🥇Check Point Gaia R80.40. Какво ново ще има?

Приближава нова версия на операционната система Gaia R80.40. Няколко седмици назад стартира програмата Early Access, чрез която можете да получите достъп за тестване на дистрибутива. Както обикновено, публикуваме информация за новостите, а също така ще подчертаем моментите, които са най-интерсни за нас. Предварително мога да кажа, че нововъведенията наистина са значими. Затова си струва да се подготвите за наближаващата процедура по обновление. По-рано вече публикувахме статия как да го направите (за допълнителна информация можете да се обърнете тук). Нека преминем към темата…

Какво е новото

Тук разглеждаме официално обявените нововъведения. Информацията е взета от сайта Check Mates (официално общество на Check Point). С ваше позволение, няма да превеждам този текст, тъй като аудиторията на Хабра го позволява. Вместо това ще оставя моите коментари в следващата глава.

1. IoT защита. Нови функции, свързани с интернет на нещата

Събиране на IoT устройства и атрибути на трафика от сертифицирани платформи за откритие на IoT (в момента поддържа Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM и Armis).
Конфигуриране на нов слой на политика, посветен на IoT в управлението на политики.
Конфигурирайте и управлявайте правила за сигурност, основани на атрибутите на IoT устройствата.

2. TLS инспекцияHTTP/2:

HTTP/2 е обновление на HTTP протокола. Обновлението предлага подобрения в скоростта, ефективността и сигурността, което води до подобрено потребителско преживяване.
Security Gateway на Check Point сега поддържа HTTP/2 и предоставя по-добра скорост и ефективност, като същевременно осигурява пълна защита, с всички слоеве за предотвратяване на заплахи и контрол на достъпа, както и нови защити за HTTP/2 протокола.
Поддържа се както за ясни, така и за SSL криптирани трафик, като е напълно интегрирана с HTTPS/TLS
възможности за инспекция.

Слой за инспекция на TLS. Нововъведения относно инспекцията на HTTPS:

Нов слой на политика в SmartConsole, посветен на TLS инспекция.
Различни слоеве на TLS инспекция могат да бъдат използвани в различни пакети с политики.
Споделяне на слой за инспекция на TLS през множество пакети с политики.
API за TLS операции.

3. Предотвратяване на заплахи

Общо подобрение на ефективността на процесите за предотвратяване на заплахи и обновления.
Автоматични обновления на двигателя за извличане на заплахи.
Динамични, домейн и обновяеми обекти сега могат да се използват в политиките за предотвратяване на заплахи и TLS инспекция. Обновяемите обекти са мрежови обекти, които представляват външна услуга или известен динамичен списък с IP адреси, например – Office365 / Google / Azure / AWS IP адреси и Geo обекти.
Антивирусът сега използва SHA-1 и SHA-256 индикации за заплахи, за да блокира файлове на базата на техните хашове. Импортирайте новите индикации от раздела за индикации за заплахи в SmartConsole или от CLI Custom Intelligence Feed.
Антивирусът и SandBlast Threat Emulation сега поддържат инспекция на имейл трафик по POP3 протокола, както и подобрена инспекция на имейл трафик по IMAP протокола.
Антивирусът и SandBlast Threat Emulation сега използват новата функция за инспекция на SSH за инспекция на файлове, предавани по SCP и SFTP протоколите.
Анти-Вирус и SandBlast Threat Emulation сега предоставят подобрена поддръжка за проверка на SMBv3 (3.0, 3.0.2, 3.1.1), която включва проверка на многоканални връзки. Check Point е единственият доставчик, който поддържа проверка на трансфер на файлове чрез множество канали (функция, която е активирана по подразбиране във всички Windows среди). Това позволява на клиентите да останат сигурни, докато работят с тази функция за повишаване на производителността.

4. Осъзнаване за идентичност

Поддръжка за интеграция на Captive Portal с SAML 2.0 и трети страни доставчици на идентичности.
Поддръжка за Identity Broker за мащабно и детайлно споделяне на информация за идентичност между PDP, а също така и между домейни.
Подобрения на Terminal Servers Agent за по-добро мащабиране и съвместимост.

5. IPsec VPN

Конфигуриране на различни VPN криптиращи домейни на Security Gateway, който е член на множество VPN общности. Това осигурява:
Подобрена конфиденциалност — Вътрешните мрежи не се разкриват в преговорите по протокола IKE.
Подобрена сигурност и детайлност — Определяне на мрежите, които са достъпни в определена VPN общност.
Подобрена взаимодействие — Оптимизирани дефиниции на VPN на базата на маршрути (препоръчва се, когато работите с празен криптиращ домейн VPN).
Създайте и работете безпроблемно с околна среда за VPN с голям мащаб (LSV) с помощта на профили LSV.

