Presentación de migración a IPV6, basada en la visión de INFOBLOX. PARTE 2

Viene del post anterior!

Presentación de migración a IPV6, basada en la visión de INFOBLOX

Hace unos cuantos meses que la empresas están inquietas ante el anuncio de RIPE del agotamiento de las direcciones IP públicas en ASIA. Eso ha implicado que quién más y quien menos, haya preparado un plan de contingencia para cuando las operadoras y la red global "hable" IPV6.


Nadie conoce la fecha exacta, pero el porcentaje mayor de opiniones apuntaban a verano del 2012. También es verdad que no se conoce el impacto que puede tener la crisis financiera, sobre esta evolución. Los mercados podrían obligar a migrar inmediatamente o frenar esta migración, mediante técnicas de reutilización de direccionamiento o técnicas mixtas de convivencia dual.


Llegue, cuando llegue, habrá empresas que saquen rendimiento de ser los primeros y otras que serán víctimas de su falta de planificación.


Con el objetivo de clarificar dudas, monté una presentación autoexplicatoria, con la hoja de ruta basada en la visión y la propuesta de INFOBLOX, pero enriquecida con la aproximación del mercado de ICA.
Nota:

INFOBLOX, es un fabricante experto en servicios core de las redes, que dispone de varios productos. Hace unos meses comenté un nuevo producto que salió al mercado, NETMRI, pero sin duda, el más extendido y necesario son sus appliance de servicios core para IPV4 e IPV6 DHCP, IPAM, DNS, NTP, TFTP y Radius.

Sin más, os dejo una parte de la presentación, troceada en dos post.

hth,
Robclav

Migración a IPV6

Hola,
aquí os dejo una nueva entrega de la migración de una red a IPv6. En este caso es un gráfico que refleja, las diferentes tablas de enrutamiento que contiene un router Cisco. Así, que en el proceso de migración hasta que no queden islas IPv4(vrf), tendremos:

Las siguientes tablas de routing y sus combinaciones:

• Familia ipv4 o ipv6
• Números destinatarios. Unicast o multicast
• VPN. General o con una VRF asociada.

hth,

Robclav

CyberResistencia o Error: Moody, S&P y Fitch Under Attack

La web de la filial de MOODY Portugal ha sido HACKEADA, para los puristas, solo ha sido compometido su DNS.  Se nota que no utilizaban Infoblox...

Pero ¿quién esta detrás de estos ataques?: Anonymous Portugal. Esto ha sido todo, ¿o en el futuro vamos a ver nuevos ataques? Los ataques a las agencias de Rating, solo han empezado con un aviso. Una simple modificación de su web, a modo de advertencia. 

1. miles-de-portugueses-intentan-bloquear-la-web-de-moody-s-sin-conseguirlo-79207217.html
2. hackers-downgrade-moodys-website-z

Nota sobre el cuadro:Fusilamiento de Moncloa. "Goya pretende subrayar la barbarie de la guerra y la tiranía moderna, para lo que establece un contraste entre las pasiones humanas de las víctimas y la eficacia deshumanizadora del pelotón que dispara."
Es evidente, que estas empresas vienen a ser como la SGAE del mundo. El Bin Laden para Europa o  el enemigo público número uno. De forma que la respuesta ciudadana pacifica hacia los abusos de estas, crece de forma exponencial. Pero pese a que yo no estoy de acuerdo con las mismas,  deberíamos hacernos unas cuantas preguntas, antes de dejarnos llevar por bajas pasiones. ¿La respuesta no debería ser política,  en lugar de tomarnos la justicia por la mano? ¿Qué consecuencias va a conllevar a quien forme parte de la CyberResistencia? 





 Bien, pues ya existe varios movimientos autodenominados de resistencia 2.0. contra la intervención fraudulenta efectiva de la autonomía Europea o invasión 2.0. Como habéis visto en el primer link anterior.
Se dice, se rumorea googleando que:
Estos "partisanos de los bytes", tienen previsto atacar directamante a los trabajadores de las agencias.


