Check Point Gaia R80.40. Какво ще е новото?

Следващата версия на операционната система наближава Gaia R80.40. Преди няколко седмици Програмата за ранен достъп стартира, където имате достъп, за да тествате разпространението. Както обикновено, ние публикуваме информация за това, което е ново, и също така подчертаваме точките, които са най-интересни от наша гледна точка. Гледайки напред, мога да кажа, че иновациите са наистина значителни. Затова си струва да се подготвите за ранна процедура за актуализиране. Преди това вече имахме публикува статия как да направите това (за повече информация, моля, посетете свържете се тук). Да минем на темата...

Какво ново

Нека разгледаме официално обявените иновации тук. Информацията е взета от сайта Проверете приятели (официална общност на Check Point). С ваше разрешение няма да превеждам този текст, за щастие публиката на Habr го позволява. Вместо това ще оставя коментарите си за следващата глава.

1. IoT сигурност. Нови функции, свързани с Интернет на нещата

• Събирайте IoT устройства и атрибути за трафик от сертифицирани машини за откриване на IoT (в момента поддържа Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM и Armis).
• Конфигурирайте нов IoT специален слой на политиката в управлението на политиките.
• Конфигурирайте и управлявайте правила за сигурност, които се основават на атрибутите на IoT устройствата.

2. TLS инспекцияHTTP / 2:

• HTTP/2 е актуализация на HTTP протокола. Актуализацията осигурява подобрения на скоростта, ефективността и сигурността и води до по-добро потребителско изживяване.
• Шлюзът за сигурност на Check Point вече поддържа HTTP/2 и се възползва от по-добра скорост и ефективност, като същевременно получава пълна сигурност, с всички блейдове за предотвратяване на заплахи и контрол на достъпа, както и нови защити за HTTP/2 протокола.
• Поддръжката е както за ясен, така и за SSL криптиран трафик и е напълно интегрирана с HTTPS/TLS
• Възможности за проверка.

Слой за проверка на TLS. Иновации по отношение на проверката на HTTPS:

• Нов слой на правилата в SmartConsole, посветен на проверката на TLS.
• Различни слоеве за проверка на TLS могат да се използват в различни пакети с правила.
• Споделяне на слой инспекция на TLS в множество пакети с политики.
• API за TLS операции.

3. Предотвратяване на заплахи

• Цялостно подобряване на ефективността за процесите и актуализациите за предотвратяване на заплахи.
• Автоматични актуализации на Threat Extraction Engine.
• Динамични, домейнови и обновяеми обекти вече могат да се използват в политиките за предотвратяване на заплахи и проверка на TLS. Актуализируемите обекти са мрежови обекти, които представляват външна услуга или известен динамичен списък с IP адреси, например – IP адреси на Office365 / Google / Azure / AWS и гео обекти.
• Anti-Virus вече използва индикации за заплахи SHA-1 и SHA-256, за да блокира файлове въз основа на техните хешове. Импортирайте новите индикатори от изгледа SmartConsole Threat Indicators или Custom Intelligence Feed CLI.
• Anti-Virus и SandBlast Threat Emulation вече поддържат проверка на имейл трафик през POP3 протокола, както и подобрена проверка на имейл трафик през IMAP протокола.
• Anti-Virus и SandBlast Threat Emulation сега използват нововъведената SSH функция за проверка, за да проверяват файлове, прехвърлени през SCP и SFTP протоколите.
• Anti-Virus и SandBlast Threat Emulation вече осигуряват подобрена поддръжка за проверка на SMBv3 (3.0, 3.0.2, 3.1.1), която включва проверка на многоканални връзки. Check Point вече е единственият доставчик, който поддържа проверка на прехвърляне на файлове през множество канали (функция, която е включена по подразбиране във всички среди на Windows). Това позволява на клиентите да останат сигурни, докато работят с тази функция за подобряване на производителността.

4. Осъзнаване на идентичността

• Поддръжка за интегриране на Captive Portal със SAML 2.0 и доставчици на идентичност на трети страни.
• Поддръжка на Identity Broker за мащабируемо и детайлно споделяне на информация за самоличност между PDP, както и споделяне между домейни.
• Подобрения в агента на терминалните сървъри за по-добро мащабиране и съвместимост.

5. IPsec VPN

• Конфигурирайте различни домейни за криптиране на VPN на шлюз за сигурност, който е член на множество VPN общности. Това осигурява:
• Подобрена поверителност — Вътрешните мрежи не се разкриват при преговорите за IKE протокол.
• Подобрена сигурност и детайлност — Посочете кои мрежи са достъпни в определена VPN общност.
• Подобрена оперативна съвместимост — Опростени VPN дефиниции, базирани на маршрут (препоръчва се, когато работите с празен домейн за VPN криптиране).
• Създавайте и безпроблемно работете с Large Scale VPN (LSV) среда с помощта на LSV профили.

