UniFi CyberSecure: Was die Sicherheits-Subscription für UniFi Gateways kann und was sie kostet

• UniFi CyberSecure ist eine Sicherheits-Subscription von Ubiquiti, die das eingebaute IDS/IPS mit Signaturen von Proofpoint und den Inhaltsfilter mit mehr als 100 Kategorien von Cloudflare erweitert.
• Je nach Gateway stehen mit CyberSecure mehr als 20.000, mehr als 55.000 oder mehr als 95.000 Bedrohungssignaturen zur Verfügung, ergänzt um wöchentlich 30 bis 50 und mehr neue Signaturen.
• CyberSecure kostet 89 Euro pro Jahr und Standort, CyberSecure Enterprise für EFG, EF-Core und UXG-Enterprise 449 Euro pro Jahr und Standort (jeweils UVP des Herstellers, netto).
• Voraussetzungen sind ein unterstütztes Gateway, aktueller UniFi OS Stand, für den Inhaltsfilter UniFi Network ab Version 9.3 und ein aktivierter Remote Access.
• UniFi Express und das Gateway Lite unterstützen CyberSecure nicht, eine Subscription lässt sich aber beim Gateway-Wechsel innerhalb derselben Edition übertragen.

UniFi CyberSecure ist eine kostenpflichtige Sicherheits-Subscription von Ubiquiti für UniFi Gateways. Sie erweitert zwei Schutzfunktionen, die UniFi Network bereits mitbringt: die Erkennung und Abwehr von Angriffen (Intrusion Detection und Intrusion Prevention, kurz IDS/IPS) und den Inhaltsfilter für Webseiten und Domains. Laut Ubiquiti stammen die zusätzlichen Bedrohungssignaturen von Proofpoint, die erweiterten Filterkategorien von Cloudflare. In der Herstellerdokumentation heißt der Dienst deshalb auch „UniFi CyberSecure Enhanced by Proofpoint and Cloudflare“.

Wichtig für die Einordnung: Ohne Subscription ist ein UniFi Gateway nicht ungeschützt. IDS/IPS ist laut Ubiquiti fester Bestandteil von UniFi Network und arbeitet bereits mit tausenden Signaturen. CyberSecure vergrößert diese Signaturdatenbank deutlich, liefert laufend neue Signaturen eines spezialisierten Sicherheitsanbieters und schaltet den feiner abgestuften Inhaltsfilter frei.

Es gibt zwei Editionen: CyberSecure für die gängigen UniFi Cloud Gateways und Gateways sowie CyberSecure Enterprise für die Enterprise-Gateways EFG, EF-Core und UXG-Enterprise.

Erweitertes IDS/IPS mit Signaturen von Proofpoint

Das IDS/IPS von UniFi prüft den Datenverkehr auf bekannte Angriffsmuster, sogenannte Signaturen, zum Beispiel bekannte schädliche IP-Adressen, Ports oder Auffälligkeiten in Protokollen. Im Modus IDS meldet das Gateway einen Treffer per E-Mail und Push-Nachricht, im Modus IPS blockiert es den erkannten Verkehr zusätzlich automatisch. CyberSecure erweitert dieses System laut Ubiquiti um:

• eine Signaturdatenbank mit mehr als 95.000 Einträgen auf den Enterprise-Gateways und mehr als 55.000 Einträgen auf den meisten Cloud Gateways
• wöchentlich 30 bis 50 und mehr neue Signaturen aus den Datenbanken von Proofpoint und dem Microsoft Active Protections Program (MAPP)
• kuratierte Signatursätze, die Fehlalarme reduzieren
• mehr als 50 Bedrohungskategorien, mit denen sich Regeln gezielter festlegen lassen

Inhaltsfilter mit mehr als 100 Kategorien von Cloudflare

Der Standard-Inhaltsfilter von UniFi arbeitet mit wenigen groben Voreinstellungen. CyberSecure schaltet laut Ubiquiti einen von Cloudflare gestützten Filter mit mehr als 100 Kategorien frei. Regeln lassen sich nach Benutzergruppen oder VLANs festlegen statt nur netzwerkweit. So bekommt zum Beispiel das Gäste-WLAN andere Regeln als das Verwaltungsnetz, und Unternehmen können interne Vorgaben zur Internetnutzung technisch durchsetzen.

