История

  Forefront Threat Management Gateway (TMG) - это новое имя ISA Server.
ISA Server за свою долгую историю завоевал широкую популярность среди IT-специалистов и стал стандартом как решение по предоставлению безопасного доступа к ресурсам Интернет сотрудникам организации и публикации бизнес-приложений (Exchange, SharePoint и т.д.). Но жизнь не стоит на месте и предъявляет новые требования к продуктам информационной безопасности. Вот и для ISA Server пришло время меняться. На смену ISA Server 2006 приходит Forefront Threat Management Gateway (TMG) – новое поколение решений для комплексной защиты периметра сети.

Описание групп продукции

Обзор используемых технологий

Microsoft Forefront Threat Management Gateway (TMG) позволяет безопасно и эффективно использовать Интернет для работы, не беспокоясь о вредоносных программах и других угрозах.

Он предоставляет доступ к нескольким уровням постоянно обновляемых средств защиты, включая фильтрацию URL-адресов, поиск вредоносных программ, предотвращение вторжений, брандмауэр на уровне приложений и сети и проверку HTTP/HTTPS, которые интегрированы в единый и простой в управлении шлюз, что снижает затраты на систему веб-безопасности, а также делает ее менее сложной.

Некоторые возможности Microsoft Forefront Threat Management Gateway

• Поддержка 64-разрядной архитектуры;
• Поддержка IPv6;
• Web Access Policy;

В Forefront TMG появился новый узел конфигурации, именуемый Web Access Policy. В данном узле располагаются все настройки службы веб-прокси, параметры доступа пользователей к ресурсам сети Интернет по протоколам HTTP, HTTPS, FTP-over-HTTP (туннелированный FTP), а также параметры конфигурации модуля проверки пользовательского трафика на наличие вредоносного кода – Malware Inspection.

Malware Content Inspection:
Forefront TMG имеет в своём арсенале модуль проверки веб-трафика на наличие вредоносного кода. Данный модуль использует движок Microsoft Antimalware Engine и позволяет инспектировать HTTP и туннелированный FTP-трафик клиентов веб-прокси. Более того, можно проверять трафик исходящих HTTPS-соединений. При этом пользователь, чья SSL-сессия проверяется модулем Malware Inspection, получает уведомление об этом процессе. Также есть возможность исключать определённые веб-узлы из проверки. Модуль проверки предоставляет гибкие возможности настройки. При загрузке файлов большого объёма пользователю может быть продемонстрирована информация о процессе проверки загружаемых файлов на наличие вредоносного кода.

Network Inspection System:
Forefront TMG будет включать в себя систему обнаружения вторжений уровня сети (Network based Intrusion Detection System, N-IDS), разработанную Microsoft Research и именуемую GAPA. В отличие от частичной реализации функционала механизма обнаружения сетевых вторжений, используемого в ISA Server, GAPA представляет собой полноценную систему N-IDS. Microsoft заявила, что сигнатуры сетевых атак для расширения функционала GAPA будут периодически поставляться в виде пакетов обновлений через службу Microsoft Update.

Поддержка SIP:
В Forefront TMG реализована поддержка протокола SIP, а также функция VoIP (Voice over IP) NAT Traversal, позволяющая данному типу трафика проходить через шлюзы со службой преобразования сетевых адресов (NAT).

Поддержка SSTP:
В Forefront TMG реализована поддержка протокола SSTP (Secure Socket Tunneling Protocol), позволяющего туннелировать трафик VPN-сессии внутри обычного протокола HTTP в рамках SSL-сессии. Этот механизм позволяет без проблем устанавливать VPN-соединения вне зависимости от конфигурации межсетевого экрана, веб-прокси сервера или службы трансляции сетевых адресов. На данный момент эту технологию поддерживают только ОС Windows Vista SP1 и Windows Server 2008.

HTTPS Inspection:
Инспекция HTTP/HTTPS-трафика на наличие вирусного и шпионского кода, а также анализ веб-контента на соответствие корпоративным политикам (фильтрация ресурсов на основе классификации).

ISP Link Redundancy:
Поддержка нескольких интернет-каналов. ISP Link Redundancy позволяет организовать отказоустойчивое подключение к сети Интернет посредством сразу двух ISP-каналов. Причем возможно как горячее резервирование интернет-канала, так и балансировка сетевой нагрузки между интернет-каналами.

Enhanced NAT:
Возможность трансляции адресов по схеме 1-to-1 NAT. Это позволит опубликовать для внешнего доступа, к примеру, ваш почтовый сервер на специально выделенном адресе.

VoIP Traversal:
Полноценная поддержка протокола SIP. Причем Forefront TMG не ограничивается поддержкой самого протокола SIP. Появился специальный мастер, позволяющий настроить Forefront TMG на работу с IP PBX-системой, использующей SIP.

Email Protection:
Возможность интеграции с ролью Microsoft Exchange Server 2007 Edge Transport Server почтовой системы Microsoft Exchange Server 2007 для защиты электронной почты от вредоносного ПО и спама на уровне сетевого периметра. Консоль управления Forefront TMG обладает всем необходимым для настройки данного функционала.

Работа в массиве (Arrays):
Появилась возможность создавать массив из стандартных редакций Forefront TMG Standard Edition! Раннее в массив можно было добавить только редакции ISA Server Enterprise Edition.

Возможность интеграции с Forefront Security Suite (codename Stirling):
Forefront TMG может обмениваться информацией о состоянии защиты с другими системами безопасности посредством механизма Security Assessment Sharing. Это позволяет интегрировать Forefront TMG в целостную систему защиты всех типов информационных активов компании.

Вывод

 Forefront TMG является очень функциональным, гибким в настройке, простым в интеграции продуктом, который соответствует современным требованиям по обеспечению комплексной безопасности корпоративных сетей.
Forefront TMG представляет собой новое поколение систем защиты интернет-шлюза корпоративной сети, включающий в себя, пожалуй, все необходимые функции.

К небольшим минусам Forefront TMG можно отнести отсутствие системы квотирования трафика (автоматического отключения пользователя при исчерпании лимита) и отсутствие антивирусной проверки FTP-трафика.