Cisco Umbrella Intelligent Proxy: releasedatum, EOL-tijdlijn en wat het vervangt
De Cisco Umbrella Intelligent Proxy werd in januari 2014 gelanceerd door OpenDNS, achttien maanden voordat Cisco het bedrijf overnam. De dienst is vandaag de dag nog steeds actief, maar wordt geleidelijk afgebouwd: de oudere pakketten waarin de dienst was opgenomen, worden sinds 30 september 2025 niet meer verkocht en de softwareondersteuning hiervoor loopt af op 30 september 2026, terwijl de verkoop van de huidige DNS- en SIG-pakketten op 31 januari 2027 wordt beëindigd. Cisco Secure Access, de aangewezen opvolger, bevat geen selectieve proxy.
Dat is het volledige antwoord, en het is opmerkelijk moeilijk te vinden. In de beheerhandleidingen van Cisco wordt uitgelegd hoe de functie werkt, zonder te vermelden wanneer deze is geïntroduceerd. Encyclopedie-artikelen vermelden de lancering in 2014, maar geven geen context over de levenscyclus. In berichten van concurrenten over migratie wordt wel ingegaan op het buiten gebruik stellen van de Roaming Client, maar wordt de proxy-engine volledig overgeslagen. Niemand zet de releasedatum, de omvang van het pakket en de end-of-life-status op één pagina.
Hieronder vind je die pagina, plus het gedeelte dat daadwerkelijk van invloed is op jouw week: wat de selectieve proxy namens jou controleerde, en wat nu die taak moet overnemen.
Wat de Intelligent Proxy eigenlijk doet
De Intelligent Proxy bevindt zich tussen filtering op DNS-niveau en een volledige inline beveiligde webgateway. Het systeem is ontwikkeld om een kostenprobleem op te lossen: het via een proxy leiden van al het webverkeer van een onderneming kost veel bandbreedte en rekenkracht; daarom wordt alleen het twijfelachtige verkeer via een proxy geleid en wordt al het overige verkeer op de gebruikelijke manier omgezet.
Wanneer een eindpunt dat gebruikmaakt van Umbrella een domein omzet, toetsen de Anycast-resolvers van Cisco dit aan de hand van Talos-bedreigingsinformatie en delen ze het in een van de volgende drie trajecten in:
- Bekend als goedaardig. Grote CDN’s, gerenommeerde zakelijke platforms en interne hosts worden rechtstreeks naar hun officiële IP-adressen omgeleid. De client maakt rechtstreeks verbinding en ondervindt helemaal geen vertraging door de proxy.
- Bekend als schadelijk. Command-and-control-infrastructuur, phishingservers en knooppunten voor de verspreiding van malware worden op DNS-niveau geblokkeerd. De resolver geeft het adres van een Umbrella-blokkeerpagina terug en de sessie wordt beëindigd voordat er een TCP-verbinding tot stand komt.
- Grijs. Niet-gecategoriseerde domeinen, nieuw geregistreerde domeinen en multi-tenant hostingplatforms waar goede en slechte inhoud hetzelfde adres delen. Hier retourneert de resolver een Anycast-proxyadres binnen het 146.112.0.0/16-blok van Cisco, en stuurt de browser zijn HTTP- of HTTPS-handshake in plaats daarvan naar de proxy.
Op dat derde pad controleert de proxy de volledige URI in plaats van alleen het domein, zodat examplegrey.com/report.pdf en examplegrey.com/payload.exe verschillend kunnen worden behandeld. Wanneer bestandscontrole is gelicentieerd, worden downloads eruit gefilterd en vergeleken met Talos-informatie via een hash; onbekende binaire bestanden worden ter sandboxing doorgestuurd. En als het ‘grijze’ verkeer via HTTPS verloopt, vereist diepgaande inspectie SSL-decryptie. Dit betekent dat de Cisco Umbrella Root CA in de vertrouwensopslag van elk beheerd eindpunt moet worden geïnstalleerd, zodat de proxy de sessie kan beëindigen en opnieuw kan ondertekenen.
