Aktuelle Sicherheitslücken

Der Run ist sicher nicht vertrauenserweckend, keine Frage.
Aber wenn Cisco bei Produkten welche noch nicht EoL sowie unter Wartungsvertrag sind meint, dass kleinere Bugs, die für Kunden jedoch Showstopper darstellen meint, dass jene in Versionen gefixed werden, welche die eingesetzte Appliance nie zu Gesicht bekommen wird ist das auch nicht unbedingt vertrauenserweckend.
Selbiges gilt btw. auch für zentrale Features derer Software, die auf Komponenten anderer Hersteller aufbauen, welche nach 2 jahren bekannter CVEs endlich überarbeitet werden und die letzten Workarounds mittels Registryeinträgen in wenigen Monaten unbrauchbar werden und jene Features nach wie vor nicht überarbeitet wurden.
Wie soll denn ein solcher Hersteller als brauchbare Alternative verkauft werden?

Aber welche würdest sonst nehmen? Von F5 hört man ähnliches. Auch wenn der Fortimanager wirklich mist ist und die Partner auch eher am Verkauf von HW interessiert sind und weniger an (bezahltem) Support

Cisco statt FortiIrgendwas - mit Wucht vom Regen in die Traufe?

Wenn ich nicht selber machen will oder kann, kaufe ich mir eine OPNsense- oder zur Not auch pfSense-Appliance. Da ist dann wenigstens offensichtlich, was an Software darin werkt, und ich trete mir keinen unvermittelt in eine RCE explodierenden `sslvpnd` ein. Weil alles quelloffen ist, kann man als aufs eigene Image bedachter Hersteller das Software-Innenleben auch nicht ohne die geringste Ruecksichtnahme auf... nun, nennen wir es "Cyber-Hygiene", zuscheiszen, wie das ganz offensichtlich bei anderen Firmware-Giftmischern ohne die geringsten Skrupel seit Jahren Usus ist.

Zitat

Wenn ich nicht selber machen will oder kann, kaufe ich mir eine OPNsense- oder zur Not auch pfSense-Appliance. Da ist dann wenigstens offensichtlich, was an Software darin werkt, und ich trete mir keinen unvermittelt in eine RCE explodierenden `sslvpnd` ein. Weil alles quelloffen ist, kann man als aufs eigene Image bedachter Hersteller das Software-Innenleben auch nicht ohne die geringste Ruecksichtnahme auf... nun, nennen wir es "Cyber-Hygiene", zuscheiszen, wie das ganz offensichtlich bei anderen Firmware-Giftmischern ohne die geringsten Skrupel seit Jahren Usus ist.

ack am besten mit wartungsvertrag dass ichs wen anderen umhängen kann wenn man sich nimma raussieht

interessehalber: was ist eine hybride F5/palo alto? ich dachte das wäre entweder oder? ich hatte aber mit f5 noch keine Berührungspunkte

checkpoint kann ich nur von einer partnerfirma sagen dass die auch immer wieder Probleme haben... halt aber andere Sachen, eher instabilitäten. z.B: dass die ssl inspection amok läuft. Außerdem habens keinen gscheiten linux VPN client bzw. keine gscheite doku dafür wie man sich mit strongswan verbindet.

achso also mehrere firewalls wo manche F5 und manche Palo sind verstehe

Zitat aus einem Post von davebastard

achso also mehrere firewalls wo manche F5 und manche Palo sind verstehe

Big-IP für deine Frontend Server + random Vendor für den "Rest" ist eigentlich sehr verbreitet.

Alle mir bekannten Hersteller und deren Produkte haben ihre Vor und Nachteile. Das gilt für hochpreisige Checkpoints, günstigere Cisco (sei es Firepower oder ASA), Forti oder auch opnsense. Palo kenn ich nicht persönlich, hab aber auch schon sowohl gutes als auch schlechtes darüber gehört.
Ein Produkt davon zu verteufeln halte ich aber für Recht engstirnig. Und eine opnSense mit >100 oder gar 1000 Regeln mag ich auch sicher nicht managen. Sobald da die Policy troublegeshootet werden muss kannst dir die Kugel geben.

Ein zweistufigen Konzept mit unterschiedlichen Herstellern macht btw. durchaus Sinn. Wenn es bei einer der beiden FWs zu einer groben Sicherheitslücke kommt steht noch eine weitere nicht kompromitierte dahinter und das Netz ist nicht gleich komplett offen.