Check Point Gaia R80.40. Co bude nového?

Blíží se další vydání operačního systému Gaia R80.40. Před několika týdny byl spuštěn program Early Access, jehož výsledkem je přístup k testování distribuce. Jak je obvyklé, publikujeme informace o novinkách a zdůrazníme aspekty, které jsou z našeho pohledu nejzajímavější. Předbíhám, mohu říct, že novinky jsou skutečně významné. Proto je dobré se připravit na blízký proces aktualizace. Dříve jsme již publikovali článek o tom, jak to provést (pro další informace se můžete obrátit sem). Přejdeme k tématu…

Co je nového

Podívejme se zde na oficiálně oznámené novinky. Informace byly získány z webu Check Mates (oficiální komunita Check Point). S vaším svolením nebudu tento text překládat, neboť to publikum Habr tomu odpovídá. Místo toho zde zanechám své komentáře v následující kapitole.

1. IoT bezpečnost. Nové funkce, které se týkají internetu věcí

• Shromažďujte zařízení IoT a atributy provozu od certifikovaných engine pro objevování IoT (aktuálně podporuje Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM a Armis).
• Konfigurujte novou vrstvu politiky věnovanou IoT v rámci správy politik.
• Nastavte a spravujte bezpečnostní pravidla, která se zakládají na atributech zařízení IoT.

2. TLS inspekceHTTP/2:

• HTTP/2 je aktualizace protokolu HTTP. Tato aktualizace přináší vylepšení ve rychlosti, efektivitě a bezpečnosti, což vede k lepší uživatelské zkušenosti.
• Bezpečnostní brána Check Point nyní podporuje HTTP/2 a poskytuje lepší rychlost a efektivitu při zachování plné bezpečnosti, se všemi žiletkami prevence hrozeb a kontrolou přístupu, jakož i s novými ochranami pro protokol HTTP/2.
• Podpora je jak pro jasný, tak pro šifrovaný SSL provoz a je plně integrovaná s možnostmi inspekce HTTPS/TLS.
• Inspekční schopnosti.

Vrstva inspekce TLS. Novinky týkající se inspekce HTTPS:

• Nová vrstva politiky v SmartConsole věnovaná inspekci TLS.
• Různé vrstvy inspekce TLS mohou být použity v různých balíčcích politik.
• Sdílení vrstvy inspekce TLS napříč více balíčky politik.
• API pro operace TLS.

3. Prevence hrozeb

• Celkové zlepšení efektivity procesů prevence hrozeb a aktualizací.
• Automatické aktualizace na motoru extrakce hrozeb.
• Dynamické, doménové a aktualizovatelné objekty mohou nyní být použity v politikách prevence hrozeb a inspekce TLS. Aktualizovatelné objekty jsou síťové objekty, které představují externí službu nebo známý dynamický seznam IP adres, například - Office365 / Google / Azure / AWS IP adresy a Geo objekty.
• Antivirus nyní používá SHA-1 a SHA-256 indikace hrozeb k blokování souborů na základě jejich hashů. Importujte nové indikace z pohledu indikátorů hrozeb SmartConsole nebo Custom Intelligence Feed CLI.
• Antivirus a SandBlast emulace hrozeb nyní podporují inspekci e-mailového provozu přes POP3 protokol, stejně jako vylepšenou inspekci e-mailového provozu přes IMAP protokol.
• Antivirus a SandBlast emulace hrozeb nyní používají nově zavedenou funkci inspekce SSH pro inspekci souborů přenášených přes SCP a SFTP protokoly.
• Anti-Virus a emulace hrozeb SandBlast nyní poskytují vylepšenou podporu pro inspekci SMBv3 (3.0, 3.0.2, 3.1.1), což zahrnuje inspekci víc kanálových připojení. Check Point je nyní jediným dodavatelem, který podporuje inspekci přenosu souborů prostřednictvím více kanálů (funkce, která je ve všech Windows prostředích ve výchozím nastavení zapnutá). To umožňuje zákazníkům zůstat v bezpečí při práci s touto funkci zlepšující výkonnost.

4. Pov awareness identity

• Podpora integrace Captive Portal s SAML 2.0 a třetími stranami poskytovatelů identity.
• Podpora Identity Broker pro škálovatelné a jemné sdílení informací o identitě mezi PDP, stejně jako sdílení napříč doménami.
• Vylepšení pro agenta terminálových serverů pro lepší škálovatelnost a kompatibilitu.

5. IPsec VPN

• Nastavte různé domény šifrování VPN na bezpečnostní bráně, která je členem několika VPN komunit. To poskytuje:
• Vylepšenou ochranu soukromí — Interní sítě nejsou odhaleny v jednáních protokolu IKE.
• Vylepšenou bezpečnost a granularitu — Určete, které sítě jsou přístupné v určité komunitě VPN.
• Vylepšenou interoperabilitu — Zjednodušené definice VPN na základě směrování (doporučeno při práci s prázdnou doménou šifrování VPN).
• Vytvořte a bez problémů pracujte s prostředím velké škály VPN (LSV) s pomocí profilů LSV.

