Check Point R80.10 API. Управление през CLI, скриптове и не само.

Сигурен съм, че всеки, който е работил с Check Point, е имал оплакване относно невъзможността за редактиране на конфигурацията от командния ред. Това е особено трудно за тези, които преди това са работили с Cisco ASA, където абсолютно всичко може да бъде настроено в CLI. При Check Point всичко е обратно — всички настройки по сигурността се извършват изключително от графичния интерфейс. Въпреки това, някои неща не са удобни за правене чрез GUI (дори толкова удобен, колкото на Check Point). Например, задачата за добавяне на 100 нови хостове или мрежи се превръща в дълга и досадна процедура. За всеки обект е необходимо многократно да щракнете с мишката и да въведете IP адреса. Същото важи за създаването на групи сайтове или масово включване/изключване на IPS сигнатури. При това има голяма вероятност да допуснете грешка.

Относително скоро се случи "чудо". С излизането на новата версия Gaia R80 бе анонсирана възможността да се използва API, което отваря широки възможности за автоматизация на настройките, администриране, мониторинг и т.н. Сега можете да:

• създавате обекти;
• добавяте или редактирате access-list-ове;
• включвате/изключвате блейдове;
• настройвате мрежови интерфейси;
• инсталирате политики;
• и много други.

Ако честно, не разбирам как тази новина премина покрай Хабра. В тази статия накратко ще опишем как да използваме API и ще предоставим няколко практически примера за настройка на Check Point с помощта на скриптове.

Искам да уточня, че API се използва само за Management сървър. Т.е. управлението на шлюзите без Management сървър все още е невъзможно.

На кого изобщо може да е полезен този API?

1. Системни администратори, които искат да опростят или автоматизират рутинни задачи по настройка на Check Point;
2. Компании, които искат да интегрират Check Point с други решения (виртуализационни системи, тикет системи, системи за управление на конфигурации и др.);
3. Системни интегратори, които искат да стандартизират настройките или да създадат допълнителни продукти, свързани с Check Point.

Типова схема

И така, представяме типова схема с Check Point:

Както обикновено, имаме шлюз (SG), управляващ сървър (SMS) и конзола на администратора (SmartConsole). Обичайният процес на настройка на шлюза изглежда по следния начин:

Т.е. първо е необходимо на компютъра на администратора да стартирате SmartConsole, с която се свързваме с Management-сървъра (SMS). На SMS се прилагат настройки за сигурност, а след това се прилагатинсталационни политики) на шлюза (SG).

При използване на Management API, принципно можем да пропуснем първата точка (стартиране на SmartConsole) и да прилагаме API команди директно към Management-сървъра (SMS).

Начини за използване на API

За редактиране на конфигурацията с използването на API има четири основни начина:

1) С помощта на утилитата mgmt_cli

Пример — # mgmt_cli add host name host1 ip-address 192.168.2.100
Тази команда се стартира от командния ред на Management-сървъра (SMS). Мисля, че синтаксисът на командата е ясен — създава се host1 с адрес 192.168.2.100.

2) Въвеждане на API команди чрез clish (в режим expert)

По същество, всичко което трябва да направите, е да се логнете в командния ред (mgmt login) с акаунт, който се използва при свързване през SmartConsole (или root-акаунт). След това можете да въвеждате API команди (в този случай не е необходимо да използвате утилитата mgmt_cli). Можете да създавате пълноценни BASH скриптове. Пример за скрипт, който създава хост:

Bash скрипт

#!/bin/bash

main() {
    clear

    #LOGIN (don't ask for username and password, user is already logged in to Management server as 'root' user)
    mgmt_cli login --root true > id_add_host.txt
    on_error_print_and_exit "Error: Failed to login, check that the server is up and running (run 'api status')"

    #READ HOST NAME
    printf "Enter host name:n"
    read -e host_name
    on_empty_input_print_and_exit "$host_name" "Error: The host's name cannot be empty."

    #READ IP ADDRESS
    printf "nEnter host IP address:n"
    read -e ip
    on_empty_input_print_and_exit "$ip" "Error: The host's IP address cannot be empty."