6. URL филтриране

• Подобрена мащабируемост и устойчивост.
• Разширени възможности за отстраняване на неизправности.

7.NAT

• Подобрен механизъм за разпределяне на NAT портове — на шлюзове за сигурност с 6 или повече инстанции на CoreXL Firewall, всички инстанции използват един и същ набор от NAT портове, което оптимизира използването и повторната употреба на портовете.
• Мониторинг на използването на NAT порт в CPView и с SNMP.

8. Глас през IP (VoIP)Множество екземпляри на CoreXL Firewall обработват SIP протокола, за да подобрят производителността.

9. VPN за отдалечен достъпИзползвайте сертификат на машина, за да разграничите корпоративни и некорпоративни активи и да зададете политика, налагаща използването само на корпоративни активи. Налагането може да бъде преди влизане (само удостоверяване на устройството) или след влизане (удостоверяване на устройство и потребител).

10. Агент на портала за мобилен достъпПодобрена защита на крайната точка при поискване в рамките на агента на портала за мобилен достъп за поддръжка на всички основни уеб браузъри. За повече информация вижте sk113410.

11.CoreXL и Multi-Queue

• Поддръжка за автоматично разпределение на CoreXL SND и екземпляри на Firewall, което не изисква рестартиране на Security Gateway.
• Подобрено изживяване извън кутията — Security Gateway автоматично променя броя на CoreXL SND и екземплярите на защитната стена и конфигурацията на множество опашки въз основа на текущото натоварване на трафика.

12. Групиране

• Поддръжка за протокол за управление на клъстер в режим Unicast, който елиминира нуждата от CCP

Режими Broadcast или Multicast:

• Шифроването на Cluster Control Protocol вече е активирано по подразбиране.
• Нов режим ClusterXL - Активен/Активен, който поддържа членове на клъстера в различни географски местоположения, които са разположени в различни подмрежи и имат различни IP адреси.
• Поддръжка за членове на клъстер ClusterXL, които изпълняват различни версии на софтуера.
• Елиминира нуждата от MAC Magic конфигурация, когато няколко клъстера са свързани към една и съща подмрежа.

13. VSX

• Поддръжка за надграждане на VSX с CPUSE в Gaia Portal.
• Поддръжка за режим Active Up във VSLS.
• Поддръжка на статистически отчети на CPView за всяка виртуална система

14. Нулево докосванеЛесен процес на настройка Plug & Play за инсталиране на уред — премахване на необходимостта от технически опит и необходимостта от свързване към уреда за първоначална конфигурация.

15. Gaia REST APIGaia REST API предоставя нов начин за четене и изпращане на информация до сървъри, които работят с операционна система Gaia. Вижте sk143612.

16. Разширено маршрутизиране

• Подобренията на OSPF и BGP позволяват нулиране и рестартиране на съседен OSPF за всеки екземпляр на защитната стена на CoreXL, без да е необходимо да рестартирате маршрутизирания демон.
• Подобряване на опресняването на маршрута за подобрено управление на несъответствията в маршрутизирането на BGP.

17. Нови възможности на ядрото

• Надстроено Linux ядро
• Нова система за разделяне (gpt):
• Поддържа повече от 2TB физически/логически дискове
• По-бърза файлова система (xfs)
• Поддържа по-голямо системно съхранение (тествано до 48TB)
• Подобрения в производителността, свързани с I/O
• Мулти-опашка:
• Пълна поддръжка на Gaia Clish за команди с няколко опашки
• Автоматична конфигурация „включено по подразбиране“.
• Поддръжка за монтиране на SMB v2/3 в блейд Mobile Access
• Добавена поддръжка за NFSv4 (клиент) (NFS v4.2 е използваната NFS версия по подразбиране)
• Поддръжка на нови системни инструменти за отстраняване на грешки, наблюдение и конфигуриране на системата

18. Контролер CloudGuard

• Подобрения в производителността за връзки към външни центрове за данни.
• Интеграция с VMware NSX-T.
• Поддръжка за допълнителни API команди за създаване и редактиране на обекти на сървъра на центъра за данни.

19. Мултидомейн сървър

• Архивирайте и възстановете отделен сървър за управление на домейн на мултидомейн сървър.
• Мигрирайте сървър за управление на домейн на един мултидомейн сървър към различно управление на сигурността на много домейни.
• Мигрирайте сървър за управление на сигурността, за да стане сървър за управление на домейн на мултидомейн сървър.
• Мигрирайте сървър за управление на домейн, за да стане сървър за управление на сигурността.
• Върнете домейн на мултидомейн сървър или сървър за управление на сигурността към предишна версия за по-нататъшно редактиране.

