{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. Co to je, s \u010d\u00edm se to j\u00ed nebo stru\u010dn\u011b o hlavn\u00edm","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nDobr\u00fd den, v\u00e1\u017een\u00ed \u010dten\u00e1\u0159i Habr! Toto je firemn\u00ed blog spole\u010dnosti TS Solution<\/a><\/noindex>. Jsme systemov\u00fd integr\u00e1tor a p\u0159ev\u00e1\u017en\u011b se specializujeme na \u0159e\u0161en\u00ed bezpe\u010dnosti IT infrastruktury (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) a syst\u00e9my pro anal\u00fdzu strojn\u00edch dat (Splunk<\/a><\/noindex>). Na na\u0161em blogu za\u010dneme mal\u00fdm \u00favodem do technologi\u00ed Check Point.<\/p>\n

Dlouho jsme uva\u017eovali o tom, zda napsat tento \u010dl\u00e1nek, proto\u017ee v n\u011bm nen\u00ed nic nov\u00e9ho, co by nebylo mo\u017en\u00e9 nal\u00e9zt na internetu. Nicm\u00e9n\u011b, navzdory t\u00e9to hojnos\u00ed informac\u00ed, p\u0159i pr\u00e1ci se z\u00e1kazn\u00edky a partnery \u010dasto sly\u0161\u00edme stejn\u00e9 dotazy. Proto jsme se rozhodli napsat jak\u00e9si \u00favod do sv\u011bta technologi\u00ed Check Point a objasnit podstatu architektury jejich \u0159e\u0161en\u00ed. A to v\u0161e v r\u00e1mci jednoho 'mal\u00e9ho' p\u0159\u00edsp\u011bvku, tak \u0159\u00edkaj\u00edc rychl\u00fd exkurz. Pokus\u00edme se vyhnout marketingov\u00fdm v\u00e1lk\u00e1m, proto\u017ee nejsme v\u00fdrobce, ale pouze systemov\u00fd integr\u00e1tor (i kdy\u017e Check Point m\u00e1me velmi r\u00e1di) a prost\u011b zv\u00e1\u017e\u00edme hlavn\u00ed aspekty bez porovn\u00e1v\u00e1n\u00ed s jin\u00fdmi v\u00fdrobci (jako jsou Palo Alto, Cisco, Fortinet atd.). \u010cl\u00e1nek se uk\u00e1zal jako pom\u011brn\u011b obs\u00e1hl\u00fd, ale pokr\u00fdv\u00e1 v\u011bt\u0161inu ot\u00e1zek na \u00favod do Check Point. Pokud v\u00e1s to zaj\u00edm\u00e1, v\u00edtejte pod kat...
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

Kdy\u017e za\u010dneme hovo\u0159it o Check Point, prvn\u00edm, co bychom m\u011bli uv\u00e9st, je vysv\u011btlen\u00ed, co jsou UTM, NGFW a \u010d\u00edm se li\u0161\u00ed. Ud\u011bl\u00e1me to velmi stru\u010dn\u011b, abychom p\u0159\u00edsp\u011bvek neud\u011blali p\u0159\u00edli\u0161 dlouh\u00fdm (mo\u017en\u00e1 se v budoucnu na tuto ot\u00e1zku pod\u00edv\u00e1me trochu podrobn\u011bji)<\/p>\n

UTM \u2014 Unified Threat Management<\/b><\/p>\n

Stru\u010dn\u011b \u0159e\u010deno, podstatou UTM je konsolidace n\u011bkolika ochrann\u00fdch prost\u0159edk\u016f do jednoho \u0159e\u0161en\u00ed. Tedy v\u0161e v jedn\u00e9 krabici, nebo jak\u00e9si all inclusive. Co se rozum\u00ed pod 'n\u011bkolik ochrann\u00fdch prost\u0159edk\u016f'? Nejroz\u0161\u00ed\u0159en\u011bj\u0161\u00ed variantou je: Firewall, IPS, Proxy (URL filtrov\u00e1n\u00ed), streamov\u00fd Antivirus, Anti-Spam, VPN a tak d\u00e1le. To v\u0161e je integrov\u00e1no v r\u00e1mci jednoho UTM \u0159e\u0161en\u00ed, co\u017e usnad\u0148uje integraci, nastaven\u00ed, administraci a monitorov\u00e1n\u00ed, a to se pozitivn\u011b odr\u00e1\u017e\u00ed na celkov\u00e9m zabezpe\u010den\u00ed s\u00edt\u011b. Kdy\u017e UTM \u0159e\u0161en\u00ed poprv\u00e9 p\u0159i\u0161la na trh, byla pova\u017eov\u00e1na v\u00fdhradn\u011b pro mal\u00e9 spole\u010dnosti, proto\u017ee UTM nedok\u00e1zala zpracovat velk\u00e9 objemy provozu. Bylo to z dvou d\u016fvod\u016f:<\/p>\n