Waar het ontwerp ophoudt
De afweging die selectief proxying goedkoop heeft gemaakt, is dezelfde die het ook beperkt. Vier blinde vlekken zijn structureel van aard en geen configuratiefouten, en het is de moeite waard om deze te begrijpen voordat je gaat beoordelen waarmee deze functie moet worden vervangen.
Alleen standaard webpoorten. De controle geldt voor TCP 80 en TCP 443. Verkeer dat gericht is op poort 8080, 8443 of een niet-HTTP-protocol via een raw socket, wordt via DNS omgeleid en komt nooit in aanraking met de proxy.
De reputatie is doorslaggevend, nog voordat er een inspectie plaatsvindt. Het model is volledig afhankelijk van de juistheid van de grijze lijst. Malware of een phishingformulier dat wordt gehost op SharePoint, Google Drive of GitHub bevindt zich achter een domein dat Umbrella als onschadelijk beschouwt, waardoor de verzoek rechtstreeks naar de hostingprovider wordt doorgestuurd en de payload nooit wordt gecontroleerd. Dit is geen uitzonderingsgeval; zo werkt een groot deel van de moderne distributie.
Geen controle van uitgaande gegevens. Omdat verkeer naar vertrouwde domeinen nooit wordt onderschept, wordt uitgaand verkeer op geen enkele manier gecontroleerd. HTTP POST-body’s naar clouddiensten van het bedrijf zijn onzichtbaar, er kan geen onderscheid worden gemaakt tussen persoonlijke en zakelijke tenants van hetzelfde SaaS-platform, en het plakken van intern materiaal in een niet-goedgekeurde webtool laat op dit niveau geen sporen achter.
Versleutelde DNS omzeilt dit. Het hele model gaat ervan uit dat u de naamomzetting beheert. Een browser waarbij DNS over HTTPS is ingesteld op een openbare resolver, omzeilt de lokale DNS-configuratie volledig, en tenzij u bekende DoH-eindpunten en poort 853 aan de perimeter blokkeert, krijgt Umbrella de query nooit te zien. Zoals een netwerkingenieur het in een community-discussie verwoordde: „Als je beveiliging volledig afhankelijk is van het bezit van poort 53, maakt de moderne browserversleuteling je in feite blind.”
Tijdlijn voor releases en wijzigingen
| Datum | Mijlpaal | Wat is er veranderd |
|---|---|---|
| november 2012 | OpenDNS Umbrella wordt gelanceerd | Beveiligingsplatform voor bedrijven op DNS-niveau |
| februari 2013 | Beveiligingsgrafiek | De laag met informatie over bedreigingen achter de resolvers |
| Januari 2014 | Algemene beschikbaarheid van Intelligent Proxy | Selectieve proxying van grijze domeinen geïntroduceerd |
| augustus 2015 | Cisco neemt OpenDNS over | Naar verluidt voor 635 miljoen dollar |
| november 2016 | Naamswijziging naar Cisco Umbrella | Wijziging van de productnaam |
| februari 2017 | Umbrella SIG van start | Volledig cloudgebaseerde, beveiligde webgateway in combinatie met DNS |
| augustus 2017 | Cloudbestandscontrole | Antivirus- en AMP-scans toegevoegd aan sessies via een proxy |
| mei 2018 | SSL-decodering algemeen beschikbaar | Grondige inspectie van HTTPS-grijs verkeer, root-CA vereist |
| 31 juli 2022 | Handhaving op IP-laag stopgezet | Handhaving van callbacks voor roamingclients verplaatst naar SWG-tunnels of DNS |
| 2 april 2024 | Einde levensduur van Roaming Client aangekondigd | Standalone-client en OpenDNS-consumentenniveaus worden stopgezet |
| 2 april 2025 | Einde van de ondersteuning voor Roaming Client | Migratie naar Cisco Secure Client vereist |
| 18 juni 2025 | Bulletin EOL15688 gepubliceerd | Oude Umbrella-niveaus officieel buiten gebruik gesteld |
| 30 september 2025 | Einde verkoop, oude SKU’s | Laatste datum om Insights, Platform of Professional aan te schaffen of te verlengen |
| 30 september 2026 | Einde van softwareonderhoud, verouderde SKU’s | Laatste onderhoudsreleases en technische oplossingen |
| 1 september 2026 | DNS en SIG EOL aangekondigd | Huidige Umbrella-pakketten krijgen een einddatum |
| 31 januari 2027 | Einde verkoop, Umbrella DNS en SIG | Laatste dag om de huidige SKU’s aan te schaffen |
| 31 januari 2028 | Einde van verlenging, DNS en SIG | Uiterste datum voor het verlengen van een bestaand abonnement |
| 31 januari 2029 | Laatste datum voor ondersteuning, DNS en SIG | TAC-ondersteuning en cloudrechten worden beëindigd |
| 30 september 2030 | Laatste datum van ondersteuning, verouderde SKU’s | Oude abonnementen volledig verouderd |
Laatst gecontroleerd: september 2026. Bronnen: Cisco-bulletin over het einde van de levensduur EOL15688, Cisco’s kennisgeving over het einde van de levensduur van Umbrella DNS en SIG van 1 september 2026, en het bulletin over het einde van de levensduur van de Cisco Umbrella Roaming Client, allemaal te vinden op cisco.com.
