🥇13. Check Point Začínáme R80.20. Licence

Ahoj, přátelé! A konečně jsme se dostali k poslednímu, závěrečnému lekci Check Point Getting Started. Dnes se budeme věnovat velmi důležitému tématu — Licencování. Rád bych vás varoval, že tato lekce není vyčerpávajícím průvodcem výběrem zařízení nebo licencí. Je to pouze stručný přehled klíčových bodů, které by měl znát každý administrátor Check Point. Pokud si opravdu nevíte rady s výběrem licence nebo zařízení, doporučuji obrátit se na profesionály, tedy na nás :). Existuje mnoho skrytých nástrah, které je obtížné vysvětlit v rámci kurzu, a také si je hned nezapamatujete.
Naše lekce bude zcela teoretická, takže můžete vypnout své testovací servery a uvolnit se. Na konci článku najdete video lekci, kde vše podrobněji vysvětluji.

Licencování brány

Začneme popisem licenčních specifikací brán bezpečnosti. Toto se týká jak fyzických zařízení, tak virtuálních strojů. Předpokládejme, že jste se rozhodli zakoupit bránu. Koupit pouze hardware nebo virtuální stroj bez 'předplatného' — není možné! Existují tři varianty předplatných:

A nyní první zajímavá zvláštnost! Zařízení nebo virtuální stroj můžete zakoupit pouze s předplatným NGTP nebo NGTX. Až budete obnovovat své předplatné, budete moci zvolit balíček NGFW, pokud nepotřebujete bledy AV, AB, URL, AS, TE a TX. Tak to je. Předplatná lze zakoupit na jeden, dva nebo tři roky.

Mohu uhodnout vaši první otázku! “Co se stane, pokud předplatné neobnovíte?”. Vybral jsem zelenou barvou ty bledy, které budou fungovat NAVŽDY, a BEZ obnovování. To jsou takzvané perpetual bledy. Ostatní bledy, které vyžadují neustálé aktualizace, zkrátka přestanou fungovat. Snad jen u IPS zůstanou klíčové signatury (ale těch je velmi málo). To platí jak pro hardware, tak pro virtuální stroje, tedy vSec.

Jako samostatný bod jsem vyčlenil tři bledy, které nejsou součástí žádného balíčku, a to: DLP, MAB a Capsule.

Také si pamatujte, že pokud kupujete clusterové řešení, jako druhé zařízení vybírejte model s příponou HA (tj. High Availability). Na obrázku je příklad pro bránu 5400. To je co se týče bran. Nyní manažerský server.

Licencování serveru pro správu

Jak jsme již zmínili v prvních lekcích, existují dvě scénáře implementace Check Pointu: Samostatný (kdy je brána a správa na jednom zařízení) a Distribuovaný (kdy je server pro správu přesunut na samostatné zařízení). Možnosti však tímto nekončí. Pojďme se podívat na tři typické scénáře nasazení serveru pro správu:

Nákup vyhrazeného NGSM. Nejoblíbenější varianta. Vyberete si buď zařízení Smart-1, nebo virtuální stroj. Samozřejmě vybíráte podle toho, kolik bran budete spravovat, 5, 10, 25 atd. Po nasazení tohoto zařízení můžete využívat čtyři klíčové blade servery pro správu: NPM (tj. správa politik), Logging and Status (tj. logování), Smart Event (SIEM od Check Pointu, který nám poskytuje veškerou reportaci) a Compliance (to je hodnocení kvality nastavení, ať už podle shody s regulačními požadavky, jako je PCI DSS, nebo prostě dle osvědčených postupů). Je také vidět, že blade NPM a LS jsou trvalé, tj. budou fungovat i bez obnovení předplatného, zatímco blade Smart Event a Compliance jsou k dispozici pouze na první rok! Poté je třeba je prodlužovat za zvláštní poplatek. To je důležitý bod, nezapomeňte na to. A pokud bez blade Compliance se dá ještě žít, blade Smart Event potřebují opravdu všichni.
Nákup vyhrazeného serveru pro správu událostí NAVÍC k již existujícímu serveru řízení NGSM. Proč je to potřeba? Faktem je, že funkce logování a zejména Smart Event „odčerpává“ značné systémové zdroje. A pokud je logů poměrně mnoho, může to způsobit „zpomalení“ na serveru řízení. Proto se často praktikuje přenesení této funkce na samostatné zařízení, buď zařízení Smart-1, nebo virtuální stroj. Velké integrace s velkým množstvím logů téměř vždy vyžadují vyhrazený server pro Smart Event. Ten může přijímat logy. Takže váš server pro správu bude vykonávat pouze funkce správy. To značně zvyšuje stabilitu a odezvu systému. Jak si můžete všimnout, při nákupu vyhrazeného serveru pro Smart Event získáte tyto dva blade trvale, i bez obnovení. V horizontu 3-4 let to bude dokonce ekonomičtější, než každý rok kupovat obnovení Smart Event pro běžný server NGSM.
Vyhrazený server pro správu logů, který doplňuje servery NGSM a Smart Event. Myslím, že smysl je jasný. Při OPRAVDU velkém množství logů můžeme výstup logování umístit na samostatný server. Vyhrazený Log server má také trvalou licenci a nevyžaduje obnovení.