Check Point R80.10 API. Управление чрез CLI, скриптове и не само.

Сигурен съм, че всеки, който някога е работил с Check Point, е имал оплакване относно невъзможността за редактиране на конфигурацията от командния ред. Това е особено нелепо за тези, които преди това са работили с Cisco ASA, където всичко може да бъде настроено в CLI. При Check Point всичко е обратно — всички настройки за сигурност се извършват единствено от графичния интерфейс. Въпреки това, някои неща е изключително неудобно да се правят през GUI (дори такъв удобен, какъвто е при Check Point). Например, задачата за добавяне на 100 нови хоста или мрежи се превръща в дълга и скучна процедура. За всеки обект ще е необходимо да щракнете няколко пъти с мишката и да въведете IP адрес. Същото се отнася за създаването на група сайтове или масово активиране/деактивиране на IPS сигнатури. Освен това, вероятността за допускане на грешка е висока.

Относително наскоро се случи "чудо". С излизането на новата версия Gaia R80 беше анонсирана възможността за използване на API, което отваря широки възможности за автоматизация на настройки, администриране, мониторинг и т.н. Сега можете да:

• създавате обекти;
• добавяте или редактирате access-list-ове;
• активирате/деактивирате блейдове;
• настройвате мрежови интерфейси;
• инсталирате политики;
• и много други.

Ако съм честен, не разбирам как тази новина е преминала незабелязано от Хабра. В тази статия накратко ще опишем как да използвате API и ще приведем няколко практически примера за настройки на Check Point с помощта на скриптове..

Веднага бих искал да уточня, че API се използва само за Management сървър. Т.е. управлението на шлюзите без Management сървър все още е невъзможно.

Кому би могъл да бъде полезен този API?

1. Системни администратори, които искат да опростят или автоматизират рутинни задачи по настройка на Check Point;
2. Компании, които искат да интегрират Check Point с други решения (системи за виртуализация, тикет-системи, системи за управление на конфигурации и т.н.);
3. Системни интегратори, които искат да стандартизират настройки или да създадат допълнителни продукти, свързани с Check Point.

Типова схема

И така, да представим типова схема с Check Point:

Както обикновено, имаме шлюз (SG), сървър за управление (SMS) и конзола на администратора (SmartConsole). Въпреки това, стандартният процес за настройка на шлюза изглежда по следния начин:

Т.е. първо е необходимо да се стартира на компютъра на администратора SmartConsole, с помощта на която се свързваме с Management-сървъра (SMS). На SMS се извършват настройки за сигурност и след това се прилагат (install policy) на шлюза (SG).

При използването на Management API, всъщност можем да пропуснем първата стъпка (стартиране на SmartConsole) и да прилагаме API-команди директно към Management-сървъра (SMS).

Методи за използване на API

За редактиране на конфигурацията с помощта на API има четири основни метода:

1) С помощта на утилита mgmt_cli

Пример — # mgmt_cli add host name host1 ip-address 192.168.2.100
Тази команда се изпълнява от командния ред на Management-сървъра (SMS). Смятам, че синтаксиса на командата е разбираем — създава се host1 с адрес 192.168.2.100.

2) Въвеждане на API команди през clish (в режим expert)

По същество, всичко, което трябва да направите, е да влезете в командния ред (mgmt login) с акаунта, използван за свързване чрез SmartConsole (или root-акаунта). След това можете да въвеждате API-команди (в този случай не е необходимо да използвате утилитата mgmt_cli). Можете да създавате пълноценни BASH-скриптове. Пример за скрипт, който създава хост:

Bash-скрипт

#!/bin/bash

main() {
    clear

    #LOGIN (don't ask for username and password, user is already logged in to Management server as 'root' user)
    mgmt_cli login --root true > id_add_host.txt
    on_error_print_and_exit "Error: Failed to login, check that the server is up and running (run 'api status')"

    #READ HOST NAME
    printf "Enter host name:n"
    read -e host_name
    on_empty_input_print_and_exit "$host_name" "Error: The host's name cannot be empty."