Welke pakketten bevatten de proxy, en waar bevinden ze zich?
Niet elk Umbrella-niveau bevat de Intelligent Proxy, en de niveaus die dat wel doen, hebben niet allemaal dezelfde tijdschema’s. Deze tabel bepaalt of je een deadline hebt over drie weken of over zestien maanden.
| Verpakking | Inclusief intelligente proxy | Einde van de uitverkoop | Beëindiging van het softwareonderhoud | Laatste datum van ondersteuning | De door Cisco aangewezen vervanger |
|---|---|---|---|---|---|
| Umbrella Insights (UMB-INSIGHTS-K9) | Ja, met SSL-ontcijfering en bestandscontrole | 30 september 2025 | 30 september 2026 | 30 september 2030 | Voordelen van Umbrella DNS Security |
| Parapluplatform (UMB-PLATFORM-K9) | Ja, en daarnaast API’s voor bedreigingen | 30 september 2025 | 30 september 2026 | 30 september 2030 | Voordelen van Umbrella DNS Security |
| Umbrella Professional (UMB-PROFESSIONAL) | Nee, alleen DNS-filtering | 30 september 2025 | 30 september 2026 | 30 september 2030 | Umbrella DNS Security Essentials |
| Umbrella DNS Security Essentials (UMB-DNS-ESS-K9) | Nee, alleen DNS-filtering | 31 januari 2027 | 31 januari 2027 | 31 januari 2029 | Cisco Secure Access DNS: de basisbeginselen |
| Umbrella DNS Security Advantage (UMB-DNS-ADV-K9) | Ja, met SSL-ontcijfering en bestandscontrole | 31 januari 2027 | 31 januari 2027 | 31 januari 2029 | Cisco Secure Access DNS Advantage |
| Umbrella SIG Essentials (UMB-SIG-ESS-K9) | Volledig cloudgebaseerde SWG, niet selectief | 31 januari 2027 | 31 januari 2027 | 31 januari 2029 | Veilige toegang – Basisprincipes van internettoegang |
| Voordelen van de Umbrella SIG | Volledig cloudgebaseerde SWG, niet selectief | 31 januari 2027 | 31 januari 2027 | 31 januari 2029 | Veilige toegang – Voordelen van internettoegang |
| Umbrella Roaming Client (standalone) | Alleen endpoint-agent | 2 april 2024 | 2 april 2025 | 2 april 2025 | Cisco Secure Client, Umbrella-module |
Twee rijen verdienen speciale aandacht. Als u gebruikmaakt van Insights of Platform, loopt het technische onderhoud voor uw abonnement deze maand af, op 30 september 2026, ook al loopt de ondersteuning formeel door tot 2030. En Cisco Secure Access, het eindpunt van elk migratietraject in de rechterkolom, stopt volledig met selectieve proxying. Er is geen gelijkwaardige vervanging voor deze functie. Dat is het kernpunt van dit hele artikel.
Wat betreft de bredere migratietrajecten vanuit verouderde Umbrella-niveaus hebben we de opties behandeld in het artikel “>een vervangingsplan van zestig dagen.
Wat komt in de plaats van selectieve proxying?