Wie viele Signaturen genutzt werden, hängt laut Ubiquiti-Dokumentation vom Gateway-Modell ab:

• Mehr als 95.000 Signaturen, 53 Kategorien (CyberSecure Enterprise): Enterprise Firewall (EFG), Gateway Enterprise (UXG-Enterprise) und Enterprise Firewall Core (EF-Core)
• Mehr als 55.000 Signaturen, 53 Kategorien: UDM-Pro-Max, UDM-SE, UDM-Pro, UDW, UCG-Max, UCG-Ultra, UCG-Fiber, UXG-Max, UXG-Pro und UXG-Fiber
• Mehr als 20.000 Signaturen, 13 Kategorien: UDM, UDR, UDR7 und UX7
• Nicht unterstützt: UniFi Express (UX) und Gateway Lite (UXG-Lite)

Die Gateways der mittleren Gruppe beherrschen zusätzlich einen Memory Optimized Mode. Er lädt eine kuratierte Auswahl von mehr als 30.000 besonders wirksamen Signaturen in 36 Kategorien. Das ist sinnvoll, wenn das Gateway parallel speicherintensive Funktionen wie BGP-Routing, Werbeblocker oder den Inhaltsfilter betreibt, denn IPS belegt Arbeitsspeicher proportional zur Zahl der aktiven Signaturen.

Einen Überblick über die passenden Geräte finden Sie in unserem Vergleich UniFi Dream Machine Pro Max, Beast und Cloud Gateway Fiber und auf der Seite zur UniFi Enterprise Firewall EFG.

Ubiquiti rechnet beide Editionen jährlich und je Standort ab:

• CyberSecure: 89 Euro pro Jahr und Standort (UVP des Herstellers, netto)
• CyberSecure Enterprise: 449 Euro pro Jahr und Standort (UVP des Herstellers, netto) für EFG, EF-Core und UXG-Enterprise

Eine Subscription deckt laut Ubiquiti das Gateway eines Standorts ab, einschließlich eines zweiten Gateways im Shadow Mode bei einem Hochverfügbarkeitspaar. Wer ein EFG-Paar redundant betreibt, braucht also nur eine CyberSecure Enterprise Subscription.

Zur Einordnung: Bei einem UniFi Cloud Gateway Ultra für 90 Euro netto kostet CyberSecure im Jahr fast so viel wie das Gerät selbst. Bei einer Enterprise Firewall für 1.889 Euro netto liegen die jährlichen Kosten für CyberSecure Enterprise bei knapp einem Viertel des Gerätepreises (jeweils UVP des Herstellers, netto).

• UniFi Cloud Gateways ab UniFi OS 4.1.8, UniFi Gateways (UXG) ab Version 4.1.3
• UniFi Network ab Version 9.3 für den erweiterten Inhaltsfilter
• Betrieb auf einem Cloud Gateway oder mit UniFi OS Server, nicht mit dem älteren UniFi Network Server
• aktivierter Remote Access, ohne den sich die Subscription nicht aktivieren lässt
• Standort in einer unterstützten Region, Europa gehört laut Ubiquiti dazu

1. Im UniFi Site Manager beim gewünschten Standort auf das Schild-Symbol klicken und die Subscription abschließen. Laut Ubiquiti dauert es bis zu 15 Minuten, bis alle Signaturen und Filterfunktionen geladen sind.
2. In UniFi Network unter Settings > CyberSecure > Protection die Intrusion Prevention einschalten.
3. Die Netzwerke auswählen, die geprüft werden sollen.
4. Den Modus festlegen: Notify (IDS, nur melden) oder Notify and Block (IPS, melden und blockieren).
5. Die gewünschten Bedrohungskategorien aktivieren und die Regeln für den Inhaltsfilter je VLAN oder Benutzergruppe anlegen.
6. Treffer unter System Log > Threats oder in den Traffic Flows prüfen. Fehlalarme lassen sich über eine Signatur-Ausnahme oder eine Ausnahme für die Quell-IP gezielt freigeben.