    #CREATE HOST
    printf "Creating new host: $host_name with IP address: $ipn"
    new_host_response=$(mgmt_cli add host name $host_name ip-address $ip -s id_add_host.txt 2> /dev/null)
    on_error_print_and_exit "Error: Failed to create host object. n$new_host_response"

    #PUBLISH THE CHANGES
    printf "nPublishing the changesn"
    mgmt_cli publish --root true -s id_add_host.txt &> /dev/null
    on_error_print_and_exit "Error: Failed to publish the changes."

    #LOGOUT
    logout
	
	printf "Done.n"
}

logout(){
	mgmt_cli logout --root true -s id_add_host.txt &> /dev/null
}

on_error_print_and_exit(){
    if [ $? -ne 0 ]; then
        handle_error "$1" 
	fi
}

handle_error(){
    printf "n$1n" #print error message
    mgmt_cli discard --root true -s id_add_host.txt &> /dev/null
    logout
    exit 1
}

on_empty_input_print_and_exit(){
	if [ -z "$1" ]; then
		printf "$2n" #print error message
		logout
		exit 0
	fi
}

# Script starts here. Call function "main".
main

Ако ви интересува, можете да видите съответното видео:

3) Чрез SmartConsole, отваряйки прозорец CLI

Всичко, което трябва да направите, е да стартирате прозорец CLI направо от SmartConsole, както е показано на картинката по-долу.

В този прозорец можете веднага да започнете да въвеждате API команди.

4) Уеб услуги. Използване на HTTPS Post заявка (REST API)

Смятаме, че това е един от най-проспективните начина, тъй като позволява "изграждането" на цели приложения за управление на сървъра за управление (извинете за тавтологията). По-долу ще разгледаме този метод малко по-подробно.

Ако обобщим:

1. API + cli повече подхожда за хора, които са свикнали с Cisco;
2. API + shell за изпълнение на скриптове и рутинни задачи;
3. REST API за автоматизация.

Активиране на API

По подразбиране, API е активиран на мениджмънт сървъри с RAM над 4Гб и самостоятелни конфигурации с RAM над 8Гб. Проверете статуса с командата: api status

Ако се окаже, че API е изключен, е доста лесно да го активирате през SmartConsole: Manage & Settings > Blades > Management API > Advanced Settings

След това публикувайте (Publish) промените и изпълнете командата api restart.

Web заявки + Python

За изпълнение на API команди можете да използвате Web заявки с прилагане на Python и библиотеки requests, json. В общ вид структурата на web заявката се състои от три части:

1) Адрес

(https://<мениджмънт сървър>:<порт>/web_api/<команда>) 

2) HTTP Заглавия

content-Type: application/json
x-chkp-sid: <сесионен ID токен, получен от командата за логин>

3) Пейлоуд на заявката

Текст в формате JSON, содержащий различные параметры

Пример за извикване на различни команди:

def api_call(ip_addr, port, command, json_payload, sid):
    url = 'https://' + ip_addr + ':' + str(port) + '/web_api/' + command
    if sid == '':
        request_headers = {'Content-Type' : 'application/json'}
    else:
        request_headers = {'Content-Type' : 'application/json', 'X-chkp-sid' : sid}
    r = requests.post(url, data=json.dumps(json_payload), headers=request_headers, verify=False)
    return r.json()                                        
'xxx.xxx.xxx.xxx' -> IP адрес GAIA

Ще представим няколко типови задачи, с които най-често се срещаме при администриране на Check Point.