6. Филтриране на URL

Подобрена мащабируемост и устойчивост.
Разширени възможности за отстраняване на проблеми.

7. NAT

Подобрена система за разпределение на NAT портове — на Security Gateways с 6 или повече инстанции на CoreXL защитна стена, всички инстанции използват същия пул от NAT портове, което оптимизира използването и повторното използване на портовете.
Наблюдение на използването на NAT портове в CPView и с SNMP.

8. Гласова комуникация през IP (VoIP)Множество инстанции на CoreXL защитна стена обработват протокола SIP за повишаване на производителността.

9. VPN за дистанционен достъпИзползвайте сертификат за машина, за да разграничите корпоративни и некорпоративни активи и да зададете политиката, която налага използването само на корпоративни активи. Налагането може да бъде преди влизане (само удостоверяване на устройството) или след влизане (удостоверяване на устройство и потребител).

10. Агент за портал за мобилен достъпПодобрена сигурност на краен точка при поискване в агента за портал за мобилен достъп, за да поддържа всички основни уеб браузъри. За повече информация вижте sk113410.

11. CoreXL и Мулти-Опашка

Поддръжка за автоматично разпределение на CoreXL SND и инстанции на защитна стена, които не изискват рестартиране на Security Gateway.
Подобрено предварително изживяване — Security Gateway автоматично променя броя на CoreXL SND и инстанции на защитна стена и конфигурацията на Мулти-Опашка в зависимост от текущото натоварване на трафика.

12. Клъстеризиране

Поддръжка за Cluster Control Protocol в Unicast режим, който премахва необходимостта от CCP

Режими на Broadcast или Multicast:

Шифроването на Cluster Control Protocol сега е активирано по подразбиране.
Нов режим ClusterXL - Active/Active, който поддържа членове на клъстера в различни географски местоположения, които са на различни подмрежи и имат различни IP адреси.
Поддръжка за членове на ClusterXL, които работят с различни версии на софтуера.
Отстранена е необходимостта от конфигурация на MAC Magic, когато няколко клъстера са свързани към същата подмрежа.

13. VSX

Поддръжка за ъпгрейд на VSX с CPUSE в Gaia Portal.
Поддръжка за Active Up режим в VSLS.
Поддръжка за статистически доклади на CPView за всяка Виртуална Система

14. Нулево докосванеПроцес за лесна инсталация "Plug & Play" за инсталиране на устройство — без нужда от техническа експертиза и свързване към устройството за първоначална конфигурация.

15. Gaia REST APIGaia REST API предоставя нов начин за четене и изпращане на информация до сървъри, които работят с операционната система Gaia. Вижте sk143612.

16. Разширено маршрутизиране

Подобренията в OSPF и BGP позволяват нулиране и рестартиране на OSPF съседства за всяка инстанция на CoreXL защитна стена без необходимост от рестартиране на маршрутизирания демон.
Подобряване на обновяването на маршрути за по-добро управление на несъответствията в маршрутизирането на BGP.

17. Нови възможности на ядрото

Актуализирано ядро на Linux
Нова система за партициониране (gpt):
Поддържа повече от 2TB физически/логически дискове
По-бърза файлова система (xfs)
Поддръжка на по-голямо системно хранилище (тестовете показват до 48TB)
Подобрения в производителността, свързани с I/O
Мулти-опашки:
Пълна поддръжка на Gaia Clish за команди с мулти-опашки
Автоматична конфигурация «включена по подразбиране»
Поддръжка на SMB v2/3 в Mobile Access Blade
Добавена поддръжка за NFSv4 (клиент) (NFS v4.2 е версията на NFS по подразбиране)
Поддръжка на нови системни инструменти за отстраняване на проблеми, мониторинг и конфигуриране на системата

18. CloudGuard Controller

Подобрения в производителността за връзки с външни центрове за данни.
Интеграция с VMware NSX-T.
Поддръжка за допълнителни API команди за създаване и редактиране на обекти на Data Center Server.

19. Много-доменен сървър

Резервно копие и възстановяване на индивидуален Domain Management Server на много-доменен сървър.
Мигриране на Domain Management Server от един много-доменен сървър на друг.
Мигриране на Security Management Server, за да стане Domain Management Server на много-доменен сървър.
Мигриране на Domain Management Server, за да стане Security Management Server.
Възстановяване на домейн на много-доменен сървър или Security Management Server до предишна версия за допълнително редактиране.