Yo después de leer uno de estos hilos, he seguido alguno de los vectores de ataque, y son efectivos.Así que no voy a publicar el enlace al foro...


Reconocimiento y vectores de ataque a los empelados(Sin entrar en detalles):

Recuperación de información de objetivos:

1.-Localizar los directivos y encargados de rating. mediante LinkedIn. 
2.-Recuperar el máximo de información personal, como teléfono, email, dirección o fotografías.
3.-Localizar estas personas en redes sociales, mediante su nombre, y mediante buscadores de información sobre imágenes (con una imagen como patrón de búsqueda en lugar de una palabra).

Vectores:

1.-Comprometer los smartphones para recuperar contraseñas, contactos, registro de llamadas, fotografías y sms,

2.-Comprometer sus Ordenadores y los de las agencias, para crear túneles de comunicación. Alta, Baja y modificación de datos. No técnico

3.-Comprar grandes volúmenes de productos contra reembolso y con tarjetas robadas por internet. Destino los domicilios de los empleados.

4.-Publicación en las redes, de la información privada(inc fotos o videos) de sus perfiles de las redes sociales y de sus correos.

5.-Alta de sus teléfonos en sistemas de contenidos bajo subscripción, y de contenido erótico, a poder ser en la otra orilla del atlántico.

6.-Alta en listas negras de correo, pederastia/violadores, aerolinias, y entidades de crédito de los empleados.

7.-Petición de información de productos, con entrega presencial. Desde libros a pizzas.

Lo dicho, Behave!
RobClav
Os dejo la banda sonora de este artículo. The partisan by Leonard Cohen

CISCO IOS 15.0

Hace tiempo me preguntaba porque CISCO salto de la versión de IOS 12.4T, hacia la versión 15 directamente. Y estos días he encontrado la respuesta en un comentario en un blog que no apunté. Pero vamos, las teorías más extendidas, apuntaban que debido al gran avance de funcionalidades en la nueva IOS(2009), se evidenció con el gran salto. O que se habían desarrollado un par de IOS fallidas experimentales que no vieron la luz. Pero no, la solución es más profana. Estrictamente marquetiniana: El Siguiente número de la IOS 12.4 podía haber sido 12.5 o 13. Pero, en EEUU el número 13, parece que muchas personas lo evitan, así como el número 14 en ASIA. Así, que la IOS 15, tiene ese número para seguir vendiendo en mercados supersticiosos...

Robclav

OT:China hacker's CyberWarfare, y tipos de hackers en China

Empieza a salir a la luz, lo que todos nosotros sabemos hace tiempo. Los gobiernos de China y Rusia están detrás de la mayoría de ataques en la red.

¿Puede ser interpretado como una declaración de guerra? Pues espero que no, porque me encantan los rollitos de primavera y el wan tun frito. Así que, mejor lo dejamos en incidente grave con "estudiantes" muy coordinados tal y como afirma el gobierno Chino...Pero ¿no serán hackers de sombrero rojo o "Patriotas"?

No obstante,  la parte interesante es el procedimiento que están utilizando para acceder a los objetivos, expuesto en el gráfico anterior. Los ataques explotar un vector de ataque muy extendido, la Capa 8 de nuestra infraestructura o los usuarios.

Por otra parte, dentro de China tienen toda una variedad de nomenclaturas en función, del comportamiento de los hackers.

color-coding-chinas-hackers/

How people differentiate between the many types of hackers roaming the Internet in China.

"Black" hackers (黑客) are computer experts who use their skills to identify loopholes in networks for people to fix. They do not attack to steal data or cause lasting damage, but to construct a better system by exposing flaws.

"Gray" hackers (灰客), on the other hand, are those who do actively attack and invade. They act with malicious intent to infiltrate networks, steal information, and crack government websites for destructive purposes.