20. SmartTasks и API

• Нов метод за удостоверяване на API за управление, който използва автоматично генериран ключ за API.
• Нови команди на API за управление за създаване на клъстерни обекти.
• Централното внедряване на Jumbo Hotfix Accumulator и Hotfixes от SmartConsole или с API позволява паралелно инсталиране или надграждане на множество шлюзове за сигурност и клъстери.
• SmartTasks — Конфигуриране на автоматични скриптове или HTTPS заявки, задействани от администраторски задачи, като публикуване на сесия или инсталиране на политика.

21. РазполаганеЦентралното внедряване на Jumbo Hotfix Accumulator и Hotfixes от SmartConsole или с API позволява паралелно инсталиране или надграждане на множество шлюзове за сигурност и клъстери.

22. SmartEventСподеляйте SmartView изгледи и отчети с други администратори.

23. Износител на трупиЕкспортирайте регистрационни файлове, филтрирани според стойностите на полето.

24. Сигурност на крайната точка

• Поддръжка на BitLocker криптиране за пълно дисково криптиране.
• Поддръжка на външни сертификати на сертифициращия орган за клиент на Endpoint Security
• удостоверяване и комуникация с Endpoint Security Management Server.
• Поддръжка за динамичен размер на пакетите на Endpoint Security Client въз основа на избраните
• функции за внедряване.
• Политиката вече може да контролира нивото на известия до крайните потребители.
• Поддръжка за постоянна VDI среда в управлението на правилата за крайни точки.

Какво ни хареса най-много (въз основа на задачите на клиента)

Както можете да видите, има много нововъведения. Но за нас, като за системен интегратор, има няколко много интересни точки (които са интересни и за нашите клиенти). Нашите топ 10:

1. Най-накрая се появи пълна поддръжка за IoT устройства. Вече е доста трудно да се намери компания, която да няма такива устройства.
2. Проверката на TLS вече е поставена в отделен слой (Layer). Много по-удобно е от сега (на 80.30). Няма повече работа със старото табло за управление на Legasy. Освен това сега можете да използвате обновяеми обекти в правилата за проверка на HTTPS, като услуги на Office365, Google, Azure, AWS и др. Това е много удобно, когато трябва да настроите изключения. Все още обаче няма поддръжка за tls 1.3. Явно ще „наваксат“ със следващата актуална корекция.
3. Значителни промени за Anti-Virus и SandBlast. Сега можете да проверявате протоколи като SCP, SFTP и SMBv3 (между другото, никой вече не може да проверява този многоканален протокол).
4. Има много подобрения по отношение на Site-to-Site VPN. Сега можете да конфигурирате няколко VPN домейна на шлюз, който е част от няколко VPN общности. Много е удобно и много по-безопасно. В допълнение, Check Point най-накрая си спомни Route Based VPN и леко подобри неговата стабилност/съвместимост.
5. Появи се много популярна функция за отдалечени потребители. Сега можете да удостоверите не само потребителя, но и устройството, от което той се свързва. Например искаме да разрешим VPN връзки само от корпоративни устройства. Това става, разбира се, с помощта на сертификати. Също така е възможно автоматично да се монтират (SMB v2/3) споделени файлове за отдалечени потребители с VPN клиент.
6. Има много промени в работата на клъстера. Но може би една от най-интересните е възможността за работа на клъстер, където шлюзовете имат различни версии на Gaia. Това е удобно, когато планирате актуализация.
7. Подобрени възможности за Zero Touch. Полезно нещо за тези, които често инсталират „малки“ шлюзове (например за банкомати).
8. За регистрационни файлове вече се поддържа съхранение до 48TB.
9. Можете да споделяте вашите табла за управление на SmartEvent с други администратори.
10. Log Exporter вече ви позволява да филтрирате предварително изпратените съобщения, като използвате задължителните полета. Тези. Само необходимите регистрационни файлове и събития ще бъдат предадени на вашите SIEM системи

Актуализация

Може би мнозина вече мислят за актуализиране. Няма нужда да бързате. Като начало версия 80.40 трябва да премине към обща наличност. Но дори и след това не трябва да актуализирате веднага. По-добре е да изчакате поне първата актуална корекция.
Може би мнозина „седят“ на по-стари версии. Мога да кажа, че като минимум вече е възможно (и дори необходимо) да се актуализира до 80.30. Това вече е стабилна и доказана система!

Можете също да се абонирате за нашите публични страници (Telegram, Facebook, VK, Блог за TS Solution), където можете да проследите появата на нови материали за Check Point и други продукти за сигурност.

В анкетата могат да участват само регистрирани потребители. Впиши се, Моля те.

Каква версия на Gaia използвате?

• 0,0%R77.100

• 12,0%R77.303

• 20,0%R80.105

• 32,0%R80.208

• 32,0%R80.308

• 4,0%Други 1

25 потребители гласуваха. 6 потребители се въздържаха.

Източник: www.habr.com