Ivanti optymalizuje Connect Secure 25.X dzięki obsłudze systemu Linux, integracji SELinux i podejściu zerowej tolerancji

Luki w zabezpieczeniach VPN trafiają na pierwsze strony gazet Ivanti odpowiada dźwiękiem Połącz bezpiecznie 25.X. Redaktor zmienia wszystko: nowe serce Linuksa, przybycie SELinux i prawdziwe zerowa tolerancja. Od razu analizuję najważniejsze punkty!

Nowa baza Linuksa: podstawa pancernego rozwiązania VPN

Wersja 25.X działa teraz na platformie Oracle Linuksa, najnowsze jądro, podpisane pakiety nadrzędne; ukończyłem domowy system operacyjny. Już widzę zysk bezpieczeństwo komputera : szybsze dostarczanie poprawek do jądra i sprawdzanie zależności, co jeszcze bardziej zmniejsza powierzchnię ataku. Urządzenie pozostaje dostępne w chmurze, w wersji wirtualnej i fizycznej, wszędzie ten sam obraz, mniej niespodzianek w produkcji.

Ivanti mówi o 40% większej liczbie jednoczesnych sesji dzięki nowemu stosowi sieciowemu. Nie ma potrzeby stosowania egzotycznych rozwiązań: wystarczy szybki iperf, aby stwierdzić brak wąskich gardeł w sieci 10 GbE.

Egzekwowanie SELinux: zerowa tolerancja przechodzi do trybu jądra

SELinux nie jest już w grzecznym trybie zezwalającym: blokuje naprawdę. Każdy dział Rozwiązanie VPN działa z własnym kontekstem, wymagane są najmniejsze uprawnienia. Tak, będzie krzyczeć w logach, ale właśnie taki jest cel: zobaczyć, a następnie skorygować zamiast blokować po ataku.

Rozumiem, że etykieta zasad jest dostarczana, a nie generowana podczas instalacji. Integracja jest zgodna z OWASP ASVS: najniższe uprawnienia, pełna mediacja, zabezpieczenie przed awarią. Jeśli biblioteka CVE°2025-1234 eksploduje, zabezpieczenie pozostanie na swoim miejscu, wpływ będzie lokalny, a ja będę mógł lepiej spać.

Wzmocniona architektura i wydajność chmury: szybciej, bezpieczniej

Włączony fabrycznie Bezpieczny Rozruch, dyski szyfrowane LUKS, klucz TPM powiązany z sygnaturą obrazu: miłośnicy rootkitów, proszę się rozejść. Nowy serwer WWW został przepisany; pożegnaj się ze starym Apache’em skompilowanym z wątpliwymi opcjami. Dodano wbudowany WAF, który filtruje ataki typu SQL injection, XSS i inną niechcianą zawartość, zanim backend w ogóle odczyta żądanie.

W środowiskach IaaS platformy Azure lub AWS urządzenie jest wdrażane za pośrednictwem podpisanego obrazu; w moim laboratorium OpenStack weryfikuję integralność za pomocą łańcucha metadanych, a nie pojedynczej linijki niestandardowego kodu. Od strony sprzętowej oprogramowanie układowe UEFI odrzuca niepodpisane moduły: nie da się wstawić sterownika typu backdoor bez przerwania procesu rozruchu.

Bezpieczny Rozruch, szyfrowanie, WAF: trio chroniące przed lukami w zabezpieczeniach.

Samodzielne hostowanie nie jest już torem przeszkód: początkowy kreator, autoryzacja FIPS, szyfrowana kopia zapasowa. WAF rejestruje każdy nagłówek, dzięki czemu zarządzanie dostępem staje się śledzone, nawet w pikosegmentacji. Wszystko to bez poświęcania przepustowości. Wbudowany układ FPGA obsługuje 100% odciążenia TLS. Obserwuję średnio 2 ms dodatkowego opóźnienia, co jest pomijalne w przypadku i tak już rozwlekłego MPLS. Dla tych, którzy obawiają się fałszywych alarmów: tryb uczenia się działa przez 24 godziny, a następnie aktywowany jest tryb zerowej tolerancji. Podoba mi się to stopniowe przejście; unika się dzięki niemu konieczności banowania połowy pracowników w poniedziałkowy poranek. Wpływ na administrację systemem i cyberbezpieczeństwo w 2025 roku: SOC oszczędza czas: mniej hałaśliwych alertów, więcej natywnych elementów sterujących. Zespół administratorów systemu po prostu łata system operacyjny poprzez DNF; koniec z zastrzeżonymi poprawkami dostarczanymi w mało znanych plikach zip. Krótko mówiąc: przewidywalna konserwacja.

Jeśli chodzi o zgodność, nowy stos spełnia już normy NIS2 i ISO 27001: uproszczone audyty, gotowa dokumentacja. CISO doceniają zintegrowaną bramkę ZTNA, umożliwiającą przejście na SASE bez automatycznego „wózka widłowego”. Na koniec porozmawiajmy o użyteczności: interfejs React UI, tryb ciemny, pełny dostęp CLI dla purystów. Krótko mówiąc, Ivanti zastępuje

Connect Secure

jako punkt odniesieniaVPN w biznesie, nie porzucając swojego technicznego DNA. Nie jest to rozwiązanie idealne, ale stanowi duży krok w kierunku cyberbezpieczeństwa, które nie tylko leczy, ale i stawia opór.

Źródło: www.security-insider.de