🥇Check Point Gaia R80.40. Какво ще ново?

Предстои нова версия на операционната система Gaia R80.40. Няколко седмици назад стартира програмата Early Access, която дава достъп за тестване на дистрибуцията. Както обикновено публикуваме информация за нововъведенията, както и ще подчертаем аспектите, които считаме за най-интересни. Предварително мога да кажа, че новаторствата наистина са значими. Затова е добре да се подготвите за предстояща процедура по обновление. По-рано вече публикувахме статия за това как да го направите (за допълнителна информация можете да се обърнете тук). Нека преминем към темата…

Какво е ново

Нека разгледаме официално обявените нововъведения. Информацията е взета от сайта Check Mates (официалното общество на Check Point). С ваше позволение, няма да превеждам този текст, тъй като аудиторията в хабра позволява това. Вместо това ще оставя коментарите си в следващата глава.

1. IoT Security. Нови функции, свързани с интернет на нещата

Събиране на данни и атрибути за трафик от сертифицирани IoT системи за откритие (в момента поддържа Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM и Armis).
Настройка на нова политика, посветена на IoT в управлението на политиките.
Настройване и управление на правила за сигурност, основани на атрибутите на IoT устройствата.

2. TLS InspectionHTTP/2:

HTTP/2 е актуализация на протокола HTTP. Актуализацията предлага подобрения в скоростта, ефективността и сигурността, което води до по-добро потребителско изживяване.
Сигурностната шлюзова система на Check Point вече поддържа HTTP/2 и предлага по-добра скорост и ефективност, като същевременно осигурява пълна сигурност с всички функции за предотвратяване на заплахи и контрол на достъпа, както и нови защити за протокола HTTP/2.
Поддръжката е както за нешифрован, така и за SSL криптиран трафик и е напълно интегрирана с възможностите за инспекция HTTPS/TLS.
Слой за инспекция TLS

. Нововъведения относно инспекцията на HTTPS:Нов слой политика в SmartConsole, посветен на инспекцията на TLS.

Различни слоеве за инспекция на TLS могат да се използват в различни пакетирани политики.
Споделяне на слой за инспекция TLS между множество пакетирани политики.
API за операции по инспекция на TLS.
3. Превенция на заплахи

Обща подобрение на ефективността на процесите по превенция на заплахи и обновления.

Автоматични обновления на двигателя за извличане на заплахи.
Динамични, домейн и обновяеми обекти могат сега да се използват в политики за превенция на заплахи и инспекция на TLS. Обновяемите обекти са мрежови обекти, които представляват външна услуга или известен динамичен списък с IP адреси, например — IP адреси на Office365 / Google / Azure / AWS и геообекти.
Антивирусната функция вече използва индикации за заплахи SHA-1 и SHA-256, за да блокира файлове въз основа на техните хешове. Импортирайте новите индикации от изгледа за индикации за заплахи в SmartConsole или CLI на Custom Intelligence Feed.
Антивирусната функция и SandBlast Threat Emulation вече поддържат инспекция на имейл трафик чрез протокола POP3, както и подобрена инспекция на имейл трафик чрез протокола IMAP.
Антивирусната функция и SandBlast Threat Emulation вече използват нововъведената функция за инспекция SSH за инспекция на файлове, прехвърляни чрез протоколите SCP и SFTP.
Антивирусът и емулаторът на заплахи SandBlast сега използват новопредставената функция за инспекция на SSH, за да проверяват файлове, прехвърляни през протоколите SCP и SFTP.
Anti-Virus и SandBlast Threat Emulation сега предоставят подобрена поддръжка за инспекция на SMBv3 (3.0, 3.0.2, 3.1.1), която включва инспекция на многоканални връзки. Check Point е сега единственият доставчик, който поддържа инспекция на файлов пренос през множество канали (функция, която е включена по подразбиране във всички Windows среди). Това позволява на клиентите да останат в безопасност, докато работят с тази функция за подобряване на производителността.

4. Осведоменост за идентичността

Поддръжка за интеграция на Captive Portal с SAML 2.0 и трети страни доставчици на идентичност.
Поддръжка за Identity Broker за мащабно и детайлно споделяне на информация за идентичност между PDPs, както и споделяне между домейни.
Подобрения в Terminal Servers Agent за по-добро мащабиране и съвместимост.