    #READ IP ADDRESS
    printf "nEnter host IP address:n"
    read -e ip
    on_empty_input_print_and_exit "$ip" "Error: The host's IP address cannot be empty."

    #CREATE HOST
    printf "Creating new host: $host_name with IP address: $ipn"
    new_host_response=$(mgmt_cli add host name $host_name ip-address $ip -s id_add_host.txt 2> /dev/null)
    on_error_print_and_exit "Error: Failed to create host object. n$new_host_response"

    #PUBLISH THE CHANGES
    printf "nPublishing the changesn"
    mgmt_cli publish --root true -s id_add_host.txt &> /dev/null
    on_error_print_and_exit "Error: Failed to publish the changes."

    #LOGOUT
    logout
	
	printf "Done.n"
}

logout(){
	mgmt_cli logout --root true -s id_add_host.txt &> /dev/null
}

on_error_print_and_exit(){
    if [ $? -ne 0 ]; then
        handle_error "$1" 
	fi
}

handle_error(){
    printf "n$1n" #print error message
    mgmt_cli discard --root true -s id_add_host.txt &> /dev/null
    logout
    exit 1
}

on_empty_input_print_and_exit(){
	if [ -z "$1" ]; then
		printf "$2n" #print error message
		logout
		exit 0
	fi
}

# Script starts here. Call function "main".
main

Ако ви интересува, можете да гледате съответното видео:

3) Чрез SmartConsole, като отворите CLI прозорец

Всичко, което трябва да направите, е да стартирате прозореца CLI директно от SmartConsole, както е показано на изображението по-долу.

В този прозорец можете веднага да започнете да въвеждате API-команди.

4) Уеб услуги. Използване на HTTPS Post заявка (REST API)

На нашето мнение, това е един от най-перспективните методи, тъй като позволява да се “изграждат” цели приложения за управление на Management-сървъра (извинете за тавтологията). По-долу ще разгледаме този метод по-подробно.

За резюме:

1. API + cli повече подхожда на хора, които са свикнали с Cisco;
2. API + shell за прилагане на скриптове и изпълнение на рутинни задачи;
3. REST API за автоматизация.

Включване на API

По подразбиране, API е включен на мениджърските сървъри с обем RAM над 4Гб и standalone конфигурации с RAM над 8Гб. Състоянието може да се провери с помощта на командата: api status

Ако се окаже, че api е изключен, то е сравнително лесно да бъде включен чрез SmartConsole: Manage & Settings > Blades > Management API > Advanced Settings

След това публикувайте (Publish) промените и изпълнете командата api restart.

Уеб заявки + Python

За изпълнение на API-команди можете да използвате уеб заявки с помощта на Python и библиотеките requests, json. В общ вид структурата на уеб заявката се състои от три части:

1) Адрес

(https://:/web_api/) 

2) HTTP заголовки

content-Type: application/json
x-chkp-sid:

3) Тело запроса

Текст в формате JSON с различными параметрами

Пример вызова различных команд:

def api_call(ip_addr, port, command, json_payload, sid):
    url = 'https://' + ip_addr + ':' + str(port) + '/web_api/' + command
    if sid == "":
        request_headers = {'Content-Type' : 'application/json'}
    else:
        request_headers = {'Content-Type' : 'application/json', 'X-chkp-sid' : sid}
    r = requests.post(url,data=json.dumps(json_payload), headers=request_headers,verify=False)
    return r.json()                                        
'xxx.xxx.xxx.xxx' -> IP адрес GAIA

Приведем несколько типовых задач, с которыми чаще всего сталкиваются при администрировании Check Point.