In moderne architecturen is de taak die de Intelligent Proxy vervulde, opgesplitst in drie functies, en we moeten eerlijk toegeven dat elk van deze functies kosten met zich meebrengt die in het oude ontwerp werden vermeden.
| Intelligente proxy (selectief) | Inline cloud-beveiligde webgateway | |
|---|---|---|
| Hoe verkeer wordt onderschept | Omleiding van grijze domeinen op DNS-niveau | Endpoint-proxydriver, PAC-bestand of IPsec/GRE-tunnel |
| Percentage van het gecontroleerde webverkeer | Alleen domeinen die als grijs zijn geclassificeerd | Al het uitgaande HTTP- en HTTPS-verkeer |
| Poorten en protocollen | Alleen TCP 80 en 443 | Alle webpoorten; firewall-as-a-service dekt andere IP-protocollen |
| Controle van uitgaande gegevens | Geen | Inhoudscontrole, patroonherkenning, bestandsvingerafdrukken |
| Beheer van SaaS-tenants | Blokkeren of toestaan op domeinniveau | Inline CASB met tenantbeperking |
| Niet-vertrouwde websites | Proxy en inspecteren, of blokkeren | Browserisolatie op afstand in een tijdelijke container |
| Latentie | Verwaarloosbaar voor het meeste verkeer | Continu, afhankelijk van de afstand tot het dichtstbijzijnde point of presence |
| Certificaatvoetafdruk | Root CA vereist voor grijze sites; storingen blijven beperkt tot die sites | Universele root-CA; certificaatstoringen hebben invloed op alle browsen |
Als je die tabel eerlijk bekijkt, blijkt dat een permanente inspectie de blinde vlekken wegneemt, maar in plaats daarvan twee echte operationele problemen met zich meebrengt.
De eerste is het mislukken van de decodering. Universele TLS-inspectie beëindigt elke versleutelde sessie aan de beveiligingsrand, en applicaties met strikte certificaatpinning wijzen een door de proxy gegenereerd certificaat zonder meer af. Bankportalen, command-line tools voor ontwikkelaars, synchronisatieclients en update-daemons voor mobiele besturingssystemen vallen allemaal in deze categorie, en het actueel houden van een bypass-lijst is een permanente technische taak in plaats van een eenmalige configuratietaak.
Het tweede punt geldt specifiek voor Europa en is de reden waarom „gewoon alles inspecteren” hier geen volledig antwoord is. Volledige TLS-inspectie raakt rechtstreeks aan de AVG en aan de nationale arbeidswetgeving. Op grond van artikel 88 van de AVG en de regelingen inzake ondernemingsraden in België en Duitsland is het ontcijferen van persoonlijke communicatie, onlinebankieren of sessies in de gezondheidszorg zonder expliciete rechtvaardiging niet iets wat je zomaar kunt inschakelen. NIS2 en DORA voegen hieraan de eis toe dat gedecodeerde payloads, URL-parameters die persoonsgegevens bevatten en logbestanden met gebruikersidentificatie binnen de jurisdictie van de EU moeten blijven. Een in de VS gehoste inspectiestack maakt dat een moeilijker gesprek dan nodig is.
Hier bewijst browserisolatie op afstand zijn nut, in plaats van slechts een leuke extra te zijn. In plaats van een niet-gecategoriseerde website te ontsleutelen om deze te inspecteren, wordt de sessie uitgevoerd in een wegwerpbare cloudcontainer en bereikt alleen gezuiverde visuele output het eindpunt. Er komt geen onbetrouwbare code in aanraking met het apparaat en er is geen TLS-beëindiging nodig voor het dubbelzinnige verkeer. Het lost precies het probleem op waarvoor de grijze lijst is bedacht, zonder de overhead van certificaten en privacy.
Het platform van Jimber is voor middelgrote bedrijven in de EU opgebouwd rond die combinatie: een altijd actieve, “>browserisolatie op afstand voor het verkeer dat niet mag worden ontsleuteld, en gegevensverwerking onder EU-soevereiniteit, zodat de privacykwestie een eenduidig antwoord krijgt. Als u een meer diepgaande architecturale vergelijking wilt, hebben we deze uiteengezet in “>DNS-filtering voor het middensegment“.
