Erkennt Anwendungen, nicht Ports200+
Fast alles ist HTTPS auf 443 — eine portbasierte Regel kann das nur ganz erlauben oder ganz sperren.
pfSense Plugin
Zedmos für pfSense®-Software
Dieselbe Engine und dieselben neun Seiten wie unter OPNsense, für pfSense paketiert. Ein Bestand mit beiden Plattformen wird einmal geschult und gleich betrieben.
Zedmos macht pfSense zur Next-Generation-Firewall
Die Firewall, die Sie heute betreiben, entscheidet nach Adresse und Port. Zedmos wird darin installiert und entscheidet danach, was der Verkehr tatsächlich ist, zu wem er gehört und was er transportiert — ohne zu ersetzen, was bereits funktioniert.
Was ist es?
Jeder Flow, nach Anwendung statt nach Port klassifiziert — der Verbindungs-Reiter ist das Rohmaterial für alles Weitere.
Von wem ist es?
Gerät, Kategorie und Hardware-Adresse in derselben Zeile wie der Flow — eine Policy kann so eine Person oder Gruppe statt einer Adresse nennen.
Ist es gefährlich?
Bedrohungen, Blocks und Virenfunde derselben Firewall, einen Reiter weiter — Signaturen und Intelligence, angewandt bevor die Sitzung weitergeleitet wurde.
Was transportiert es?
TLS-Sitzungen und KI-Aktivität: welche Dienste genutzt wurden, von wem, und was die Inhaltsprüfung im Gesendeten gefunden hat.
In der Konsole, die Sie hosten
Kunde, Standort und Firewall werden oben gewählt. Dieselbe Ansicht gibt es für jede Firewall im Bestand, gleich welche Plattform sie fährt.
Die ergänzten Funktionen
Gruppiert nach der Frage, die sie beantworten. Derselbe Umfang unter OPNsense, unter pfSense und auf Zedmos NGFW — eine Engine, ein Policy-Modell, drei Betriebsarten. Zu jedem gibt es eine ausführliche technische Darstellung unter Ressourcen.
Was ist dieser Verkehr wirklich?
TLS-Inspektion, gezielt eingesetzt
Aufbrechen, was Sie wollen; Banken- und Gesundheitsverkehr per Regel unangetastet lassen.
Client-Fingerprinting
JA3, JA4 und ALPN erkennen die Software hinter einer Sitzung auch unentschlüsselt.
QUIC und HTTP/3
Das Protokoll, auf das das Web umgezogen ist — sichtbar und steuerbar statt eine Lücke.
DNS über TLS und über HTTPS
Verschlüsselte Auflösung umgeht namensbasierte Regeln klassischer Firewalls. Diese nicht.
Live-Sitzungen, mit Begründung
Jeder Fluss live auf dem Bildschirm, mit Entscheidung und Auslöser.
Darf er durch?
Angriffserkennung und -abwehr
Signaturen inline auf derselben Appliance — ein Treffer ist eine Sperre, keine Morgenmeldung.
Täglich ausgelieferte Threat Intelligence26
Gesammelte und gegengeprüfte Indikatoren, verteilt an jede verwaltete Firewall.
Dateien im Transit geprüft
Anhänge und Downloads werden vor der Landung geprüft, nicht danach.
Sechzehn mögliche Regelaktionen16
Erlauben, protokollieren, drosseln, isolieren, zurücksetzen, verwerfen — und mehr, auf beiden Plattformen.
Was geben Mitarbeiter in KI ein?
Die Shadow-AI-Bestandsaufnahme
Welche Assistenten genutzt werden und von wem — beantwortet, ohne einen Prompt zu lesen.
Prompts vor dem Absenden geprüft
Quellcode, Zugangsdaten und regulierte Daten auf dem Weg nach draußen erkannt, nicht im Vorfallbericht.
Das Urteil fällt bei Ihnen im Haus
Deterministische Matcher plus lokales Modell. Inhalte wegzuschicken, um zu fragen, ob sie weg dürfen, ist ein Widerspruch.
Drei Betriebsarten, eine Engine
Beobachten; sensible Teile entfernen und umleiten; oder blockieren. Nur das Aktionsverb der Regel ändert sich.
Jeder Assistent, auch Ihrer
ChatGPT, Claude, Gemini, Copilot, Perplexity, Mistral — und ein selbst deklarierter interner Endpunkt.
Handelt ein Agent auf eigene Faust?
Wer wirklich an der Tastatur sitzt
Browser, SDK oder Skript, autonomer Agent, MCP-Client oder nichts davon — jede Anfrage wird einer Klasse zugeordnet, bevor eine Aktion gewählt wird.
Erkannt an dem, was sie sendet
Der User-Agent, die Form des Anfrage-Umschlags und die aufgerufene Adresse — ein reiner API-Endpunkt und eine Chat-Oberfläche werden unterschieden.
Werkzeugaufrufe sind eine eigene Entscheidung
Eine Anfrage mit Werkzeug-Definitionen, -Aufrufen oder -Ergebnissen macht aus einem Assistenten etwas, das handelt. Sie kann allein deshalb erlaubt, protokolliert oder abgelehnt werden.
Nicht freigegebene Anbieter, per Skript erreicht
Programmatischer Zugriff auf einen nicht freigegebenen Anbieter ist ein eigener Fall — getrennt davon, dass jemand dieselbe Seite im Browser öffnet.
Markiert, nicht stillschweigend verworfen
Markieren leitet die Anfrage weiter und protokolliert sie mit Grund und Vertraulichkeitsklasse auf der KI-Aktivitätsseite — eine Klasse lässt sich so erst eine Woche beobachten, bevor jemand sie blockt.