1) Пример за функции за авторизация и изход:

Скрипт

    payload = {'user': 'your_user', 'password' : 'your_password'}
    response = api_call('xxx.xxx.xxx.xxx', 443, 'login', payload, '')
    return response['sid']

    response = api_call('xxx.xxx.xxx.xxx', 443, 'logout', {}, sid)
    return response['message']

2) Включване на платки и настройка на мрежата:

Скрипт

new_gateway_data = {'name':'CPGleb','anti-bot':True,'anti-virus' : True,'application-control':True,'ips':True,'url-filtering':True,'interfaces':
                    [{'name':'eth0','topology':'external','ipv4-address': 'xxx.xxx.xxx.xxx','ipv4-network-mask': '255.255.255.0'},
                     {'name':'eth1','topology':'internal','ipv4-address': 'xxx.xxx.xxx.xxx','ipv4-network-mask': '255.255.255.0'}]}
new_gateway_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-simple-gateway', new_gateway_data, sid)
print(json.dumps(new_gateway_result))

3) Промяна на правилата за защитна стена:

Скрипт

new_access_data = {'name':'Cleanup rule','layer':'Network','action':'Accept'}
new_access_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-access-rule', new_access_data, sid)
print(json.dumps(new_access_result))

4) Добавяне на приложение в слоя:

Скрипт

add_access_layer_application = { 'name' : 'application123', 'applications-and-url-filtering' : True, 'firewall' : False}
add_access_layer_application_result = api_call('xxx.xxx.xxx.xxx', 443, 'add-access-layer', add_access_layer_application, sid)
print(json.dumps(add_access_layer_application_result))

set_package_layer = {'name' : 'Standard', 'access': True, 'access-layers' : {'add' : [{'name' : 'application123', 'position' : 2}]}, 'installation-targets' : 'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-package', set_package_layer, sid)
print(json.dumps(set_package_layer_result))

5) Публикуване и инсталиране на политика, проверка на изпълнението на командата (task-id):

Скрипт

publish_result = api_call('xxx.xxx.xxx.xxx', 443, 'publish', {}, sid)
print('publish result: ' + json.dumps(publish_result))
new_policy = {'policy-package':'Standard', 'access': True, 'targets':['CPGleb']}
new_policy_result = api_call('xxx.xxx.xxx.xxx', 443, 'install-policy', new_policy, sid)
print(json.dumps(new_policy_result))

task_id = (json.dumps(new_policy_result['task-id']))
len_str = len(task_id)
task_id = task_id[1:(len_str-1)]
show_task_id = {'task-id': (task_id)}
show_task = api_call('xxx.xxx.xxx.xxx', 443, 'show-task', show_task_id, sid)
print(json.dumps(show_task))

6) Добавяне на хост:

Скрипт

new_host_data = {'name':'JohnDoePc', 'ip-address': '192.168.0.10'}
new_host_result = api_call('xxx.xxx.xxx.xxx', 443, 'add-host', new_host_data, sid)
print(json.dumps(new_host_result))

7) Добавяне на поле за защита от заплахи:

Скрипт

set_package_layer = {'name':'Standard', 'threat-prevention' : True, 'installation-targets':'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-package', set_package_layer, sid)
print(json.dumps(set_package_layer_result))

8) Преглед на списъка сесии

Скрипт

new_session_data = {'limit':'50', 'offset':'0','details-level' : 'standard'}
new_session_result = api_call('xxx.xxx.xxx.xxx', 443,'show-sessions', new_session_data ,sid)
print(json.dumps(new_session_result))

9) Създаване на нов профил:

Скрипт

add_threat_profile={'name':'Apeiron', "active-protections-performance-impact" : "low","active-protections-severity" : "low or above","confidence-level-medium" : "prevent",
  "confidence-level-high" : "prevent", "threat-emulation" : True,"anti-virus" : True,"anti-bot" : True,"ips" : True,
  "ips-settings" : { "newly-updated-protections" : "staging","exclude-protection-with-performance-impact" : True,"exclude-protection-with-performance-impact-mode" : "High or lower"},
  "overrides" : [ {"protection" : "3Com Network Supervisor Directory Traversal","capture-packets" : True,"action" : "Prevent","track" : "Log"},
                  {"protection" : "7-Zip ARJ Archive Handling Buffer Overflow", "capture-packets" : True,"action" : "Prevent","track" : "Log"} ]}
add_threat_profile_result=api_call('xxx.xxx.xxx.xxx',443,'add-threat-profile',add_threat_profile,sid)
print(json.dumps(add_threat_profile_result))  

