Jeg håber, du er landet godt i det nye år, og at der ikke har været de store tekniske ildebrande, der skulle slukkes hen over ferieperioden.

2023 var et år fyldt med spændende nyheder fra Cisco

Blandt andet annoncerede de deres stærke bud på en Security Service Edge (SSE) løsning – Cisco Secure Access. Jeg har selv haft lejligheden til at kigge på løsningen, og jeg er overbevist om, at vi kommer til at se meget mere til Cisco Secure Access i 2024.

Cisco Secure Firewall 4200-serien

Det var også året, hvor vi blev præsenteret for Cisco Secure Firewall 4200-serien, som placerer sig i mellem 4100- og 9300-serien og derved primært henvender sig til større enterprise datacentre eller service providers. I øjeblikket er 4200-serien også en af de stærkeste, hvis ikke dén stærkeste, 1U firewall på markedet.

Fuld fokus på Firewall Threat Defense

Samtidig fik Firewall Threat Defense et nyt fokus fra udviklingssiden i Cisco – denne gang med stor indsats på at gøre platformen mere stabil. Det er ingen hemmelighed at de fleste, der har arbejdet med FTD gennem de senere år, har kunnet opleve udfordringer med softwaren. 2023 blev året, hvor Cisco satte fuld fokus på dette problem, og der blev lanceret store indsatser fra deres side af, til at få stabiliseret softwaren. Denne rejse startede med udgivelsen af version 7.2.4, og forbedringerne i 7.2.x-trainet bliver også løbende smeltet ind i de nyere trains (f.eks. 7.4.x).

Fuld kontrol på tværs af cloud-udbydere

Cisco Multicloud Defense blev også annonceret baseret på deres opkøb af Valtix. I større organisationer er det ikke usandsynligt, at der bruges flere cloud-udbydere, om det er AWS, Azure, GCP eller OCI. Det kan være svært og uoverskueligt at kontrollere regler og trafik på tværs af disse. Multicloud Defense giver muligheden for at lave politikker, enforcement og logging i én policy på tværs af cloud-udbydere. Dette inkluderer også mulighed for at inspicere trafikken gennem IDS/IPS, decrypt, proxy, FQDN mv.

AI-First

Kunstig intelligens eller AI blev som bekendt også et stort buzzword, selv ikke-teknikkyndige blev bekendt med dette – ChatGPT blev sågar ”Årets Ord 2023” i Danmark. Selvfølgelig er dette heller ikke gået Ciscos næse forbi, hvilket også betyder, at vi i det nye år vil se meget mere til ”AI-First”, og jeg har allerede haft muligheden for at møde Ciscos AI Assistant gennem Cisco Secure Access, som kan bruges til at tilføje regler baseret på basale prompts. I løbet af året vil vi også se dette blive en integreret del af flere Cisco produkter, blandt andet CDO/cdFMC med mulighed for fejlsøgning, policy optimering og mere.

Opkøb af Splunk

Vi må selvfølgelig heller ikke glemme det ”lille” opkøb af Splunk, for det svimlende beløb af 28 milliarder dollars, som er Ciscos dyreste og største opkøb nogensinde. Der er ikke officielt udgivet nogle meldinger om, hvad dette betyder for nuværende Cisco produkter, eller fremtidige. Men mon ikke vi kommer til at se endnu tættere integrationer mellem Splunk og Cisco produkter, og ikke mindst forbedringer til produkter, der bruger logning af den ene eller anden slags.

Dette er kun et lille udpluk af de mest væsentlige og spændende ting, som jeg ser det. Der er ingen tvivl om, at Cisco sætter stort ind på deres Cisco Security portefølje i 2024 og de år, vi går i møde.

Cisco Secure Access

Som tidligere beskrevet er Secure Access Ciscos svar på en SASE/SSE-løsning som blev annonceret til Cisco Live 2023 i Vegas.