6. Filtrace URL

• Vylepšená škálovatelnost a odolnost.
• Rozšířené možnosti řešení problémů.

7. NAT

• Vylepšený mechanismus přidělování portů NAT — na bezpečnostních bránách s 6 nebo více instancemi CoreXL Firewall, všechny instance používají stejný pool portů NAT, což optimalizuje využití a opětovné použití portů.
• Sledování využití portů NAT v CPView a s SNMP.

8. Hlasové služby přes IP (VoIP)Více instancí CoreXL Firewall obsluhuje protokol SIP pro zvýšení výkonu.

9. VPN pro vzdálený přístupPoužijte strojové certifikáty pro rozlišení mezi firemními a nefiremními zařízeními a nastavte politiku, která vyžaduje používání pouze firemních zařízení. Vymáhání může být před přihlášením (pouze ověření zařízení) nebo po přihlášení (ověření zařízení a uživatele).

10. Agent mobilního přístupuVylepšená bezpečnost koncových bodů na vyžádání v rámci agenta mobilního přístupu pro podporu všech hlavních webových prohlížečů. Pro více informací viz sk113410.

11. CoreXL a Multi-Queue

• Podpora automatického přidělování CoreXL SND a instancí firewallu, které nevyžadují restartování bezpečnostní brány.
• Vylepšení z hlediska uživatelského zážitku — bezpečnostní brána automaticky mění počet CoreXL SND a instancí firewallu a konfiguraci Multi-Queue na základě současného zatížení provozu.

12. Klustering

• Podpora Cluster Control Protocol v režimu Unicast, což eliminuje potřebu CCP.

Režimy Broadcast nebo Multicast:

• Šifrování Cluster Control Protocol je nyní ve výchozím nastavení povoleno.
• Nový režim ClusterXL - Aktivní/Aktivní, který podporuje členy clusteru na různých geografických místech, které se nacházejí na různých podsítích a mají různé IP adresy.
• Podpora členů clusteru ClusterXL, kteří provozují různé verze softwaru.
• Eliminována potřeba konfigurace MAC Magic při připojení několika clusterů na stejnou podsíť.

13. VSX

• Podpora upgradu VSX pomocí CPUSE v portálu Gaia.
• Podpora režimu Active Up v VSLS.
• Podpora statistických zpráv CPView pro každý virtuální systém.

14. Zero TouchJednoduchý proces nastavení Plug & Play pro instalaci zařízení — eliminující potřebu technických znalostí a nutnost připojit se k zařízení pro počáteční konfiguraci.

15. Gaia REST APIGaia REST API poskytuje nový způsob, jak číst a odesílat informace na servery, které běží na operačním systému Gaia. Viz sk143612.

16. Pokročilé směrování

• Vylepšení OSPF a BGP umožňují resetovat a restartovat sousedění OSPF pro každou instanci CoreXL Firewall bez potřeby restartovat směrovací démon.
• Vylepšení obnovy směru pro lepší zpracování nekonzistencí směrování BGP.

17. Nové možnosti jádra

• Upgrade Linux jádra.
• Nový systém oddělení (gpt):
• Podporuje více než 2TB fyzických/logických disků
• Rychlejší souborový systém (xfs)
• Podpora většího systémového úložiště (testováno až do 48TB)
• Zlepšení výkonu souvisejícího s I/O
• Vícevlakno:
• Úplná podpora Gaia Clish pro příkazy Multi-Queue
• Automatická konfigurace „zapnuto ve výchozím nastavení“
• Podpora SMB v2/v3 v mobilním přístupu
• Přidána podpora NFSv4 (klient) (NFS v4.2 je výchozí verze NFS)
• Podpora nových systémových nástrojů pro ladění, monitorování a konfiguraci systému

18. CloudGuard Controller

• Zlepšení výkonu pro připojení k externím datovým centrům.
• Integrace s VMware NSX-T.
• Podpora dalších API příkazů pro vytváření a úpravu objektů serveru datového centra.

19. Více-doménový server

• Zálohování a obnova jednotlivého serveru pro správu domény na více-doménovém serveru.
• Migrace serveru pro správu domény z jednoho více-doménového serveru na jiný více-doménový server pro správu bezpečnosti.
• Migrace serveru pro správu bezpečnosti na server pro správu domény na více-doménovém serveru.
• Migrace serveru pro správu domény na server pro správu bezpečnosti.
• Vrátit doménu na více-doménovém serveru nebo serveru pro správu bezpečnosti ke předchozímu vydání pro další úpravy.