10) Смяна на действието за IPS сигнатура:

Скрипт

set_threat_protection={
  "name" : "3Com Network Supervisor Directory Traversal",
  "overrides" : [{ "profile" : "Apeiron","action" : "Detect","track" : "Log","capture-packets" : True},
    { "profile" : "Apeiron", "action" : "Detect", "track" : "Log", "capture-packets" : False} ]}
set_threat_protection_result=api_call('xxx.xxx.xxx.xxx',443,'set-threat-protection',set_threat_protection,sid)
print(json.dumps(set_threat_protection_result))

11) Добавяне на собствен сервис:

Скрипт

add_service_udp={    "name" : "Dota2_udp", "port" : '27000-27030',
"keep-connections-open-after-policy-installation" : False,
"session-timeout" : 0, "match-for-any" : True,
"sync-connections-on-cluster" : True,
"aggressive-aging" : {"enable" : True, "timeout" : 360,"use-default-timeout" : False  },
"accept-replies" : False}
add_service_udp_results=api_call('xxx.xxx.xxx.xxx',443,"add-service-udp",add_service_udp,sid)
print(json.dumps(add_service_udp_results))

12) Добавяне на категория, сайт или група:

Скрипт

add_application_site_category={  "name" : "Valve","description" : "Valve Games"}
add_application_site_category_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-category",add_application_site_category,sid)
print(json.dumps(add_application_site_category_results))

add_application_site={    "name" : "Dota2", "primary-category" : "Valve",  "description" : "Dotka",
  "url-list" : [ "www.dota2.ru" ], "urls-defined-as-regular-expression" : False}
add_application_site_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site " , 
add_application_site , sid)
print(json.dumps(add_application_site_results))

add_application_site_group={"name" : "Games","members" : [ "Dota2"]}
add_application_site_group_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-group",add_application_site_group,sid)
print(json.dumps(add_application_site_group_results))

Освен това, с помощта на Web API можете да добавяте и изтривате мрежи, хостове, роли за достъп и т.н. Има възможност за конфигуриране на блейдове Антивирус, Антибот, IPS, VPN. Възможна е дори инсталация на лицензи с помощта на командата run-script. С всички API команди на Check Point можете да се запознаете тук..

Check Point API + Postman

Също така е удобно да се използва Check Point Web API в комбинация с Postman. Postman има десктоп версии за Windows, Linux и MacOS. Освен това, има разширение за Google Chrome. Ние ще го използваме. Първо трябва да намерите Postman в Google Chrome Store и да инсталирате:

С помощта на този инструмент можем да формулираме Web-запроси към API Check Point. За да не запомняме всички API-команди, има възможност да импортираме т.н. коллекции (шаблони), които вече съдържат всички необходими команди:

Тук ще намерите коллекция за R80.10. След импорта шаблоните на API-командите ще станат достъпни:

Според мен, това е много удобно. Можем доста бързо да започнем разработка на приложения, използващи Check Point API.

Check Point + Ansible

Искам също така да подчертая, че съществува Ansible модул за CheckPoint API. Модулът позволява управление на конфигурации, но не е толкова удобен за решаване на екзотични задачи. Писането на скриптове на който и да е език за програмиране предлага по-гъвкави и удобни решения.

Извод

С това вероятно ще приключим нашия малък обзор на Check Point API. Според мен, тази функция е дългоочаквана и необходима. Появата на API открива много широки възможности както за системни администратори, така и за системни интегратори, които работят с продуктите на Check Point. Оркестрация, автоматизация, обратна връзка с SIEM… всичко това вече е възможно.

P.S. Повече статии за Check Point можете да намерите както винаги в нашия блог Хабр или в блога на сайта.

P.S.S. Технически въпроси, свързани с настройките на Check Point, можете да зададете тук.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Планирате ли да използвате API?

• 70,6%Да12

• 23,5%Не4

• 5,9%Вече използвам1

Гласували 17 потребители. 3 потребители се въздържат.

Източник: habr.com