Jeg har haft muligheden for at teste og eksperimentere med dette produkt de seneste par måneder. Det er stadigvæk et produkt, som er under massiv udvikling, men det står ganske klart for mig, at vi ser ind i et produkt, som bliver meget spændende at følge her i 2024.

Secure Access bringer de fleste gode Cisco Secure produkter til én stor samlet løsning i skyen. Derudover introduceres Ciscos svar på ZTNA (Zero Trust Network Access) både med og uden agenter på enhederne, og selvfølgelig med en Zero Trust tankegang bag.

Det er en løsning, der er delt i en Secure Internet Access og Secure Private Ressource løsning – eller en kombination af begge. Derudover inkluderer det blandt andet FWaaS og VPNaaS globalt med mulighed for at forbinde til tætteste PoP for bedste brugeroplevelse.

Secure Internet Access bruger mange af de teknologier, vi kender fra Umbrella SIG, henvendt til trafik der flyder fra kontor, hjemmearbejde eller 3rd part mod internettet.

Secure Private Ressource

Secure Private Ressource gentænker Cisco-måden, hvorpå brugere skal forbinde til VPN for at tilgå ressourcer i datacenter eller skyen. Gennem ZTA-modulet i Secure Client er det muligt at få adgang til ressourcer uden at skulle forbinde og authentikere til en VPN-klient først – det er sågar muligt, selvom brugeren er på VPN eller bruger en anden klient end AnyConnect.

Fremfor at verificere enheden og identitet ved oprettelse af forbindelse til VPN, kan vi med ZTA i stedet verificere og sikre enheden per session, der oprettes.

Alle politikker og administration af Secure Access findes i én samlet portal, som gør det lettere at administrere – dette inkluderer også en stærk API-tilgang.

Indenfor de næste par måneder laver jeg et indlæg mere med fokus på selv Secure Access. I mellemtiden skal du endelig ikke tøve med at række ud til Conscia eller jeg, hvis du ønsker at vide mere omkring produktet.

Cisco Secure Firewall 4200-serie

Som den nyeste serie i Secure Firewall blev 4200-serien også præsenteret på Cisco Live 2023. Den lægger sig i mellem 4100- og 9300-serien og skal ses som en erstatning for nogle af de udgående modeller i disse to serier. I form af sin 1U form-faktor, kan den af gode grunde ikke erstatte 9300-serien, hvis flere securitymoduler er nødvendige.

Grundlæggende så minder 3100- og 4200-serien sig meget om hinanden, da de arkitekturmæssigt deler samme platform – heraf også årsagen til at begge platforme virkelig sætter en ny, høj barre for ydelse, især set i lyset af værende 1U.

Uden at vi går dybt ned i det tekniske, så skyldes den høje crypto performance på disse to serier primært introduktionen en ny inline crypto engine direkte i FPGAen mellem den interne switch fabric og CPUs, som derved sparer processor, cyklusser og kraft.

Seriens mindste model yder ikke mindre end 65 Gbps*, hvilket for de fleste kunder må siges at være en fremtidssikret investering. Der er også clustering-muligheder med helt op til 16 noder – men lad mig være ærlig, det er næppe noget, vi ser brugt på det danske marked.

Secure Firewall 4200-serie highlights:

• Tilbyder 2 netværksmoduler for højere port kapacitet/hastighed
• Op til 200G interfaces (platformen understøtter også højere på sigt)
• Hot-swap netværksmoduler og fail-to-wire (FTW) interfaces
• Redundant management ports – 2 x 1/10/25G interfaces (eneste platform med 2xMGMT porte for redundans)
  Dette giver også mulighed for at splitte event og control channel, som derved sikrer, at events ikke ødelægger control channel f.eks)
• Multi-instance med op til 34 instanser (kommer i en senere release)
• Chassis Manager en integreret del af FMC samt logical devices (ligesom vi ser på 3100-serien)