Verlassen vertrauliche Daten das Haus?
Detektoren, die Sie bewusst aktivieren61
Kartennummern, Secrets, Gesundheits- und Finanzdaten sowie nationale Ausweisformate aus 22 Ländern.
Uploads und Nachrichten
Eine an ein Formular angehängte Datei und ein in einen Chat kopierter Absatz sind dasselbe Risiko.
Eine begründbare Sperre
Das Protokoll nennt Regel, Fund und Stelle — ohne den Inhalt selbst aufzubewahren.
Fail-closed, wo es zählt
Eine Kontrolle, die bei Unklarheit durchlässt, ist auf dem entscheidenden Pfad keine Kontrolle.
Wer und was ist im Netz?
Geräte werden erkannt — und bewertet
Ein verwaltetes Notebook und ein privates Telefon teilen ein Subnetz und sehen für Adressregeln gleich aus. Für ein registriertes Remote-Gerät sagt Ihr eigenes Intune oder CrowdStrike, ob es gesund ist.
Nutzer und Gruppen aus Ihrem Verzeichnis
Active Directory, Entra ID oder SCIM — und für eine Remote-Person Ihr eigener OpenID-Connect-Provider bei der Registrierung. Eine Berechtigung folgt der Person, nicht dem DHCP-Lease.
Isolieren, ohne abzuschneiden
Ein auf das Nötigste beschränktes Gerät bleibt reparierbar.
Policy nach Zone und Zeitplan
Andere Regeln für Gastnetz, Serversegment und außerhalb der Geschäftszeiten.
Wohin soll er, und was ist passiert?
Jeder Fluss über die richtige Leitung
Bewertet nach Verlust, Latenz und Jitter — eine laufende Leitung mit Paketverlust ist nicht gesund.
Verschlüsseltes Overlay zwischen Standorten
WireGuard, OpenVPN oder GRE in vier Formen — ein Hub, ein Hub-Paar, direkte Tunnel zwischen Spokes, Full Mesh — aus einer Topologie-Ansicht bereitgestellt statt je Firewall handgebaut.
Regeln ändern sich ohne Neustart
Eine Policy-Änderung greift, ohne ein Paket zu verwerfen oder eine Sitzung zu unterbrechen.
Ein Feed, den Ihr SOC bereits liest
Reports und Live-Sitzungen am Bildschirm, dazu CEF, LEEF oder Syslog über TLS an Ihr System.
Was derzeit ausgeliefert wird
Aus den Paket-Repositories übernommen statt in diese Seite getippt — damit es nicht so veraltet wie eine handgepflegte Versionsangabe.
- Zedmos for OPNsensePlugin, aus dem Paket-Repository
- 26.10.1_101
- Zedmos for pfSensePlugin, aus dem Paket-Repository
- 26.10.1_101
- Zero Trust ConsoleSelbst betrieben, von Ihnen installiert
- 1.3.0
Konsole und Firewall werden unabhängig veröffentlicht, ihre Nummern laufen also nicht parallel. Welche Version jede Ihrer Firewalls fährt, steht in Ihrer Konsole.
In pfSense
Dashboard · 1 von 6
Zustand von Engine und Diensten, häufigste Bedrohungen, Anwendungen und Geräte — dargestellt in der pfSense-Oberfläche, die Ihr Team bereits kennt.
Ersatz für etwas, das schon im Rack steht
Eine Seite je Bestandsanbieter, aufgebaut aus dessen eigenen Unterlagen und öffentlichen Aufzeichnungen — Lizenzierung, Lebenszyklus, Verwaltung, Rechtsordnung und Schwachstellenbilanz, jede Zeile mit Quelle.
FortinetFortiGateSophosSophos Firewall (XGS)Palo Alto NetworksPA-Series, PAN-OS, PanoramaSonicWallTZ, NSa, SonicOS, NSMWatchGuardFirebox, Fireware, WatchGuard CloudCisco MerakiMX, Meraki DashboardCheck PointQuantum, Smart-1, Infinity PortalZscalerZero Trust Exchange, ZIA, ZPACato NetworksCato SASE Cloud, SocketsAlle Vergleiche
Im Detail nachlesen
Diese Seite führt das Argument. Die folgenden sagen, wie es tatsächlich gemacht wird — Bildschirm für Bildschirm, Einstellung für Einstellung.
Wie es weitergeht
Fragen und Antworten
Was ergänzt das Zedmos-Paket auf pfSense?
Dieselbe Engine und dieselben neun Seiten wie unter OPNsense: Anwendungskontrolle, Angriffserkennung und -abwehr, TLS-Inspektion, Data Loss Prevention, ein AI Gateway, anwendungsbezogenes Routing über Uplinks und zentrale Verwaltung aus der Zero Trust Console.
Welche pfSense-Edition unterstützt Zedmos?
pfSense CE. Das Paket wird aus einem Repository installiert, erscheint in der Oberfläche, die Ihr Team bereits nutzt, und lässt sich in einem Schritt deinstallieren.
Verändert Zedmos meine pfSense-Konfiguration?
Nein. Bestehende Firewall-Regeln, Schnittstellen, NAT und VPNs bleiben unangetastet. Zedmos ergänzt Inspektion und Policy darüber; nichts wird importiert oder konvertiert.
Kann ich später vom pfSense-Paket zu Zedmos NGFW wechseln?
Ja. Zedmos NGFW ist dieselbe Engine als vollständige Firewall auf ZedmOS, vom Image auf x86-Hardware installiert, verwaltet aus derselben Konsole mit demselben Policy-Modell.
Demo & Preise: info@zedmos.com
Demo anfragen