20. SmartTasks и API

Нов метод за удостоверяване на Management API, използващ автоматично генериран API ключ.
Нови команди на Management API за създаване на обекти на клъстери.
Централно разгръщане на Jumbo Hotfix Accumulator и Hotfixes от SmartConsole или с API позволява инсталиране или актуализиране на множество Security Gateways и клъстери паралелно.
SmartTasks — Конфигурирайте автоматични скриптове или HTTPS заявки, задействани от администраторски задачи, като публикуване на сесия или инсталиране на политика.

21. РазгръщанеЦентрално разгръщане на Jumbo Hotfix Accumulator и Hotfixes от SmartConsole или с API позволява инсталиране или актуализиране на множество Security Gateways и клъстери паралелно.

22. SmartEventСподелете SmartView изгледи и репорти с други администратори.

23. Log ExporterЕкспортиране на логове, филтрирани в зависимост от стойностите на полетата.

24. Endpoint Security

Поддръжка на BitLocker криптиране за пълно дисково криптиране.
Поддръжка на сертификати от външна сертификационна власт за клиента на Endpoint Security
удостоверяване и комуникация с Endpoint Security Management Server.
Поддръжка за динамичен размер на пакетите на Endpoint Security Client в зависимост от избраните
функции за разгръщане.
Политиката може сега да контролира нивото на известията до крайните потребители.
Поддръжка за постоянна VDI среда в управление на политиките за Endpoint.

Какво най-много ни хареса (на база на задачи на клиентите)

Както виждате, има много нововъведения. Но за нас, като за системен интегратор, има няколко доста интересни момента (които също са интересни за нашите клиенти). Нашата Топ-10:

Най-накрая имаме пълна поддръжка на IoT устройства. Вече е доста трудно да срещнете компания, която да няма такива устройства.
TLS инспекцията вече е отделена в собствен слой (Layer). Това е много по-удобно от сега (в 80.30). Вече не е нужно да използвате стария Legasy Dashboard. Освен това, сега в политиката за HTTPS инспекция можете да използвате Updatable обекти, като услуги Office365, Google, Azure, AWS и т.н. Това е много удобно, когато трябва да настроите изключения. Въпреки това, все още няма поддръжка за TLS 1.3. Явно ще „достигнат“ с следващия хотфикс.
Значителни промени в Anti-Virus и SandBlast. Сега можете да проверявате протоколи като SCP, SFTP и SMBv3 (между другото, този мултиканален протокол никой друг не може да проверява).
Много подобрения, свързани със Site-to-Site VPN. Сега можете да конфигурирате няколко VPN домейна на шлюза, който е част от няколко VPN общности. Това е много удобно и значително по-сигурно. Освен това, Check Point накрая се сети за Route Based VPN и малко подобри неговата стабилност/съвместимост.
Появи се изключително търсена функция за отдалечени потребители. Сега можете да удостоверявате не само потребителя, но и устройството, от което се свързва. Например, искаме да разрешим свързването чрез VPN само от корпоративни устройства. Това се прави разбира се с помощта на сертификати. Също така стана възможно автоматично да се монтират (SMB v2/3) файлови споделяния за отдалечени потребители с VPN клиент.
Много промени в работата на клъстера. Но вероятно едно от най-интересните е възможността за работа на клъстер, в който шлюзовете имат различни версии Gaia. Това е удобно при планирано обновление.
Подобрени възможности за Zero Touch. Полезно за онези, които често инсталират „малки” шлюзове (например за банкомати).
Сега за логовете се поддържа хранилище до 48TB.
Можете да „споделяте” своите дашбордове SmartEvent с други администратори.
Log Exporter сега позволява предварителна филтрация на изпратените съобщения по нужните полета. Тоест, само необходимите логове и събития ще преминат към вашите SIEM системи.

Актуализация

Вероятно много от вас вече обмислят обновление. Не бързайте. Първо версия 80.40 трябва да премине в Генерална наличност. Но дори и след това не бива веднага да обновявате. По-добре е да изчакате поне първия хотфикс.
Може би много хора все още са на по-стари версии. Мога да кажа, че поне е възможно (и дори необходимо) да се обновите до 80.30. Това вече е стабилна и проверена система!

Вие също можете да се абонирате за нашите публикации (Telegram, Facebook, VK, TS Solution Blog), където можете да следите за появата на нови материали по Check Point и други security продукти.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.