(It is interesting to note the difference between Chinese terms and what's used elsewhere, where a "black hat" hacker would be known as a "gray" hacker in China - and a "black" hacker in China is similar to a "white hat" hacker.)

"Red" hackers (红客), or "Honkers," refer to those who use their computer savvy for patriotic purposes. Their goal is to strengthen and defend domestic network safety, or attack anyone they view as China’s enemy. They first emerged in May 1999 after NATO bombs fell on the Chinese embassy in Belgrade. In response, the group declared war on several U.S. government websites.

Finally, there are "white" hackers (白客). They are the hackers who no longer hack. Instead, they usually pursue a legitimate career in computer safety or consulting, putting their skills to use for corporate benefit.

Cyberwarfare, Counter-hacking appliance de Mykonos Software

¿Cuántos de nosotros nos hemos encontrado con una infraestructura bajo ataque? ¿Y cuales son nuestras herramientas actuales?

Bien, una vez nos encontramos con un cliente con problemas de denegación de servicios o con un ataque deliberado de forma inteligente contra sus recursos, ¿que solemos hacer? Mitigación del problema o activar contramedidas de medio pelo.


1.-Activar restricciones en las conexiones nuevas (TCP Syn), inicialmente para todos los usuarios.
2.-Detectar las redes origen, y a poder ser las regiones parar incluirlas en una lista negra.
3.-Activar, las firmas IPS de los sistemas intermedios y activar el registro de los servicios atacados.
3.-Avisar a la operadora, para que a su vez, limite ese tráfico.


Pero todo esto, al final es como recibir una bofetada en la cara y apretar los dientes. 

Existe un producto de Mykonos Software que, es el primero que empieza a recorrer el camino de la autodefensa en al red. Es un appliance que permite, reconocer los atacantes y sus métodos y en principio, defenderte activamente. No obstante, en los siguientes días espero conocer algo más que el datasheet. http://www.mykonossoftware.com/appliance.php

Sin disponer de este appliance, existen servicios de emergencia de respuesta temprana que pueden realizar estas tareas por ti. ¿Pero en que se fundamentan estos servicios?

En las leyes que nos rigen, si eres atacado puedes defenderte. Es el mismo concepto de autodefensa que se utiliza habitualmente fuera de internet.
Bien, pues actualmente se están desarrollado diferentes plataformas que permiten exactamente eso. Defender tu infraestructura de forma activa, o dicho de otra manera. Atacar a las redes o equipos que te atacan, pero previamente se tienes que poder demostrar que tu has avisado a los administradores de la infraestructura de tu defensa con un correo o notificando el ataque mediante tu CERT.


Esta defensa puede pasar, por principalmente inyectar cambios es sus DNS de forma que la mayoría de ordenadores zombies, controlados remotamente, ataquen al atacante. También para que el atacante, pierda el control sobre los zombies o para simplemente, ambas cosas.
Otra acción, es inundar la red de la operadora que permite ese tráfico con tráfico simulado. De forma que por sus propias políticas de QoS, al llegar al máximo permitido de conexiones o ancho de banda corte el ataque.


Y como última opción, automatizar el proceso de detección y explotación de vulnerabilidades y hacer caer sus sistemas.


Seguro que las empresas, que tienen todos sus activos en la red, empiezan armando sus defensores con herramientas de defensa activa, como la que os comentaba.
HTH,
Robclav

Hacking Facebook, 100€ por contraseña

No, no estamos ampliando nuestro catálogos de servicios, es algo que todo el mundo sabe que se hace, pero nadie explica como.  Esto sin tener las facilidades de tener el usuario en tu red, y utilizar "kain" o sniffers generales.

Es verdad, que antes las estrategias eran más sofisticadas, como crear una aplicación para facebook. Esperar  que la gente se agregase tu aplicación y mediante las condiciones ya te autorizaba a conseguir la   información, otra vía era aprovechar un fallo de seguridad de una de estas aplicaciones y obtener esta información.