Wat een middelgrote parapluwinkel eigenlijk moet opbouwen
Teams onderschatten deze migratie op vijf specifieke punten, en geen daarvan heeft betrekking op het beveiligingsbeleid zelf.
Vertaling van beleidsdocumenten. Paraplu-beleidsregels zijn grofmazig: ze bestaan uit categorielijsten en domeinregels die toegang toestaan of blokkeren. Een inline gateway werkt op basis van URL-paden, HTTP-methoden en applicatiebeperkingen. Het omzetten van het ene naar het andere is geen simpele kopieeractie, en de onderlinge afhankelijkheden tussen de regels worden pas zichtbaar als je het daadwerkelijk probeert.
Identiteit. Bij de implementatie van Umbrella wordt doorgaans gebruikgemaakt van virtuele Active Directory-apparaten die de gebeurtenislogboeken van domeincontrollers analyseren. Cloud-native platforms verwachten SCIM- en SAML-federatie met Entra ID of Okta. De migratie brengt alle achterstanden in je directorys aan het licht: geneste groepen, verouderde accounts, limieten voor het aantal groepen.
Uitrol van eindpunten. De overstap van een lichtgewicht roamingmodule naar een agent die het verkeer onderschept en een rootcertificaat installeert, brengt herstarts, mogelijke conflicten met andere netwerkfilterdrivers en een stapsgewijze MDM-implementatie met zich mee. Plan dit als een geleidelijke uitrol, niet als een eenmalige update.
Pagina’s blokkeren. Umbrella leidt door naar een Anycast-blokkeringsserver. Een inline-gateway voegt de blokkeringspagina toe aan de actieve sessie; dit werkt alleen naar behoren als het hoofdcertificaat aanwezig is. Als dat niet het geval is, krijgt de gebruiker een beveiligingswaarschuwing van de browser te zien in plaats van uw bericht, en krijgt de servicedesk een melding.
Houtkapvolume. Dit heeft meer te maken met financiën dan met techniek. DNS-querylogboeken zijn klein: tijdstempel, identiteit, domein, status. Transactielogboeken van webproxyservers bevatten volledige URL’s, headers, MIME-types en bestands-hashes, en de toename in volume is zo aanzienlijk dat dit de opnamekosten voor SIEM wezenlijk beïnvloedt. Maak eerst een model voordat je een bewaarbeleid vaststelt.
Wat dit voor jou betekent
Als u Umbrella Insights of Platform gebruikt, loopt uw technische onderhoudsovereenkomst af op 30 september 2026 en heeft uw selectieve proxy geen directe opvolger in het eigen portfolio van Cisco. Als u DNS Security Advantage gebruikt, heeft u tot 31 januari 2027 de tijd voordat de verkoop wordt beëindigd en nog een jaar om te verlengen. Dit is voldoende tijd om een gedegen evaluatie uit te voeren in plaats van een overhaaste.
Hoe dan ook, de architecturale keuze is dezelfde, en het gaat niet om de vraag “welke Umbrella-laag nu”. Selectieve proxying wordt als categorie afgeschaft, niet als product. Wat ervoor in de plaats komt, is een keuze tussen volledige inline-inspectie, isolatie van het dubbelzinnige verkeer, of beide, en in een EU-context is het net zo belangrijk dat die sessies worden gedecodeerd en opgeslagen als dat ze worden geïnspecteerd.
We leggen u graag uit hoe uw huidige pakket van Umbrella-polissen er op een inline-platform uit zou zien, inclusief de onderdelen die niet naadloos kunnen worden overgezet. “>neem contact met ons op.
Veelgestelde vragen
Wanneer komt de Cisco Umbrella Intelligent Proxy op de markt?
De Cisco Umbrella Intelligent Proxy werd in januari 2014 gelanceerd door OpenDNS, achttien maanden voordat Cisco het bedrijf overnam. Hiermee werd selectieve proxying geïntroduceerd: verdachte of niet-gecategoriseerde „grijze“ domeinen worden doorgestuurd naar cloudproxies voor controle, terwijl onschadelijk DNS-verkeer direct kan worden omgezet zonder extra vertraging.
Wanneer loopt de levensduur van de Cisco Umbrella Intelligent Proxy af?
