7. NGFW за малки предприятия. Ефективност и общи препоръки

Дойде време да завършим поредицата от статии за новото поколение SMB Check Point (серия 1500). Надяваме се, че това е било полезно изживяване за вас и че ще продължите да сте с нас в блога на TS Solution. Темата за финалната статия не е широко засегната, но не по-малко важна - настройка на производителността на SMB. В него ще обсъдим опциите за конфигурация на хардуера и софтуера на NGFW, ще опишем наличните команди и методи за взаимодействие.

Всички статии от поредицата за NGFW за малкия бизнес:

1. Нова линия CheckPoint 1500 Security Gateway

2. Разопаковане и настройка

3. Безжично предаване на данни: WiFi и LTE

4. VPN

5. Облачно SMP управление

6. Smart-1 Cloud

Понастоящем няма много източници на информация относно настройката на производителността за SMB решения поради ограничения вътрешна ОС - Gaia 80.20 Embedded. В нашата статия ще използваме оформление с централизирано управление (специален сървър за управление) - това ви позволява да използвате повече инструменти, когато работите с NGFW.

Хардуерна част

Преди да докоснете семейната архитектура на Check Point SMB, винаги можете да помолите партньора си да използва помощната програма Инструмент за оразмеряване на уреди, за да изберете оптималното решение според зададените характеристики (производителност, очакван брой потребители и др.).

Важни бележки при взаимодействие с вашия NGFW хардуер

1. Решенията NGFW от семейството на SMB нямат възможност за хардуерно надграждане на системни компоненти (CPU, RAM, HDD); в зависимост от модела има поддръжка за SD карти, което ви позволява да разширите капацитета на диска, но не значително.

2. Работата на мрежовите интерфейси изисква контрол. Gaia 80.20 Embedded няма много инструменти за наблюдение, но винаги можете да използвате добре познатата команда в CLI чрез експертен режим 

   #ifconfig

   

   Обърнете внимание на подчертаните линии, те ще ви позволят да оцените броя на грешките в интерфейса. Силно се препоръчва да проверявате тези параметри по време на първоначалното внедряване на вашия NGFW, както и периодично по време на работа.

3. За пълноценна Gaia има команда:

   >покажи диаг

   С негова помощ е възможно да се получи информация за температурата на хардуера. За съжаление тази опция не е налична в 80.20 Embedded; ще посочим най-популярните SNMP прихващания:

   Име 

   описание

   Интерфейсът е прекъснат

   Деактивиране на интерфейса

   VLAN премахната

   Премахване на Vlans

   Високо използване на паметта

   Високо използване на RAM

   Ниско пространство на диска

   Няма достатъчно място на HDD

   Високо натоварване на процесора

   Високо натоварване на процесора

   Висока честота на прекъсвания на процесора

   Висока честота на прекъсване

   Висока скорост на свързване

   Голям поток от нови връзки

   Високи едновременни връзки

   Високо ниво на състезателни сесии

   Висока пропускателна способност на защитната стена

   Високопроизводителна защитна стена

   Висока скорост на приемане на пакети

   Висока скорост на приемане на пакети

   Състоянието на член на клъстера е променено

   Промяна на състоянието на клъстера

   Връзка с грешка в регистрационния сървър

   Загубена връзка с Log-Server

4. Работата на вашия шлюз изисква наблюдение на RAM. За да работи Gaia (ОС, подобна на Linux), това е нормална ситуациякогато потреблението на RAM достигне 70-80% от използването.

   Архитектурата на SMB решенията не предвижда използването на SWAP памет, за разлика от по-старите модели на Check Point. В системните файлове на Linux обаче беше забелязано , което показва теоретичната възможност за промяна на SWAP параметъра.

Софтуерна част

Към момента на публикуване на статията действително Gaia версия - 80.20.10. Трябва да знаете, че има ограничения при работа в CLI: някои команди на Linux се поддържат в експертен режим. Оценяването на производителността на NGFW изисква оценка на производителността на демони и услуги, повече подробности за това можете да намерите в Статия моя колега. Ще разгледаме възможните команди за SMB.