1) Пример функций авторизации и выхода:

Скрипт

    payload = {'user': 'ваш_пользователь', 'password' : 'ваш_пароль'}
    response = api_call('xxx.xxx.xxx.xxx', 443, 'login',payload, '')
    return response["sid"]

    response = api_call('xxx.xxx.xxx.xxx', 443,'logout', {} ,sid)
    return response["message"]

2) Включение блэйдов и настройка сети:

Скрипт

new_gateway_data = {'name':'CPGleb','anti-bot':True,'anti-virus' : True,'application-control':True,'ips':True,'url-filtering':True,'interfaces':
                    [{'name':'eth0','topology':'external','ipv4-address': 'xxx.xxx.xxx.xxx','ipv4-network-mask': '255.255.255.0'},
                     {'name':'eth1','topology':'internal','ipv4-address': 'xxx.xxx.xxx.xxx','ipv4-network-mask': '255.255.255.0'}]}
new_gateway_result = api_call('xxx.xxx.xxx.xxx', 443,'set-simple-gateway', new_gateway_data ,sid)
print(json.dumps(new_gateway_result))

3) Изменение правил межсетевого экрана:

Скрипт

new_access_data={'name':'Cleanup rule','layer':'Network','action':'Accept'}
new_access_result = api_call('xxx.xxx.xxx.xxx', 443,'set-access-rule', new_access_data ,sid)
print(json.dumps(new_access_result))

4) Добавление уровня приложений:

Скрипт

add_access_layer_application={ 'name' : 'application123','applications-and-url-filtering' : True,'firewall' : False}
add_access_layer_application_result = api_call('xxx.xxx.xxx.xxx', 443,'add-access-layer', add_access_layer_application ,sid)
print(json.dumps(add_access_layer_application_result))

set_package_layer={'name' : 'Standard','access':True,'access-layers' : {'add' : [ { 'name' : 'application123','position' :2}]} ,'installation-targets' : 'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443,'set-package', set_package_layer ,sid)
print(json.dumps(set_package_layer_result))

5) Публикация и установка политики, проверка выполнения команды (task-id):

Скрипт

publish_result = api_call('xxx.xxx.xxx.xxx', 443,'publish', {},sid)
print('publish result: ' + json.dumps(publish_result))
new_policy = {'policy-package':'Standard','access':True,'targets':['CPGleb']}
new_policy_result = api_call('xxx.xxx.xxx.xxx', 443,'install-policy', new_policy ,sid)
print(json.dumps(new_policy_result))

task_id=(json.dumps(new_policy_result['task-id']))
len_str=len(task_id)
task_id=task_id[1:(len_str-1)]
show_task_id ={'task-id':(task_id)}
show_task=api_call('xxx.xxx.xxx.xxx',443,'show-task',show_task_id,sid)
print(json.dumps(show_task))

6) Добавить хост:

Скрипт

new_host_data = {'name':'JohnDoePc', 'ip-address': '192.168.0.10'}
new_host_result = api_call('xxx.xxx.xxx.xxx', 443,'add-host', new_host_data ,sid)
print(json.dumps(new_host_result))

7) Добавить поле профилактики угроз:

Скрипт

set_package_layer={'name':'Standard','threat-prevention' :True,'installation-targets':'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443,'set-package',set_package_layer,sid)
print(json.dumps(set_package_layer_result))

8) Преглед на списъка със сесии

Скрипт

new_session_data = {'limit':'50', 'offset':'0','details-level' : 'standard'}
new_session_result = api_call('xxx.xxx.xxx.xxx', 443,'show-sessions', new_session_data ,sid)
print(json.dumps(new_session_result))

9) Създаване на нов профил:

Скрипт

add_threat_profile={'name':'Apeiron', "active-protections-performance-impact" : "ниско","active-protections-severity" : "ниско или по-високо","confidence-level-medium" : "предотврати",
  "confidence-level-high" : "предотврати", "threat-emulation" : True,"anti-virus" : True,"anti-bot" : True,"ips" : True,
  "ips-settings" : { "newly-updated-protections" : "staging","exclude-protection-with-performance-impact" : True,"exclude-protection-with-performance-impact-mode" : "високо или по-ниско"},
  "overrides" : [ {"protection" : "3Com Network Supervisor Directory Traversal","capture-packets" : True,"action" : "Предотврати","track" : "Лог"},
                  {"protection" : "7-Zip ARJ Archive Handling Buffer Overflow", "capture-packets" : True,"action" : "Предотврати","track" : "Лог"} ]}
add_threat_profile_result=api_call('xxx.xxx.xxx.xxx',443,'add-threat-profile',add_threat_profile,sid)
print(json.dumps(add_threat_profile_result))  