    \n
  1. Zp\u016fsob zpracov\u00e1n\u00ed paket\u016f. Prvn\u00ed verze UTM \u0159e\u0161en\u00ed zpracov\u00e1vala pakety sekven\u010dn\u011b, ka\u017ed\u00fdm \u201emodulem\u201c. P\u0159\u00edklad: nejprve paket zpracov\u00e1v\u00e1 firewall, pot\u00e9 IPS, pak ho kontroluje antivir a tak d\u00e1le. Samoz\u0159ejm\u011b, takov\u00fd mechanismus zpomaloval provoz a zna\u010dn\u011b zat\u011b\u017eoval syst\u00e9mov\u00e9 zdroje (procesor, pam\u011b\u0165).<\/li>\n
  2. Slab\u00fd hardware. Jak bylo zm\u00edn\u011bno v\u00fd\u0161e, sekven\u010dn\u00ed zpracov\u00e1n\u00ed paket\u016f zna\u010dn\u011b zat\u011b\u017eovalo zdroje a hardware t\u00e9 doby (1995-2005) prost\u011b nezvl\u00e1dalo vysok\u00fd provoz.<\/li>\n<\/ol>\n

    \nAle pokrok nestoj\u00ed na m\u00edst\u011b. Od t\u00e9 doby se zna\u010dn\u011b zv\u00fd\u0161ily hardwarov\u00e9 kapacity, a zpracov\u00e1n\u00ed paket\u016f se zm\u011bnilo (mus\u00edme uznat, \u017ee ne u v\u0161ech dodavatel\u016f) a stalo se schopn\u00fdm prakticky simult\u00e1nn\u00ed anal\u00fdzy v n\u011bkolika modulech (M\u00c9, IPS, antivir atd.). Modern\u00ed UTM \u0159e\u0161en\u00ed dok\u00e1\u017eou \u201estr\u00e1vit\u201c des\u00edtky a dokonce stovky gigabit\u016f v re\u017eimu hlubok\u00e9 anal\u00fdzy, co\u017e umo\u017e\u0148uje jejich pou\u017eit\u00ed v segmentu velk\u00fdch podnik\u016f nebo dokonce datov\u00fdch center.<\/p>\n

    N\u00ed\u017ee je uveden slavn\u00fd magick\u00fd kvadrat od Gartnera pro UTM \u0159e\u0161en\u00ed z srpna 2016:<\/p>\n

    \"Check
    \n
    \nNebudu tuto obr\u00e1zek p\u0159\u00edli\u0161 komentovat, jen \u0159eknu, \u017ee v prav\u00e9m horn\u00edm rohu jsou l\u00edd\u0159i.<\/p>\n