Ahora es mucho más sencillo, engañas al usuario: 

1. Te bajas el frontal de la web entera de Facebook.
2. Haces un par de modificaciones en el código, para que te envíe la información de la cuenta. Publicas la web, con una cuenta "anonyma".
3. Le envías al usuario objetivo, un correo de parte de FB con tu enlace.
4. El usuario se valida en tu web, obtienes su usuario y password, y luego lo rediriges a la web correcta como si se hubiese equivocado la primera vez.

Ahora el paso a paso for dummies. Este contenido solo es para prevenir a nuestros conocidos de este mecanismo, bajo ninguna circunstancia es para que lo utilicéis.

Enlace de la web de donde he obtenido la información:

how-to-hack-facebook-account phishing

1.-Te bajas el frontal de la web entera de Facebook.

2.-Haces un par de modificaciones en el código, para que te envíe la información de la cuenta. Publicas la web, con una cuenta "anonyma".

First of all open www.facebook.com in your web browser, from “file” menu select “save as” and type “Facebook” in file name and select “web page complete” from save as menu. Once done you will have a file named “Facebook.html” and a folder named “Facebook_files”. Folder will have several files in it, let them as it is and open Facebook.html in notepad or word-pad. From edit menu select find, type action in it and locate following string.

Now save it as mail.php and create an empty log.txt file. Now you'll need a free web hosting service that supports PHP. Go to http://www.100best-free-web-space.com/ and select service and plan that suits you. Now in root folder of your website create Facebook_files folder and upload all files in Facebook_files of your hard disk to it. Come back to root folder and upload Facebook.html, mail.php and log.txt in it. Change permission for log.txt that it can be seen by administrator only. Once done make Facebook.html your index page and make site live.

Now sign up with http://www.hoaxmail.co.uk/ it provides spoofed email service. 

3.-Le envías al usuario objetivo, un correo de parte de FB con tu enlace.

Now create a message from support@facebook.com to your victim.

Sub: Invalid activity on your facebook account

Body:

Dear facebook user (victim's facebook user name),

Recently we saw some suspicious activity on your account, we suspect it as a malicious script. As a valuable user to us we understand this might be system error, if the activity is not generated by you then please log-in to your account by following link,

Failing to log-in within next 48 hours Facebook holds right to suspend your account for sake of privacy of you and others. By logging in you'll confirm it is system error and we will fix it in no time. Your inconvenience is regretted. Thank you.

support@facebook.com,

Facebook, Inc,

1601 S.California Ave

Palo Alto CA 94394

US

4.-El usuario se valida en tu web, obtienes su usuario y password, y luego lo rediriges a la web correcta como si se hubiese equivocado la primera vez.

If your victim is not security focused, he/she will surely fall prey to it. And will log-in using phished site handing you his password in log.txt file. Pleas note that you must use that email id of victim which he/she uses to log in facebook. If you are in his/her friend list then click on information tab to know log-in email ID.

Facile e divertente

RobClav

Preparando el CCIE R&S Parte II

Una vez tenemos claro a que nos enfrentamos, ¿por donde empiezo?:

1. Entiende y aprende al 120% a nivel teórico el blueprint. Puedes empezar con la guia oficial CCIE Routing and Switching Certification Guide (version 4 o superior)
2. Apúntate al grupo de estudio de CCIE, www.groupstudy.com. Y contesta a todas las preguntas que seas capaz. Esto te dará una métrica objetiva de tu conocimiento. Si no puedes contestar a todas las preguntas, no estas preparado.
3. Compra las guías de estudio y laboratorios de ejemplo de www.ine.com. Son los mejores, pero también hay otros muy buenos como ipexpert.com, o micronicstraining.com.
4. Alquila laboratorios online, y complementa tu formación con la emulación de hardware dynamips.
5. Haz un par de laboratorios evaluados por alguno de estos centros de formación. También conocerás lo que se puntúa y lo que no.
6. Recuerda, en el examen, no hay puntos parciales si un apartado se puntua con 4 puntos, y te equivocas en un subapartado, significa 0 puntos. 
7. Por otra parte, si te equivocas en un ejercicio inicial que impide la conectividad básica, como se corrige por script, el resto de ejercicios pueden ser correctos desde el punto de vista de configuración, pero serán 0 puntos, y examen failed.
8. Busca un blueprint expandido, y estudia directamente de la web o de jeffs doyles, todo aquello que no entiendas y no puedas configurar de memoria.
9. Prueba todos los comandos y opciones. Aprende a validar las configuraciones con debugs o cualquier otra herramienta.
10. Acostúmbrate a reiniciar los equipos cada 4 horas y guarda compulsivamente.
11. Antes de iniciar cada lab, comprueba las configuraciones iniciales y guardalas en un notepad.
12. Importante, los cambios sobre el blueprint anterior parecen mínimos: IOS firewall yMPLS , pero no lo son. Se ha restructurado todo el examen, de forma que la parte considerada como core antes 60% , ahora es un 20 % del examen.

Es un juego, un tipo de puzzle donde todo encaja. Disfrútalo.

robclav

Preparando el CCIE R&S Parte I

Estos días estoy recibiendo consultas relacionadas con la preparación del examen práctico(Laboratorio) del programa de Cisco Certified Internetwork Expert.

Antes de nada comentar unas cuantas cosas, yo preparé la versión 3 del "LAB" correspondiente con routing y switching.
Pero sigo en el foro de estudio y tengo colegas que están preparándolo. Así que os los comentarios que os dejo son para la versión del 2011 (v4), para el camino clásico del CCIE, routing y switching.


Conceptos básicos para entender el examen:

• No existen formulas mágicas ni atajos, se trata de estudiar, estudiar y estudiar.
• La certificación de CCIE esta compuesta de dos partes:

•  Examen teórico clásico de prometric o VUE, donde entra el 80% del contenido requerido para la parte de laboratorio. Así que no se trata de aprender los timers, pero si entender todo al 120%. Se puede hacer desde vuestro centro habitual de certificaciones.
• Examen práctico, que no tiene nada que ver con ningún examen convencional de certificaciones.  Se realiza en una sede de CISCO, en Europa se realiza en Bruselas, junto al TAC.
• La parte práctica es un examen divido en dos partes, dos horas de resolución de problemas en un entorno desconocido de hasta 40 equipos interconectados de cualquier forma. Aquí, los equipos están previamente configurados y tiene 10 problemas a resolver o tiquets.
• La segunda parte del laboratorio dura 6 horas, en las que nos pedirán que configuremos 10 equipos, con todo lo que incluye el actual Blueprint.www.cisco.com/go/ccie
• No existen requisitos previos a cumplir, como disponer del CCNA o CCNP. PERO, si no tienes los conocimientos consolidados de un buen CCNP, olvídate.
• La gestión del tiempo, es tan importante como el conocimiento.

• El exámen empieza a las 08:00, así que te levantas a las 06:30 y tienes una hora para estar en CISCO. Te identifican como estudiante del CCIE, y a las 07:45 el PROCTOR sube a todo el mundo a la sala. Allí pasan lista, y te asignan ordenador(y conjunto de lab). Antes de daban un dossier con tu examen. Ahora comentan que todo lo tienes en el ordenador, diagramas, preguntas, acceso al LAB.  Te proporcionan unas cuantas hojas para realizar tus diagramas, apuntar las preguntas con dudas o hacer cálculos. Se tienen que devolver todas.
• En la misma sala, hay gente "atacando" el ccie de R&S, de seguridad, service provider, wifi o TELEFONIA IP.
• Eso implica muchas cosas, pero la más importante es que hay mucho ruido en la sala. La gente teclea como locos desde el principio(estos no aprueban), el proctor va comentando aspectos como los 30 minutos para la comida o la listas de cosas permitidas y no permitidas. Por ejemplo, no se puede utilizar direcciones nuevas si no esta permitido explícitamente pero si se permite reutilizar la ip de otra interfaz mediante ip unnumbered.
• La documentación de CISCO está disponible en todo momento, así como la posibilidad de ir al servicio y el acceso a la comida y la bebida gratuita. Os recomiendo, no tomar redbull....

