7. NGFW за малък бизнес. Производителност и основни препоръки

Времето е настъпило да завършим цикъла от статии за новото поколение SMB Check Point (серия 1500). Надяваме се, че това беше полезен опит за вас и ще продължите да ни следите в блога на TS Solution. Темата на заключителната статия не е широко разглеждана, но не по-малко важна – настройка на производителността на SMB. В нея ще обсъдим възможностите за конфигуриране на хардуерната и софтуерната част на работа с NGFW, ще опишем наличните команди и начините на взаимодействие.

Всички статии от цикъла за NGFW за малкия бизнес:

1. Нова линия CheckPoint 1500 Security Gateway

2. Разопаковане и настройка

3. Безжично предаване на данни: WiFi и LTE

4. VPN

5. Облачное управление SMP

6. Smart-1 Cloud

Към настоящия момент няма много източници на информация за настройка на производителността за SMB решения поради на ограниченията вътрешната ОС – Gaia 80.20 Embedded. В нашата статия ще използваме макет с централизирано управление (посвещен Management Server) – той позволява да приложите повече инструменти при работа с NGFW.

Хардуерната част

Преди да разгледате архитектурата на Check Point семейството SMB, винаги можете да се свържете с вашия партньор, за да използва утилитата Appliance Sizing Tool, за подбиране на оптималното решение в съответствие с зададените характеристики (пропускна способност, очакван брой потребители и т.н.).

Важни бележки при взаимодействие с хардуерната част на вашия NGFW

1. NGFW решенията от семейството SMB нямат възможност за хардуерно обновление на системните компоненти (CPU, RAM, HDD), в зависимост от модела се поддържат SD карти, което позволява разширяване на капацитета на диска, но не значително.

2. Работата на мрежовите интерфейси изисква контрол. В Gaia 80.20 Embedded няма много инструменти за мониторинг, но винаги можете да използвате добре познатата команда в CLI през Expert режим 

   # ifconfig

   

   Обърнете внимание на подчертаните редове, те ще ви позволят да оцените броя на грешките на интерфейса. Изключително се препоръчва да проверявате тези параметри при първоначалното внедряване на вашия NGFW, както и периодично по време на експлоатацията.

3. За пълноценна Gaia има команда:

   > show diag

   С нея можете да получите информация за температурата на хардуера. За съжаление, в 80.20 Embedded тази опция не е налична, ще посочим най-популярните SNMP-traps:

   Име 

   Описание

   Interface disconnected

   Отключване на интерфейса

   VLAN removed

   Премахване на VLAN

   High memory utilization

   Висока утилизация на RAM

   Low disk space

   Ниско свободно място на HDD

   High CPU utilization

   Висока утилизация на CPU

   High CPU interrupts rate

   Висока честота на прекъсвания

   High connection rate

   Висок поток от нови връзки

   Високи конкурентни връзки

   Висок нивова конкурентни сесии

   Висока пропускна способност на защитната стена

   Висок нивова пропускна способност на защитната стена

   Висок прием на пакети

   Висок прием на пакети

   Състоянието на клъстерния член е променено

   Промяна на състоянието на клъстера

   Грешка при свързване с лог сървър

   Загуба на връзка с Log-Server

4. Работата на вашия шлюз изисква мониторинг на RAM. За работата на Gaia (Linux-подобна ОС) това е нормална ситуация, когато разходът на RAM достига 70-80% от използването.

   В архитектурата на SMB решения не е предвидено използването на SWAP памет в сравнение с по-старите модели Check Point. Независимо от това, в системните файлове на Linux беше забелязано , което сигнализира теоретичната възможност за промяна на параметъра SWAP.

Софтверната част

Към момента на публикуване на статията актуалната версия на Gaia е 80.20.10. Трябва да знаете, че съществуват ограничения при работа в CLI: в Expert режим се поддържат някои Linux команди. За оценка на работата на NGFW е необходимо да се оцени работата на демоните и услугите, за което по-подробно може да се научи от статии моите колеги. Ние ще разгледаме възможните команди за SMB.