    NGFW \u2014 Next Generation Firewall<\/b><\/p>\n

    N\u00e1zev mluv\u00ed s\u00e1m za sebe \u2014 firewall nov\u00e9 generace. Tento koncept se objevil podstatn\u011b pozd\u011bji ne\u017e UTM. Hlavn\u00ed my\u0161lenka NGFW \u2014 hlubok\u00e1 anal\u00fdza paket\u016f (DPI) pomoc\u00ed vestav\u011bn\u00e9ho IPS a \u0159\u00edzen\u00ed p\u0159\u00edstupu na \u00farovni aplikac\u00ed (Application Control). V tomto p\u0159\u00edpad\u011b je IPS pr\u00e1v\u011b pot\u0159eba k tomu, aby v toku paket\u016f identifikoval ur\u010ditou aplikaci, co\u017e umo\u017e\u0148uje jej\u00ed povolen\u00ed nebo z\u00e1kaz. P\u0159\u00edklad: m\u016f\u017eeme povolit provoz Skype, ale zak\u00e1zat p\u0159enos soubor\u016f. M\u016f\u017eeme zak\u00e1zat pou\u017e\u00edv\u00e1n\u00ed Torrentu nebo RDP. Tak\u00e9 se podporuj\u00ed webov\u00e9 aplikace: m\u016f\u017eeme povolit p\u0159\u00edstup na VK.com, ale zak\u00e1zat hry, zpr\u00e1vy nebo p\u0159ehr\u00e1v\u00e1n\u00ed videa. V podstat\u011b kvalita NGFW z\u00e1vis\u00ed na po\u010dtu aplikac\u00ed, kter\u00e9 dok\u00e1\u017ee rozpoznat. Mnoz\u00ed se domn\u00edvaj\u00ed, \u017ee zaveden\u00ed pojmu NGFW bylo oby\u010dejnou marketingovou strategi\u00ed, na jej\u00edm\u017e pozad\u00ed za\u010dala sv\u016fj bou\u0159liv\u00fd r\u016fst spole\u010dnost Palo Alto.<\/p>\n

    Magick\u00fd kvadrat od Gartnera pro NGFW z kv\u011btna 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Velmi \u010dast\u00e1 ot\u00e1zka, co je lep\u0161\u00ed? Na tuto ot\u00e1zku nen\u00ed jednozna\u010dn\u00e1 odpov\u011b\u010f a ani nem\u016f\u017ee b\u00fdt. Zejm\u00e9na pokud vezmeme v \u00favahu, \u017ee t\u00e9m\u011b\u0159 v\u0161echna modern\u00ed UTM \u0159e\u0161en\u00ed obsahuj\u00ed funkce NGFW a v\u011bt\u0161ina NGFW m\u00e1 funkce, kter\u00e9 jsou vlastn\u00ed UTM (antivirov\u00fd software, VPN, Anti-Bot atd.). Jak u\u017e to b\u00fdv\u00e1, \"\u010dert tkv\u00ed v detailech\", a proto je nejprve nutn\u00e9 rozhodnout, co konkr\u00e9tn\u011b pot\u0159ebujete, a stanovit si rozpo\u010det. Na z\u00e1klad\u011b t\u011bchto rozhodnut\u00ed si m\u016f\u017eete vybrat n\u011bkolik variant. A v\u0161echny je nutn\u00e9 jednozna\u010dn\u011b testovat, ne\u0159\u00eddit se marketingov\u00fdmi materi\u00e1ly.<\/p>\n

    My se na na\u0161\u00ed stran\u011b pokus\u00edme v r\u00e1mci n\u011bkolika \u010dl\u00e1nk\u016f p\u0159ibl\u00ed\u017eit Check Point, jak si ho m\u016f\u017eete vyzkou\u0161et a co lze vlastn\u011b vyzkou\u0161et (prakticky v\u0161echny funkce).<\/p>\n

    T\u0159i slo\u017eky Check Pointu<\/b><\/p>\n

    P\u0159i pr\u00e1ci s Check Pointem se ur\u010dit\u011b setk\u00e1te se t\u0159emi sou\u010d\u00e1stmi tohoto produktu:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 samotn\u00e1 br\u00e1na bezpe\u010dnosti, kter\u00e1 se obvykle umis\u0165uje na okraj s\u00edt\u011b a vykon\u00e1v\u00e1 funkce firewallu, streamovac\u00edho antiviru, anti-bota, IPS atd.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 server pro spr\u00e1vu br\u00e1n. Prakticky v\u0161echna nastaven\u00ed na br\u00e1n\u011b (SG) se prov\u00e1d\u011bj\u00ed pomoc\u00ed tohoto serveru. SMS m\u016f\u017ee tak\u00e9 fungovat jako log server a zpracov\u00e1vat je pomoc\u00ed vestav\u011bn\u00e9ho syst\u00e9mu anal\u00fdzy a korelace ud\u00e1lost\u00ed \u2014 Smart Event (podobn\u011b jako SIEM pro Check Point), ale o tom si pov\u00edme pozd\u011bji. SMS se pou\u017e\u00edv\u00e1 pro centralizovanou spr\u00e1vu n\u011bkolika bran (po\u010det bran z\u00e1vis\u00ed na modelu SMS nebo licenci), ale mus\u00edte ho pou\u017e\u00edvat, i kdy\u017e m\u00e1te pouze jednu br\u00e1nu. Je t\u0159eba poznamenat, \u017ee Check Point byli jedni z prvn\u00edch, kdo zavedli takov\u00fd centralizovan\u00fd syst\u00e9m spr\u00e1vy, kter\u00fd ji\u017e dlouho uzn\u00e1v\u00e1na jako \"zlat\u00fd standard\" podle zpr\u00e1v spole\u010dnosti Gartner. Dokonce existuje vtip: \"Pokud by m\u011bla Cisco dobrou syst\u00e9m \u0159\u00edzen\u00ed, Check Point by nikdy nevznikl.\"<\/li>\n
    3. Smart Console<\/b> \u2014 klientsk\u00e1 konzole pro p\u0159ipojen\u00ed k serveru spr\u00e1vy (SMS). Obvykle se instaluje na po\u010d\u00edta\u010d spr\u00e1vce. P\u0159es tuto konzolu se prov\u00e1d\u011bj\u00ed ve\u0161ker\u00e9 zm\u011bny na serveru spr\u00e1vy, a teprve pot\u00e9 lze nastaven\u00ed aplikovat na br\u00e1ny bezpe\u010dnosti (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nOpera\u010dn\u00ed syst\u00e9m Check Point<\/b><\/p>\n