20. SmartTasks a API

• Nová metoda autentizace správy API, která používá automaticky generovaný klíč API.
• Nové příkazy správy API pro vytváření objektů clusteru.
• Centrální nasazení Jumbo Hotfix Akumulátoru a hotfixů z aplikace SmartConsole nebo pomocí API umožňuje instalaci nebo aktualizaci více bezpečnostních brán a clusterů současně.
• SmartTasks — Konfigurace automatických skriptů nebo HTTPS požadavků vyvolaných úkoly administrátora, jako je publikace relace nebo instalace politiky.

21. NasazeníCentrální nasazení Jumbo Hotfix Akumulátoru a hotfixů z aplikace SmartConsole nebo pomocí API umožňuje instalaci nebo aktualizaci více bezpečnostních brán a clusterů současně.

22. SmartEventSdílení pohledů a zpráv SmartView s ostatními administrátory.

23. Exportér protokolůExport protokolů filtrovaných podle hodnot polí.

24. Endpoint Security

• Podpora šifrování BitLocker pro šifrování celého disku.
• Podpora externích certifikátů Certifikačních autorit pro klienta Endpoint Security
• autentizaci a komunikaci se serverem pro správu Endpoint Security.
• Podpora dynamické velikosti balíčků klienta Endpoint Security na základě vybraných
• funkcí pro nasazení.
• Politika nyní může řídit úroveň oznámení pro koncové uživatele.
• Podpora persistentního VDI prostředí v řízení politiky koncových bodů.

Co se nám nejvíce líbilo (na základě úkolů klientů)

Jak vidíte, je tu spousta novinek. Ale pro nás, jako pro systémového integrátora, existuje několik velmi zajímavých aspektů (které jsou také zajímavé pro naše klienty). Náš top 10:

1. Konečně byla zajištěna plná podpora IoT zařízení. Je již obtížné najít společnost, která by takové zařízení neměla.
2. Inspekce TLS byla nyní převedena do samostatné vrstvy. To je mnohem pohodlnější než nyní (v 80.30). Není třeba spouštět starý Legacy Dashboard. Navíc je nyní v politice inspekce HTTPS možné používat Aktualizovatelné objekty, jako jsou služby Office365, Google, Azure, AWS atd. To je velmi pohodlné, když je potřeba nastavit výjimky. Přesto však stále není podpora tls 1.3. Zřejmě to „dohoní“ následující hotfix.
3. Významné změny pro Anti-Virus a SandBlast. Nyní je možné kontrolovat protokoly jako SCP, SFTP a SMBv3 (mimochodem, tento vícekanálový protokol už nikdo jiný nekontroluje).
4. Do množství vylepšení, která se týkají Site-to-Site VPN. Nyní je možné nastavit více VPN domén na bráně, která je součástí několika VPN komunit. To je velmi praktické a mnohem bezpečnější. Kromě toho si Check Point konečně vzpomněl na Route Based VPN a mírně zlepšil jeho stabilitu/kompatibilitu.
5. Objevila se velmi žádaná funkce pro vzdálené uživatele. Nyní je možné autentizovat nejen uživatele, ale i zařízení, z něhož se připojuje. Například chceme povolit připojení přes VPN pouze z firemních zařízení. To se samozřejmě provádí pomocí certifikátů. Také je nyní možné automaticky připojovat (SMB v2/v3) sdílené složky pro vzdálené uživatele s VPN klientem.
6. Došlo k mnoha změnám v práci clusteru. Ale snad jedna z nejzajímavějších je možnost fungování clusteru, kde brány mají různé verze Gaia. To je užitečné při plánované aktualizaci.
7. Zlepšily se možnosti Zero Touch. Užitečná funkce pro ty, kteří často instalují "malé" brány (například pro bankomaty).
8. Pro logy je nyní podporováno úložiště až 48 TB.
9. Můžete "sdílet" své dashboardy SmartEvent s ostatními administrátory.
10. Log Exporter nyní umožňuje provádět předfiltraci odesílaných zpráv podle potřebných polí. To znamená, že do vašich SIEM systémů budou procházet pouze potřebné logy a události.

Aktualizace

Možná si mnoho lidí už vyhledává informace o aktualizaci. Nespěchejte. Nejdříve by měla verze 80.40 přejít do General Availability. Ale ani poté se nemusí ihned aktualizovat. Lepší je počkat alespoň na první hotfix.
Možná mnoho lidí "sedí" na starších verzích. Mohu říci, že minimálně už je možné (a dokonce nutné) aktualizovat na 80.30. To už je stabilní a osvědčený systém!

Můžete se také přihlásit k našim veřejnostem (Telegram, Facebook, VK, TS Solution Blog), kde můžete sledovat vznik nových materiálů o Check Point a dalších bezpečnostních produktech.

Pouze registrovaní uživatelé se mohou účastnit ankety. Přihlaste se, prosím.

Jakou verzi Gaia používáte?

• R77.10
• R77.30
• R80.10
• R80.20
• R80.30
• Jiné

Hlasovalo 13 uživatelů. Zdrželo se 6 uživatelů.

Zdroj: habr.com