5. IPsec VPN

Конфигуриране на различни VPN криптиране домейни на Security Gateway, който е член на множество VPN общности. Това предоставя:
Подобрена конфиденциалност — Вътрешните мрежи не се разкриват в IKE протоколите.
Подобрена сигурност и детайлност — Уточнете кои мрежи са достъпни в определена VPN общност.
Подобрена съвместимост — Оптимизирани определения за VPN на базата на маршрути (препоръчва се, когато работите с празен VPN криптиране домейн).
Създайте и работете без усилие с Large Scale VPN (LSV) среда с помощта на LSV профили.

6. URL Филтриране

Подобрена мащабируемост и устойчивост.
Разширени възможности за отстраняване на проблеми.

7. NAT

Подобрен механизъм за разпределение на NAT портове — на Security Gateways с 6 или повече CoreXL Firewall инстанции, всички инстанции използват една и съща база от NAT портове, което оптимизира използването и повторното им използване.
Наблюдение на използването на NAT портове в CPView и с SNMP.

8. Гласова комуникация по Интернет (VoIP)Множество инстанции на CoreXL Firewall обработват SIP протокола, за да подобрят производителността.

9. Дистанционен достъп VPNИзползвайте машинен сертификат, за да различите корпоративни и некорпоративни активи и да зададете политика, която налага използването само на корпоративни активи. Налагането може да бъде преди вход (само удостоверяване на устройството) или след вход (удостоверяване на устройството и потребителя).

10. Агент на мобилния достъпПодобрена защита на точки при поискване в мобилния достъп, за да поддържа всички основни уеб браузъри. За повече информация вижте sk113410.

11. CoreXL и Multi-Queue

Поддръжка за автоматично разпределение на CoreXL SND и инстанции на Firewall, което не изисква рестартиране на Security Gateway.
Подобрен начин на работа от самото начало — Security Gateway автоматично променя броя на CoreXL SND и инстанции на Firewall и конфигурацията на Multi-Queue в зависимост от текущото натоварване на трафика.

12. Клъстериране

Поддръжка за Cluster Control Protocol в Unicast режим, който премахва необходимостта от CCP

Мултикаст или широкомасов режим:

Криптиране на Cluster Control Protocol сега е включено по подразбиране.
Нов режим ClusterXL - Активно/Активно, който поддържа членове на клъстера в различни географски местоположения, намиращи се на различни подсетки и с различни IP адреси.
Поддръжка за членове на ClusterXL, които работят с различни версии на софтуера.
Премахната е необходимостта от конфигурация на MAC Magic, когато няколко клъстера са свързани към същата подсетка.

13. VSX

Поддръжка за VSX ъпгрейд с CPUSE в Gaia Portal.
Поддръжка за Active Up режим в VSLS.
Поддръжка за статистически отчети в CPView за всяка виртуална система

14. Zero TouchПрост процес на настройка Plug & Play за инсталиране на устройство — премахва необходимостта от техническа експертиза и извършване на връзка с устройството за първоначална конфигурация.

15. Gaia REST APIGaia REST API предоставя нов начин за четене и изпращане на информация към сървъри, работещи с операционната система Gaia. Вижте sk143612.

16. Разширено маршрутизиране

Подобрения в OSPF и BGP позволяват нулиране и рестартиране на OSPF съседите за всяка инстанция на CoreXL Firewall без необходимост от рестартиране на маршрутизацията.
Подобряване на опресняването на маршрута за по-добро управление на несъответствията в маршрутизацията на BGP.

17. Нови възможности на ядрото

Актуализирано ядро на Linux
Нова система за разделяне (gpt):
Поддържа повече от 2TB физически/логически дискове
По-бърза файлова система (xfs)
Поддръжка на по-голямо системно хранилище (тестирано до 48TB)
Подобрения, свързани с I/O производителността
Многоопашка:
Пълна поддръжка на Gaia Clish за команди с многоопашки
Автоматична конфигурация «включена по подразбиране»
Поддръжка на SMB v2/3 в Mobile Access blade
Добавена поддръжка за NFSv4 (клиент) (NFS v4.2 е подразбирана версия на NFS)
Поддръжка на нови системни инструменти за отстраняване на проблеми, мониторинг и конфигуриране на системата

18. CloudGuard Controller

Подобрения в производителността за свързване с външни центрове за данни.
Интеграция с VMware NSX-T.
Поддръжка за допълнителни API команди за създаване и редактиране на обекти на Data Center Server.

19. Multi-Domain Server

Архивиране и възстановяване на индивидуален Domain Management Server на Multi-Domain Server.
Мигриране на Domain Management Server от един Multi-Domain Server на различен Multi-Domain Security Management.
Мигриране на Security Management Server, за да стане Domain Management Server на Multi-Domain Server.
Мигриране на Domain Management Server, за да стане Security Management Server.
Възстановяване на домейн на Multi-Domain Server или Security Management Server на предишна версия за допълнително редактиране.