Cisco FTD-software – 7.2.4/5 og nyeste 7.4.0/7.4.1

Bemærk at 7.4.x er den sidste version, der understøttes på Firepower 2100-serien

Det er ingen hemmelighed, at det sommetider har været lidt af en udfordring med Cisco FTD-softwaren generelt set. Tilbage i sommer tog Ciscos ledelse en beslutning om, at nu skulle der gøres noget for at råde bod på dette. Derfor annoncerede man, at fokus nu ville være på at få stabiliseret platformen, så man forhåbentlig ikke skulle være bekymret for opdateringer eller pludseligt nedbrud. Der er blevet investereret massivt fra Ciscos side på netop dette initiativ, og personligt erfarer jeg også, at der er sket et kæmpe fremskridt på dette punkt.

Initiativet blev startet med udgivelsen af 7.2.4, og vil løbende blive forbedret med 7.2.5 og 7.2.6. Det er vigtigt at pointere, at det ikke betyder at 7.3.x eller 7.4.x bliver glemt – disse udgivelser får løbende også rettelserne fra 7.2.x i deres respektive nyere releases.

Tilbage i sommer var jeg i USA med netop det formål at høre om disse forbedringer – læs mere omkring dette initiativ i mit tidligere indlæg: Hvorfor Cisco Secure Firewall version 7.2.4 er vigtig og sætter en ny standard – Conscia Danmark

Flere end 100 firewall-opgraderinger

I Conscia har vi løbende, siden udgivelsen af 7.2.4, fokuseret meget på at opgradere kunder fra ældre versioner op til 7.2.4/7.2.5. Indtil videre har vi sammenlagt udført flere end 100 firewall-opgraderinger fra versioner før 7. Dette har resulteret i en tydelig forbedring hos kunderne, hvilket bekræfter de tiltag, som Cisco har gjort.

Den nyeste FTD-software 7.4.0/7.4.1

Tilbage i midten af december (d. 13 mere præcist) fik vi også en tidlig julegave fra Cisco – nemlig version 7.4.1. Og hvorfor er den mere spændende end version 7.4.0 var? Svaret er simpelt: 7.4.0 var kun målrettet 4200-serien, og derved skulle de resterende serier vente på udgivelsen af 7.4.1.

Selvom denne anbefalede version stadigvæk er 7.2.5, skal man ikke nødvendigvis være bange for at opgradere til 7.4.1, såfremt man gerne vil bruge nogle af de nye funktioner heri. Herunder har jeg skitseret de nye funktioner i 7.4, som jeg ser som mest spændende og relevante:

• Encrypted Visibility Engine understøtter en mere finjusteret kontrol samt muligheden for at detektere og blokerer malware uden decryption
• Introduceret WAN Summary dashboard til FMC for at skabe et bedre overblik
• Cisco Dynamic Attribute Connector (CSDAC) er nu en integeret del af FMCen kørende på containers, hvilket betyder, den ikke længere behøver køre på sin egen VM
• Device Management services (Syslog, SNMP, NetFlow mv.) understøtter per VRF segment
• Policy-based routing er blevet forbedret med mulighed for bruger-identifikation, SGTer og path monitoring understøtter nu HTTP prober
• Clientless Browser-Based ZTAA – erstatning for den gamle ASA WebVPN metode, blot opgraderet til 2024 standarder med SAML og SSO-integration. Løsningen er den samme, som vi nu ser i Cisco Secure Access (det her er klart den fedeste nye funktion!)
• Azure AD (Entra) bruger-identifikation er nu mulig sammen med ISE (savnet funktion i mange installationer)
• Multi-instance mulig for Secure Firewall 3100-serien, FMC har overtaget alt funktionalitet heri, og derved ingen konfiguration i Chassis Manageren.

… Sidst men ikke mindst er det vigtigt at notere, at NetFlow er blevet en FMC-funktion, og derfor skal du sørge for at fjerne eventuel FlexConfig, der inkluderer NetFlow, før første deployment!