Работа с Gaia OS

1. Разгледайте SecureXL шаблони

   #fwaccelstat

   

2. Преглед на зареждане по ядро

   # fw ctl multik stat

   

3. Вижте броя на сесиите (връзките).

   # fw ctl pstat

   

4. * Преглед на състоянието на клъстера

   #cphaprob статистика

   

5. Класическа команда TOP за Linux

Сеч

Както вече знаете, има три начина за работа с NGFW регистрационни файлове (съхранение, обработка): локално, централно и в облака. Последните две опции предполагат наличието на обект - Management Server.

Възможни схеми за контрол на NGFW

Най-ценните лог файлове

1. Системни съобщения (съдържа по-малко информация от пълната Gaia)

   # опашка -f /var/log/messages2

   

2. Съобщения за грешки при работа на блейдове (доста полезен файл при отстраняване на проблеми)

   # опашка -f /var/log/log/sfwd.elg

   

3. Преглед на съобщенията от буфера на ниво системно ядро.

   #dmesg

   

Конфигурация на острието

Този раздел няма да съдържа пълни инструкции за настройка на вашия NGFW Check Point; той съдържа само нашите препоръки, избрани от опита.

Контрол на приложението / URL филтриране

• Препоръчително е да се избягват ВСЯКАКВИ, ВСЯКАКВИ (Източник, Дестинация) условия в правилата.

• Когато посочвате персонализиран URL ресурс, ще бъде по-ефективно да използвате регулярни изрази като: (^|..)checkpoint.com

• Избягвайте прекомерното използване на регистриране на правила и показване на блокиращи страници (UserCheck).

• Уверете се, че технологията работи правилно "SecureXL". По-голямата част от трафика трябва да премине ускорен/среден път. Също така не забравяйте да филтрирате правилата по най-използваните (поле Хитове ).

HTTPS-инспекция

Не е тайна, че 70-80% от потребителския трафик идва от HTTPS връзки, което означава, че това изисква ресурси от вашия шлюзов процесор. Освен това HTTPS-Inspection участва в работата на IPS, Antivirus, Antibot.

Започвайки от версия 80.40 имаше възможност за да работите с HTTPS правила без Legacy Dashboard, ето няколко препоръчителни правила:

• Байпас за група адреси и мрежи (Destination).

• Заобикаляне за група URL адреси.

• Байпас за вътрешни IP и мрежи с привилегирован достъп (Източник).

• Проверете за необходими мрежи, потребители

• Байпас за всички останали.

* Винаги е по-добре ръчно да изберете HTTPS или HTTPS прокси услуги и да оставите Any. Регистрирайте събития според правилата на Inspect.

IPS

IPS блейдът може да не успее да инсталира политика на вашия NGFW, ако се използват твърде много подписи. Според Статия от Check Point, архитектурата на SMB устройството не е проектирана да изпълнява пълния препоръчан IPS конфигурационен профил.

За да разрешите или предотвратите проблема, изпълнете следните стъпки:

1. Клонирайте оптимизирания профил, наречен „Оптимизиран SMB“ (или друг по ваш избор).

2. Редактирайте профила, отидете в секцията IPS → Pre R80.Settings и изключете Server Protections.

   

3. По ваша преценка можете да деактивирате CVE, по-стари от 2010 г., тези уязвимости може да се открият рядко в малки офиси, но влияят на производителността. За да деактивирате някои от тях, отидете на Profile→IPS→Additional Activation→Protections to deactivate list

   

Вместо заключение

Като част от поредица от статии за новото поколение NGFW от семейството SMB (1500), ние се опитахме да подчертаем основните възможности на решението и демонстрирахме конфигурацията на важни компоненти за сигурност, използвайки конкретни примери. Ще се радваме да отговорим на всички въпроси относно продукта в коментарите. Оставаме с вас, благодарим ви за вниманието!

Голям избор от материали за Check Point от TS Solution. За да не пропуснете нови публикации, следвайте актуализациите в нашите социални мрежи (Telegram, Facebook, VK, Блог за TS Solution, Yandex Zen).

Източник: www.habr.com