisco Systems Adaptive Security Aplicance (ASA), terminatore principe di VPN Remote Access; in tal modo l’accesso in VPN alla rete enterprise da parte di un utente remoto nomadic, road warrior o teleworker viene rinforzato da politiche centralizzate di accesso e controllo del traffico web. Si estende in tal maniera il perimetro delle rete aziendale assicurando che l’utente remoto non solo ripetterà le regole di accesso ai servizi aziendali interni ma anche ai servizi web esterni nello stesso modo in cui vengono gestiti gli utenti interni alla rete enterprise.

In pratica una volta instaurato il collegamento VPN tutto il traffico viene indirizzato senza regole di split-tunnel, in maniera trasparente, verso il terminatore VPN e passato al dispositivo IronPort WSA senza intervento dell’utente nella configurazione di proxy server a lato browser. Flessibilità, sicurezza e facilità di utilizzo vengono controbilanciate da un possibile aumento del ritardo nella comunicazione, anche nell’accesso a semplici pagine web, e una generale abbassamento della banda disponibile nel caso di grande lontananza dal portale aziendale. Per risolvere questo genere di problemi Cisco Systems propone il prodotto ScanSafe, anch’esso integrabile con la soluzione AnyConnect, in grado di fornire Security as a Service (SaaS) mettendo a disposizione su base regionale proxy web server ad alte prestazioni.

Articoli correlati

• Novità del nuovo software Cisco ASA Release 8.4
• Firewall Cisco ASA e Protocollo LACP
• I Moduli Cisco AnyConnect Secure Mobility Solution
• Cisco AnyConnect Secure Mobility Solution
• Cisco AnyConnect: sviluppo e prospettive

Conclusioni

Il prodotto IronPort Web Security Appliance S-Series nella sua versione 7 è sicuramente potente e molto interessante. Cisco con la sua acquisizione ha ampliato in maniera significativa l’offerta di sicurezza disponibile sia per gli utenti interni alla rete enterprise che quelli remoti grazie all’integrazione con AnyConnect Secure Mobility Client. Continue innovazioni tecnologiche e la ricerca di una sempre maggiore integrazione tra i dispositivi di sicurezza perimetrale, come i firewall Cisco ASA, permettono al dispositivo IronPort WSA di essere un prodotto cardine indispensabile nella visione Borderless di Cisco Systems.

Rimangono comunque alcune difficoltà intrinseche del prodotto legate ad un deployment complesso, soprattutto se in condizione di transparent proxy, e una particolare attenzione da parte di Cisco a reti di grandi enterprise. Il prodotto più piccolo IronPort WSA S160 è infatti dimensionato per mille utenti, ben distanti dalle realtà SMB così tanto presenti in Italia.