Ja. Laut Ubiquiti lassen sich CyberSecure und CyberSecure Enterprise im Account Portal unter Subscriptions auf eine andere Konsole desselben Eigentümers übertragen. Das geht höchstens zweimal innerhalb von 30 Tagen. Ein Wechsel innerhalb derselben Edition ist problemlos, etwa vom UCG-Ultra auf ein UCG-Fiber. Wer dagegen auf eine Enterprise Firewall umsteigt, braucht eine neue CyberSecure Enterprise Subscription.

Die InSys AG^® empfiehlt CyberSecure für jeden Unternehmensstandort mit einem unterstützten UniFi Gateway. Die Gründe:

• Deutlich mehr erkannte Bedrohungen: Statt tausender Basissignaturen prüft das Gateway je nach Modell mehr als 55.000 oder mehr als 95.000 Signaturen, gepflegt von einem der großen Sicherheitsanbieter.
• Aktuelle Erkennung: Jede Woche kommen 30 bis 50 und mehr neue Signaturen hinzu, unter anderem aus dem Microsoft Active Protections Program (MAPP).
• Weniger Fehlalarme: Kuratierte Signatursätze sorgen dafür, dass IPS im Blockiermodus betrieben werden kann, ohne den Betrieb zu stören.
• Durchsetzbare Nutzungsregeln: Der Inhaltsfilter mit mehr als 100 Kategorien und Regeln je VLAN setzt interne Richtlinien technisch um, statt sie nur auf Papier festzuhalten.
• Geringe Kosten: 89 Euro netto im Jahr je Standort sind im Verhältnis zum Risiko eines erfolgreichen Angriffs ein kleiner Betrag.

• Durchsatz: Weil IPS jedes Paket prüft, sinkt der maximale Routing-Durchsatz. Maßgeblich ist der IPS-Durchsatz des Gateways, beim UCG-Ultra zum Beispiel 1 Gbit/s, bei der Enterprise Firewall 12,5 Gbit/s. Bei schnellen Glasfaseranschlüssen das Gateway entsprechend dimensionieren.
• Verschlüsselter Verkehr: Signaturbasiertes IPS sieht bei verschlüsselten Verbindungen nur Adressen, Ports und Metadaten, nicht den Inhalt. Eine Prüfung verschlüsselter Pakete per SSL/TLS-Entschlüsselung bieten die Enterprise-Gateways mit NeXT AI Inspection, laut Ubiquiti ohne zusätzliche Lizenz.
• Kein Ersatz für Endpunktschutz: CyberSecure schützt das Netzwerk am Übergang zum Internet. Phishing-Mails, kompromittierte Konten und Schadsoftware auf Laptops gehören in die Verantwortung von E-Mail-Schutz, Identitätsschutz und Endpunktschutz, zum Beispiel mit Microsoft 365 Security.
• Datenschutz: Laut Ubiquiti laufen bei einem Treffer bestimmte Metadaten wie Zeitstempel, IP-Adressen, Ports, Protokolle und Signaturen über einen verschlüsselten Kanal durch die Cloud des Herstellers, bevor sie gelöscht werden. Binden Sie Ihren Datenschutzbeauftragten ein; die InSys AG^® leistet keine Rechtsberatung, unterstützt aber bei der technischen Umsetzung.
• Remote Access: Ohne aktivierten Remote Access lässt sich CyberSecure nicht aktivieren, und Subscription-Informationen sowie Übertragungen funktionieren nicht zuverlässig.

Die InSys AG^® ist Ubiquiti Enterprise Partner und UniFi Professional Integrator. Bei Kunden sind mehr als 10.000 UniFi Geräte im Einsatz. Wir prüfen, ob Ihr Gateway für IPS mit CyberSecure ausreichend dimensioniert ist, aktivieren die Subscription, legen die passenden Bedrohungskategorien und Filterregeln je VLAN fest und bewerten Fehlalarme in der Einführungsphase. Auf Wunsch übernehmen wir die laufende Überwachung im UniFi Managed Service. Alle Gateways können Sie vorher in Deutschlands größtem UniFi Democenter im H1 Bielefeld live erleben. Einen Überblick über alle Lösungen finden Sie unter UniFi für Unternehmen.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular am Ende dieser Seite.