      Pokud jde o opera\u010dn\u00ed syst\u00e9m Check Point, m\u016f\u017eeme zm\u00ednit t\u0159i: IPSO, SPLAT a GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 opera\u010dn\u00ed syst\u00e9m spole\u010dnosti Ipsilon Networks, kter\u00fd pat\u0159il spole\u010dnosti Nokia. V roce 2009 tento byznys koupil Check Point. Ji\u017e se d\u00e1le nevyv\u00edj\u00ed.<\/li>\n
      2. SPLAT<\/b> \u2014 vlastn\u00ed v\u00fdvoj Check Point, zalo\u017een\u00fd na j\u00e1dru RedHat. Ji\u017e se d\u00e1le nevyv\u00edj\u00ed.<\/li>\n
      3. Gaia<\/b> \u2014 aktu\u00e1ln\u00ed opera\u010dn\u00ed syst\u00e9m od Check Point, kter\u00fd vznikl slou\u010den\u00edm IPSO a SPLAT, a zahrnuje to nejlep\u0161\u00ed z obou. P\u0159edstaven byl v roce 2012 a st\u00e1le se aktivn\u011b vyv\u00edj\u00ed.<\/li>\n<\/ol>\n

        \nPokud jde o Gaia, je t\u0159eba \u0159\u00edci, \u017ee v sou\u010dasnosti je nejroz\u0161\u00ed\u0159en\u011bj\u0161\u00ed verz\u00ed R77.30. Relativn\u011b ned\u00e1vno byla p\u0159edstavena verze R80, kter\u00e1 se od p\u0159edchoz\u00ed verze podstatn\u011b li\u0161\u00ed (jak v oblasti funkcionality, tak \u0159\u00edzen\u00ed). T\u00e9matu jejich rozd\u00edl\u016f se budeme v\u011bnovat v samostatn\u00e9m p\u0159\u00edsp\u011bvku. Dal\u0161\u00ed d\u016fle\u017eit\u00fd bod \u2014 v sou\u010dasnosti m\u00e1 certifik\u00e1t FSTEK pouze verze R77.10 a certifikace verze R77.30 st\u00e1le prob\u00edh\u00e1.<\/p>\n

        Varianta proveden\u00ed (Check Point Appliance, Virtual machine, OpenServer)<\/b><\/p>\n

        Nen\u00ed to nic p\u0159ekvapiv\u00e9ho, jako mnoho dodavatel\u016f, i Check Point m\u00e1 n\u011bkolik variant produktu:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 softwarov\u00e9 a hardwarov\u00e9 za\u0159\u00edzen\u00ed, tj. vlastn\u00ed \"\u017eelezo\". Model\u016f je velmi mnoho, kter\u00e9 se li\u0161\u00ed v\u00fdkonem, funkcionalitou a proveden\u00edm (existuj\u00ed varianty pro pr\u016fmyslov\u00e9 s\u00edt\u011b).\n