10) Смяна на действието за IPS сигнатурата:

Скрипт

set_threat_protection={
  "name" : "3Com Network Supervisor Directory Traversal",
  "overrides" : [{ "profile" : "Apeiron","action" : "Обнаружи","track" : "Лог","capture-packets" : True},
    { "profile" : "Apeiron", "action" : "Обнаружи", "track" : "Лог", "capture-packets" : False} ]}
set_threat_protection_result=api_call('xxx.xxx.xxx.xxx',443,'set-threat-protection',set_threat_protection,sid)
print(json.dumps(set_threat_protection_result))

11) Добавяне на собствена услуга:

Скрипт

add_service_udp={    "name" : "Dota2_udp", "port" : '27000-27030',
"keep-connections-open-after-policy-installation" : False,
"session-timeout" : 0, "match-for-any" : True,
"sync-connections-on-cluster" : True,
"aggressive-aging" : {"enable" : True, "timeout" : 360,"use-default-timeout" : False  },
"accept-replies" : False}
add_service_udp_results=api_call('xxx.xxx.xxx.xxx',443,"add-service-udp",add_service_udp,sid)
print(json.dumps(add_service_udp_results))

12) Добавяне на категория, сайт или група:

Скрипт

add_application_site_category={  "name" : "Valve","description" : "Valve Games"}
add_application_site_category_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-category",add_application_site_category,sid)
print(json.dumps(add_application_site_category_results))

add_application_site={    "name" : "Dota2", "primary-category" : "Valve",  "description" : "Dotka",
  "url-list" : [ "www.dota2.ru" ], "urls-defined-as-regular-expression" : False}
add_application_site_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site " , 
add_application_site , sid)
print(json.dumps(add_application_site_results))

add_application_site_group={"name" : "Игри","members" : [ "Dota2"]}
add_application_site_group_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-group",add_application_site_group,sid)
print(json.dumps(add_application_site_group_results))

Освен това, с помощта на Web API можете да добавяте и изтривате мрежи, хостове, роли на достъп и т.н. Има възможност за настройка на блейдове Антивирус, Антибот, IPS, VPN. Възможна е даже инсталация на лицензи с помощта на командата run-script. С всички API команди на Check Point можете да се запознаете тук.

Check Point API + Postman

Също така е удобно да използвате Check Point Web API в комбинация с Postman. Postman предлага desktop версии за Windows, Linux и MacOS. Освен това, има приставка за Google Chrome. Ние ще я използваме. Първо трябва да намерим Postman в Google Chrome Store и да инсталираме:

С помощта на този инструмент можем да генерираме Web заявки към API на Check Point. За да не запомняме всички API команди, имаме възможност да импортираме така наречените колекции (шаблони), които вече съдържат всички необходими команди:

Тук ще намерите колекция за R80.10. След импортиране, шаблоните на API командите ще станат достъпни за нас:

Лично според мен, това е много удобно. Можем доста бързо да започнем разработването на приложения с използване на Check Point API.

Check Point + Ansible

Също така, бих искал да подчертая, че съществува Ansible модул за CheckPoint API. Модулът позволява управление на конфигурациите, но не е толкова удобен за решаване на екзотични задачи. Написването на скриптове на всеки програмен език предлага по-гъвкави и удобни решения.

Извод

Тук вероятно ще завършим нашия малък преглед на Check Point API. Лично смятам, че тази функция беше дългоочаквана и необходима. Появата на API отваря много широки възможности както за системни администратори, така и за системни интегратори, които работят с продуктите на Check Point. Оркестрация, автоматизация, обратна връзка с SIEM... всичко това вече е възможно.

P.S. Повече статии за Check Point можете да намерите в нашия блог Хабр или в блога на сайта.

P.S.S. Техническите въпроси, свързани с конфигурирането на Check Point, можете да зададете тук

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Планирате ли да използвате API?

• 70,6%Да12

• 23,5%Не4

• 5,9%Вече използвам1

Гласували 17 потребители. Придържали се 3 потребители.

Източник: habr.com