HTH
robclav

OT: La verdad de la SGAE, porque la red tiene memoria.

Para aquellos de vosotros que no conozcáis la Sociedad General de Autores y Editores SGAE(España) haré una pequeña introducción.
La SGAE es un organismo de defensa y representación de un grupo de artistas:músicos, compositores, guionistas y pintores. Es una empresa privada, dotada de herramientas de organismos público para requerir impuestos por la utilización de las obras. Evidentemente, este tipo de organizaciones tienen que existir como cooperativas o soporte a los artistas.

• Donde está el problema?

Hay muchos y muy variados, y existen cientos de páginas que explican al detalle los mismoswww.internautas.org. Simplemente tres o cuatro aspectos controvertidos serían:

1. Se erigen en representación de todos los artistas y solo tienen un porcentaje del total.
2. Sus estatutos son oscuros y orientados a una oligarquía que se reparte el 80% del beneficio. Y parece que de formas no conforme a la ley.
3. Extorsionan para cobrar sus tributos sin ningún tipo de miramiento. De los conciertos benéficos, de las representaciones teatrales de los niños de los colegios, de una peluquería con una radio a pilas, vamos son capaces de quitarse el biberón a un bebe....
4. Cobran 5x por el mismo concepto. Una canción, se paga por la descarga, por el ordenador, por el cd, por el mp3 que lo reproduce y finalmente al local donde se escucha. Es como si nosotros por un diseño de una red, cobrásemos por hacerlo, por imprimirlo, a quien lo envía por correo y a quien lo lee. 

Bien, pues ocho de su principales dirigentes han pasado la noche en prisión. Parece que les acusan de apropiación indebida y administración fraudulenta.La denuncia la interpuso la asociación de internautas.
Así que parece que la red, a día de hoy, representa una democracia real.


buenas noches y buena suerte,
robclav

"Cuanto más sudes ahora, menos sangrarás en el campo de batalla". Troubleshooting Paloalto

¿Se te ha puesto esta cara con algunos problermas de PAN? Tranquilo, seguro que nadie te hará una foto ;)

Problemas inesperados entre la capa de gestión(Candidate config) y la de ejecución del Paloalto(running config).

• No se puede sincronizar la configuración entre el activo y el pasivo.
• No se puede hacer un commit al principal. Dice que ha perdido la conexión con el servidor de gestión(Cannot connect with the management server)
• El commit tarda mucho o el commit cada vez es mas lento.

Solución: Resetar los procesos de management server y device server. 

Background: Los demonios no se depuran y crecen muriendo por lentos. Hay diversas causas como el navegador.

NOTA: Este reset de procesos no afecta al tráfico que pasa por el equipo. Se puede hacer sin esperar a una ventana de intervención, sería como cerrar el navegador y volverlo abrir.

Ejecutar desde CLI:(Ni caso que se llame debug)

1. debug software restart management-server
2. debug software restart device-server

Hacer un show system resources para verificar que los procesos se han reiniciado.

BUG, de identificación de usuarios mediante pan-agent y directorio Activo.

• Los usuarios validados en el Directorio Activo se saltan las reglas de seguretat. Son identificados dentro del dominio pero aparecen como desconocidos(unknown). Todos los usuarios pueden hacer todo lo que permitan las reglas con usuarios.

Solución: Hacer un upgrade del agente cuando sala la nova versión. 

Mitigación, desactivar la comprobación por netbios y en el servicio de PANAGENT, configurar las tres acciones para cuando se quede colgado, como reiniciar.