          \"Check<\/li>\n

        2. Virtual Machine<\/b> \u2014 virtu\u00e1ln\u00ed stroj Check Point s opera\u010dn\u00edm syst\u00e9mem Gaia. Podporuj\u00ed se hypervizory ESXi, Hyper-V, KVM. Licencuj\u00ed se podle po\u010dtu jader procesoru.<\/li>\n
        3. OpenServer<\/b> \u2014 instalace Gaia p\u0159\u00edmo na server jako hlavn\u00edho opera\u010dn\u00edho syst\u00e9mu (tzv. \"Bare metal\"). Podporov\u00e1na je pouze ur\u010dit\u00e9 \"\u017eelezo\". Existuj\u00ed doporu\u010den\u00ed pro toto \u017eelezo, kter\u00e1 je t\u0159eba dodr\u017eovat, jinak mohou vzniknout probl\u00e9my s ovlada\u010di a technick\u00e1 podpora v\u00e1m m\u016f\u017ee odm\u00edtnout servis.<\/li>\n<\/ol>\n

          \nMo\u017enosti nasazen\u00ed (Distributed nebo Standalone)<\/b><\/p>\n

          N\u011bco v\u00fd\u0161e jsme ji\u017e diskutovali, co je br\u00e1na (SG) a server \u0159\u00edzen\u00ed (SMS). Te\u010f prodiskutujeme mo\u017enosti jejich nasazen\u00ed. Existuj\u00ed dva hlavn\u00ed zp\u016fsoby:<\/p>\n

            \n
          1. Standalone (SG+SMS)<\/b> \u2014 varianta, kdy jsou br\u00e1na i server \u0159\u00edzen\u00ed nainstalov\u00e1ny v r\u00e1mci jednoho za\u0159\u00edzen\u00ed (nebo virtu\u00e1ln\u00edho stroje).\n

            \"Check
            \n
            \nTato varianta je vhodn\u00e1, kdy\u017e m\u00e1te pouze jednu br\u00e1nu, kter\u00e1 nen\u00ed siln\u011b zat\u00ed\u017eena u\u017eivatelsk\u00fdm provozem. Tato varianta je nej\u00fasporn\u011bj\u0161\u00ed, proto\u017ee nen\u00ed t\u0159eba kupovat \u0159\u00eddic\u00ed server (SMS). Nicm\u00e9n\u011b p\u0159i zna\u010dn\u00e9m zat\u00ed\u017een\u00ed br\u00e1ny m\u016f\u017eete za\u017e\u00edt \u201ezpomaluj\u00edc\u00ed\u201c syst\u00e9m spr\u00e1vy. Proto je p\u0159ed v\u00fdb\u011brem samostatn\u00e9ho \u0159e\u0161en\u00ed nejlep\u0161\u00ed konzultovat nebo dokonce otestovat tuto variantu.<\/p>\n<\/li>\n

          2. Distributed<\/b> \u2014 \u0159\u00eddic\u00ed server je instalov\u00e1n odd\u011blen\u011b od br\u00e1ny.\n

            \"Check
            \n
            \nOptim\u00e1ln\u00ed varianta z hlediska pohodl\u00ed a v\u00fdkonu. Pou\u017e\u00edv\u00e1 se, kdy\u017e je pot\u0159eba spravovat n\u011bkolik bran sou\u010dasn\u011b, nap\u0159\u00edklad centr\u00e1ln\u00ed a pobo\u010dn\u00ed. V takov\u00e9m p\u0159\u00edpad\u011b je nutn\u00e9 zakoupit \u0159\u00eddic\u00ed server (SMS), kter\u00fd m\u016f\u017ee b\u00fdt tak\u00e9 ve form\u011b za\u0159\u00edzen\u00ed (hardware) nebo virtu\u00e1ln\u00edho stroje.<\/li>\n<\/ol>\n

            \nJak jsem ji\u017e zm\u00ednil v\u00fd\u0161e, Check Point m\u00e1 vlastn\u00ed SIEM syst\u00e9m \u2014 Smart Event. M\u016f\u017eete jej pou\u017e\u00edvat pouze v p\u0159\u00edpad\u011b distribuovan\u00e9 instalace.<\/p>\n

            Re\u017eimy provozu (Bridge, Routed)<\/b>
            \nBezpe\u010dnostn\u00ed br\u00e1na (SG) m\u016f\u017ee fungovat ve dvou z\u00e1kladn\u00edch re\u017eimech:<\/p>\n