20. SmartTasks и API

Нова методология за автентикация на Management API, която използва автоматично генериран API ключ.
Нови команди на Management API за създаване на обекти на кластери.
Централно разполагане на Jumbo Hotfix Accumulator и Hotfixes от SmartConsole или с API позволява инсталиране или обновяване на множество Security Gateways и Clusters паралелно.
SmartTasks — Конфигуриране на автоматични скриптове или HTTPS заявки, активирани от администраторски задачи, като публикуване на сесия или инсталиране на политика.

21. РазполаганеЦентрално разполагане на Jumbo Hotfix Accumulator и Hotfixes от SmartConsole или с API позволява инсталиране или обновяване на множество Security Gateways и Clusters паралелно.

22. SmartEventСподеляне на SmartView изгледи и отчети с други администратори.

23. Log ExporterЕкспортиране на логове, филтрирани по стойности на полета.

24. Endpoint Security

Поддръжка за BitLocker криптиране за пълна дискова криптиране.
Поддръжка за сертификати от външен орган за удостоверяване за клиента на Endpoint Security
автентикация и комуникация с Endpoint Security Management Server.
Поддръжка за динамичен размер на пакетите на клиента на Endpoint Security въз основа на избраните
функции за разполагане.
Политиката може сега да контролира нивото на известията за крайни потребители.
Поддръжка за постоянна VDI среда в управлението на Endpoint Policy.

Какво ни хареса най-много (въз основа на задачите на клиентите)

Както виждате, има много нововъведения. Но за нас, като системен интегратор, има някои много интересни моменти (които също са интересни за нашите клиенти). Нашият Топ-10:

Накрая, имаме пълна поддръжка за IoT устройства. Вече е доста трудно да се намери компания, която да няма такива устройства.
TLS инспекцията сега е преместена в отделен слой (Layer). Това е много по-удобно, отколкото сега (в 80.30). Вече не е нужно да стартирате стария Legacy Dashboard. Освен това вече в политиката за HTTPS инспекция можете да използвате актуализируеми обекти, като услугите на Office365, Google, Azure, AWS и т.н. Това е много удобно, когато трябва да настроите изключения. Въпреки това, все още няма поддръжка за tls 1.3. Видимо ще „догонят“ с следващия горещ фикс.
Съществени промени за Anti-Virus и SandBlast. Сега е възможно да се проверяват протоколи като SCP, SFTP и SMBv3 (между другото, този многофункционален протокол вече никой не може да проверява).
Има много подобрения, свързани с Site-to-Site VPN. Сега можете да конфигурирате няколко VPN домейна на шлюз, който участва в няколко VPN общности. Това е много удобно и значително по-безопасно. Освен това, Check Point накрая си спомни за Route Based VPN и малко подобри стабилността/съвместимостта му.
Появи се много търсена функция за отдалечени потребители. Сега можете да удостоверявате не само потребителя, но и устройството, от което се свързва. Например, искаме да разрешим свързване по VPN само от корпоративни устройства. Това се прави, разбира се, с помощта на сертификати. Също така стана възможно автоматично монтиране (SMB v2/3) на файлови споделяния за отдалечени потребители с VPN клиент.
Има много промени в работата на клъстера. Но може би най-интересното е възможността за работа на клъстер, където шлюзовете имат различни версии на Gaia. Това е удобно при планирано обновление.
Подобрени са възможностите за Zero Touch. Полезно нещо за тези, които често инсталират "малки" шлюзове (например за банкомати).
За логовете сега се поддържа хранилище до 48TB.
Можете да "споделяте" своите табла SmartEvent с други администратори.
Log Exporter сега позволява предварителна филтрация на изпращаните съобщения по необходимите полета. Тоест, само необходимите логове и събития ще достигат до вашите SIEM системи.

Актуализация

Вероятно много от вас вече мислят за обновление. Не бързайте. Първо версия 80.40 трябва да премине в Общодостъпна версия. Но и след това не бързайте да се обновявате. По-добре е да изчакате поне първия хотфикс.
Вероятно много от вас "седи" и на по-стари версии. Мога да кажа, че поне вече можете (и дори трябва) да се обновите до 80.30. Това е вече стабилна и проверена система!

Можете също така да се абонирате за нашите публикации (Телеграм, Facebook, VK, TS Solution Blog), където можете да следите за появата на нови материали по Check Point и други security продукти.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.