Aplicaciones o comunicaciones lentas:

• PAN, no deja pasar los paquetes ICMP code 4 type 3(Fragmentation needed) que notifican que la mtu es demasiado grande. Eso implica que ciertas conexiones(VPN, WIFI y WANs) funcionen muy lentas. 

Solución: Definir una custom application con icmp code 4 pero en la regla de seguridad definir el servicio como default-application.

Permitir toda la navegación, no solo http y https.

Crear una "application filter" por tecnología: Browser-based. Son 489 aplicaciones como web-browsing(http), ssl, flash, youtube, facebook...etc

Ver la configuración formato comando y no estructura xml (Muy útil para cisqueros)
 set cli config-output-format set

Robclav

Cisco SECUREX, Next Generation....Architecture

Bien, en este blog he analizado algunos de los últimos productos que siguen la estela de Paloalto Networks.  Pero el gigante ha despertado, Cisco enseña sus cartas.(Actualización 18-06-2011)

Checkpoint por ejemplo, uno de los firewalls convencionales que más me gustan para entornos distribuídos, ha sufrido el problema de una maquinaria lenta y anquilosada.  Esto lo ha confirmado el mismo fabricante en la revista SIC. Checkpoint está dando un giro admitiendo que la visibilidad en la red tenia que ser mejorada, pero tiene varios problemas:

1. El primero es que ha maltratado al canal con unas condiciones de mantenimiento Draconianas. Al final eso seleccionaba el canal, garantizaba unos ingresos importantes,  pero al final el cliente tenia una percepción de CP muy inferior a la calidad real, debido a la imposibilidad(a la práctica) de abrir casos directamente. Así que la mayoría de las instalaciones se aguantaban con pinzas. Y sinó, ¿cuántas veces hemos visto, firewalls CP en activo-pasivo por que el técnico no sabia solucionar el problema de mac multicast de uno de los modos de activo-activo?
2. El segundo, que son dispositivos muy orientados a multinacionales y que en el resto de segmentos, se habían quedado muy atrás.

 Fortinet, en un artículo de su CEO, reconoce que ahora están evolucionando y que ahora quieren adquirir una empresa que les aporte futuro. Parece que solo ganan las batallas con firewalls convencionales... y cuentas pequeñas.
Pero, ahora viene el notición. Al menos para mí.(gracias VICTOR)
Parece que CISCO ya tiene su respuesta. Y no estamos hablando de una start-up de cuatro estudiantes en un garaje. La propuesta de Cisco se llama SECUREX(Sí, tiene nombre de condón). Promete hacer varias cosas que hace muy bien los PAN....y algunas más.
Seguramente, se acerca más a la seguridad normativa clásica, en la cual tiene en cuenta TODOS los activos de la red. Un ejemplo, seria si una persona está en el edificio o está de vacaciones. Y este tipo de cosas. 
Pero a parte de que solo conozco lo que dice en la web Cisco securex, la clave sería ver cuantos elementos hacen falta para que esta arquitectura funcione.  Si se trata de un ex-Cisco MARS+ASA+HIPS+IDP+Cisco Works+NAC, seguramente es más sencillo, reconfigurar una IOS para que comporte como un Paloalto.
Si es un appliance que hace todo eso, habrá que seguirlo. Evidentemente si está basado en IOS y no han hecho un refrito de FINESE(ahora ASA) versión UTM.  En la web, a veces parece una arquitectura y otras una tecnología que incorporan los ASAs(Ojo con la madurez de la solución). Los betatesters pueden sufrir bastante o cisquearse para siempre. 
Aún así tendremos que ver precios, cumplimiento de expectativas y evolución de PAN que en cada versión saca un conejo de la chistera.
Por cierto a PAN, le pediría que hubiese una parte de soporte abierta para no partners. Así como carta a los reyes. A Cisco, que alguien me aclarase las dudas.


Actualización: Me temo que los peores presagios se han confirmado. Cisco, tiene todo esto en punto muerto, http://etherealmind.com/cisco-securex-empty-words/
Robclav