Het wordt stapsgewijs uitgefaseerd. Oudere pakketten die de proxy bevatten, zijn sinds 30 september 2025 niet meer te koop en de softwareondersteuning hiervoor loopt af op 30 september 2026. De huidige DNS- en SIG-pakketten zijn sinds 31 januari 2027 niet meer te koop, en de ondersteuning hiervoor loopt af op 31 januari 2029.
Bevat Cisco Secure Access de Intelligent Proxy?
Nee. Cisco Secure Access maakt geen gebruik meer van de selectieve proxy. In plaats van grijze domeinen op DNS-niveau om te leiden, leidt het de datastromen naar een volledige Security Service Edge-architectuur met behulp van inline inspectie via een beveiligde webgateway, browserisolatie op afstand of standaardfiltering op DNS-niveau.
Wat is een selectieve proxy in DNS-beveiliging?
Een selectieve proxy onderschept webverkeer op basis van de reputatie van het domein. Onschadelijke websites worden normaal geladen zonder dat er een proxy in het pad zit, bevestigd schadelijke websites worden op DNS-niveau geblokkeerd en domeinen die als risicovol of ongecategoriseerd zijn gemarkeerd, worden omgeleid naar een cloudproxy voor een grondiger controle van de URL en eventuele bestanden.
Waarom heeft de Intelligent Proxy een rootcertificaat nodig?
Omdat het als een ‘man-in-the-middle’ fungeert om HTTPS-verkeer op grijze domeinen te ontsleutelen. Als de Cisco Umbrella Root CA niet in de certificaatopslagplaatsen van de eindpunten is geïnstalleerd, wijzen browsers de door de proxy opnieuw ondertekende verbinding af en tonen ze waarschuwingen over onbetrouwbare certificaten in plaats van de pagina, waardoor de toegang volledig wordt geblokkeerd.
Controleert de Intelligent Proxy het verkeer als SSL-decodering is uitgeschakeld?
Slechts gedeeltelijk. Als decodering is uitgeschakeld, controleert het URL-paden en payloads op onversleuteld HTTP-verkeer op poort 80. Bij HTTPS op poort 443 kan het het domein zien via Server Name Indication en de eerste handshake, maar het kan geen volledige URI-paden of queryparameters beoordelen, noch bestandsscans uitvoeren.
Kunnen beheerders de grijze lijst van Cisco Umbrella bewerken?
Nee. De grijze lijst wordt dynamisch samengesteld door Cisco Talos en kan niet rechtstreeks worden bekeken, bewerkt of aangepast. Beheerders kunnen het gedrag alleen overschrijven door domeinen toe te voegen aan aangepaste algemene toelatings- of blokkeerlijsten, waardoor deze domeinen worden vrijgesteld van alle beleidsregels en niet alleen van het proxy-gebruik.
Waarom blokkeert de Intelligent Proxy geen schadelijke links in Microsoft 365 of Google Workspace?
Cloudplatforms met een uitstekende reputatie worden als onschadelijk aangemerkt, zodat de belangrijkste workflows geen last hebben van proxy-vertraging. DNS-verzoeken worden rechtstreeks omgezet naar adressen van Microsoft of Google en omzeilen de controle volledig. Om schadelijke bestanden die op deze platforms worden gehost te blokkeren, is een inline beveiligde webgateway of een op API’s gebaseerde CASB-integratie nodig.
Wat is de opvolger van de Cisco Umbrella Roaming Client?
De zelfstandige Roaming Client is vervangen door de Cisco Secure Client met de Umbrella-roamingbeveiligingsmodule. Het softwareonderhoud en de ondersteuning voor de zelfstandige client zijn op 2 april 2025 beëindigd, waardoor elk eindpunt waarop deze client nog draait al meer dan een jaar niet meer wordt ondersteund.
Wat is het verschil tussen de selectieve proxy en browserisolatie op afstand?
De selectieve proxy verbreekt de verbinding, controleert de URL en de payload en stuurt vervolgens de inhoud door naar de lokale browser voor uitvoering. Bij isolatie van de externe browser wordt de volledige sessie uitgevoerd in een wegwerpbare cloudcontainer en wordt alleen de visuele uitvoer doorgestuurd, zodat onbetrouwbare code het eindpunt nooit bereikt.