Работа с Gaia OS

1. Преглед на шаблони SecureXL

   # fwaccel stat

   

2. Преглед на натоварването по ядра

   # fw ctl multik stat

   

3. Преглед на броя на сесиите (връзките).

   # fw ctl pstat

   

4. *Преглед на състоянието на клъстера

   # cphaprob stat

   

5. Класическа Linux команда TOP

Логиране

Както вече знаете, има три начина за работа с логовете на NGFW (съхранение, обработка): локално, централизирано и в облака. Последните два варианта предполагат наличието на единица — Management Server.

Възможни схеми за управление на NGFW

Най-ценни файлове с логове

1. Системни съобщения (съдържа по-малко информация, отколкото в пълната Gaia)

   # tail -f /var/log/messages2

   

2. Съобщения за грешки в работата на блейдове (достатъчно полезен файл при търсене на проблеми)

   # tail -f /var/log/log/sfwd.elg

   

3. Преглед на съобщенията от буфера на ниво ядро на системата.

   # dmesg

   

Конфигурация на блейдове

Тази секция няма да съдържа подробни инструкции за настройка на вашия NGFW Check Point, а само нашите препоръки, подбрани на базата на опит.

Контрол на приложенията / Филтриране на URL адреси

• Препоръчва се да се избягват в правилата условия ANY, ANY (Източник, Дестинация).

• При задаване на кастомния URL ресурс, по-ефективно ще бъде да се използват регулярни изрази от типа: (^|..)checkpoint.com

• Избягвайте прекомерната употреба на логиране по правила и показване на страници за блокиране (UserCheck).

• Уверете се, че технологията работи коректно “SecureXL”. Повечето от трафика трябва да преминава през усилена / средна пътека. Също така не забравяйте да филтрирате правилата по най-използваните (поле Хита ).

HTTPS-Инспекция

Не е тайна, че 70-80% от потребителския трафик е на HTTPS-соединения, следователно това изисква ресурси от процесора на вашия шлюз. Освен това, HTTPS-Инспекцията участва в работата на IPS, Антивирус, Антибот.

Със версия 80.40 се появи възможността възможността за работа с HTTPS-права без Legacy Dashboard, ето някои от препоръчителните ред на правилата:

• Изключване за група адреси и мрежи (Дестинация).

• Изключване за група URL адреси.

• Изключване за вътрешни IP и мрежи с привилегирован достъп (Източник).

• Инспекция за необходимите мрежи, потребители

• Изключване за всички останали.

* Винаги е по-добре ръчно да избирате услуги HTTPS или HTTPS Proxy, а не да оставяте Any. Логирайки събития по правилата Inspect.

IPS

IPS Blade може да предизвика грешка при инсталирането на политика на вашия NGFW, ако се използват твърде много сигнатури. Според статии Check Point, архитектурата на SMB устройствата не е предназначена за стартиране на пълния препоръчителен профил за настройки на IPS.

За да решите или предотвратите проблема, следвайте следните стъпки:

1. Клонирайте оптимизирания профил, наречен “Оптимизиран SMB” (или друг по ваш избор).

2. Редактирайте профила, отидете в секция IPS → Pre R80. Настройки и изключете Server Protections.

   

3. По ваше усмотрение можете да деактивирате CVE по-стари от 2010, тези уязвимости може рядко да се откриват в малки офиси, но влияят на производителността. За да изключите някои от тях, отидете в Profile→ IPS→ Допълнителна активация → Защитите в списъка за деактивиране

   

Вместо заключение

В рамките на цикъла статии за новото поколение NGFW от семейството SMB (1500) се опитахме да обхванем основните възможности на решението, демонстрирахме на конкретни примери настройката на важни компоненти за сигурност. Ще се радваме да отговорим на всички въпроси относно продукта в коментарите. Оставаме с вас, благодаря за вниманието!

Голяма подборка материали по Check Point от TS Solution. За да не пропуснете нови публикации — следете обновленията в нашите социални мрежи (Телеграм, Facebook, VK, TS Solution Blog, Яндекс.Дзен).

Източник: habr.com