Cisco zeigt Firepower 2100 und bringt Defense Orchestrator in europäische Cloud

Cisco hat auf der Hausmesse Cisco Live in Berlin Version 2.0 der Managementsoftware Cisco Defense Orchestrator (CDO) angekündigt. Die in der Cloud betriebene Verwaltungszentrale des im vergangenen Jahr vorgestellten Verwaltungswerkzeugs wird ab März dann auch aus einer europäischen – sogar deutschen – Cloud zur Verfügung stehen.

Adam Philpott, Director Cybersecurity für die Region EMEAR bei Cisco, kündigte die Bereitstellung des Cisco Defense Orchestrator ab März aus einer „deutschen Cloud“ an (Bild: Cisco).

Damit komme man dann Wünschen deutscher und anderer europäischer Kunden entgegen, die sich angesichts einer gewandelten politischen Großwetterlage verstärkt Sorgen um Compliance und Datenschutz machten, erklärte Adam Philpott, Director Cybersecurity für die Region EMEAR bei Cisco, in Berlin. Die neue Bereitstellungsform ist auch die größte bislang bekannte Änderung. Ansonsten kommen mit Version 2.0 offenbar im Wesentlichen Detailverbesserungen, zum Beispiel Unterstützung von Version 11 der Cisco Web Security Appliance.

Bei der erstmals in Berlin der Öffentlichkeit gezeigten Firewall Firepower 2100 handelt es sich ebenfalls um einen wichtigen strategischen Schritt. Diese strategische Bedeutung sieht Cisco-Manager Philpott darin, dass damit die Next-Generation-Firewall von Cisco und all deren Funktionen nun einem wesentlich breiteren Kundenkreis zur Verfügung stehen.

David Stuart, dem verantwortlichen Produktmarketing-Manager zufolge, handelt es sich bei der Firepower 2100 „nicht einfach um eine weitere Firewall“, sondern einen wichtigen Baustein in Ciscos gesamter Security-Strategie.

Zu den bemerkenswerten technischen Verbesserungen gehört, dass alle vier Ausführungen (2110, 2120, 2130 und 2140) mit zwei Multi-Core-Prozessoren kommen (x-86-CPU von Intel und NPU). Das, so Cisco, sei branchenweit bislang einmalig und helfe, Kryptographie-, Firewall- und Schutzfunktionen schneller auszuführen. Angaben des Herstellers zufolge erreicht die Firepower-2100-Serie so bis zu doppelt so viel Durchsatz wie „Vergleichsprodukte in derselben Preisklassse“.

Cisco-Manager David Stuart bei der Präsentation der Firepower 2100 auf der Cisco Live 2017 in Berlin (Bild: Cisco).

Das gelte auch, wenn Intrusion Inspection angeschaltet ist. Darin unterscheide man sich auch von vielen Mitbewerbsprodukten, die in dem Fall deutliche Leistungseinbußen hinnehmen müssten. Bei Web-Anwendungen wie E-Commerce oder Online-Banking sei das aber nicht mehr tolerierbar. Daher empfiehlt der Hersteller die neuen Produkte auch speziell für diese Einsatzfälle – aber eben auch alle anderen mit besonders hohen Erwartungen an die Performance.

Bei der Firepower 2100 fließt der Datenverkehr zunächst durch die NPU, wo er – gegebenfalls nach den im Zuge der zentralen Verwaltung vorgegebenen Regeln – direkt geblockt wird. Damit erübrigt sich dann eine weitere Untersuchung. Daten, die einer genaueren Inspizierung bedürfen, werden kopiert und an den x86-Prozessor übergeben. Selbst wenn sich deutlich später noch herausstellen sollte, dass es sich bei einer weitergegebenen Datei um eine unzulässige Datei handelte, könne so nachvollzogen werden, wo diese herkam, welches Ziel sie hatte und welche Punkte im Netzwerk damit in Berührung gekommen sind.

Die Next-Generation-Firewall Cisco Firepower 2100 gibt es in zwei Modellvarianten und jeweils zwei Ausführungen (Bild: silicon.de).

Anders gesagt obliegt der Network Processing Unit (NPU) also die Kontrolle des Traffics auf Layer 2 bis 4 (Stateful Firewall, NAT, VPN-SSL-Verschlüsselung, etc). Die Intel-Multi-Core-CPUs übernimmt dann den Check auf Layer 7, also den Anwendungen, Intrusion Detection, URL-Filtering, Überprüfung auf Malware und die Überprüfung von Dateien, stellt aber auch die Identität es Absenders fest. Die Abarbeitung des Datenflusses wird generell anhand der erforderlichen Untersuchungen geordnet. Ein „Fast Path“ erlaubt zudem das dynamische Re-Routing von Datenverkehr, der per se als vertrauenswürdig eingestuft wurde.

Spezifikationen der vier Varianten der Cisco Firepower 2100 im Überblick (Bild: silicon.de).

Alle vier Neuvorstellungen kommen mit 12 Gigabit-Ethernet-Ports und vier SFP-Anschlüssen, die je nach Modell, ebenfalls 1 Gigabit (2110 und 2120) oder 10 Gigabit (2130 und 2140) schaffen. Außerdem ist eine SSD mit 100 GByte (Firepower 2110 und 2120) respektive 200 GByte standardmäßig verbaut, optional ist für alle Ausführungen eine zweite SSD mit bis zu 800 GByte erhältlich.