🥇Check Point Gaia R80.40. Hvad er der nyt?

Endnu en release af operativsystemet nærmer sig Gaia R80.40. For et par uger siden startede programmet Early Access, som giver adgang til at teste distributionen. Som sædvanlig publicerer vi information om, hvad der er nyt, og fremhæver de punkter, som vi finder mest interessante. For at være på forkant kan jeg sige, at ændringerne er virkelig betydningsfulde. Derfor bør man forberede sig på en snarlig opdateringsprocedure. Tidligere har vi allerede publiceret en artikel om hvordan dette gøres (for yderligere information kan man kontakte her). Lad os gå videre til emnet …

Hvad er nyt

Lad os her se på de officielle nyheder. Oplysningerne er taget fra hjemmesiden Check Mates (det officielle Check Point-fællesskab). Med jeres tilladelse vil jeg ikke oversætte denne tekst, da publikum på Habr tillader det. I stedet vil jeg efterlade mine kommentarer i det næste kapitel.

1. IoT-sikkerhed. Nye funktioner vedrørende Internet of Things

Indsamle IoT-enheder og trafikoplysninger fra certificerede IoT-opdagelsesmotorer (understøtter i øjeblikket Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM og Armis).
Konfigurér et nyt dedikeret IoT-politiklag i politikstyringen.
Konfigurér og administrer sikkerhedsregler baseret på IoT-enhedernes egenskaber.

2. TLS-inspektionHTTP/2:

HTTP/2 er en opdatering af HTTP-protokollen. Opdateringen giver forbedringer i hastighed, effektivitet og sikkerhed og resulterer i en bedre brugeroplevelse.
Check Points sikkerheds-gateway understøtter nu HTTP/2 og får fordele af bedre hastighed og effektivitet, samtidig med at den opnår fuld sikkerhed med alle trusselforebyggelses- og adgangskontrolblade samt nye beskyttelser for HTTP/2-protokollen.
Understøttelse er for både klar og SSL-krypteret trafik og er fuldt integreret med HTTPS/TLS
inspektionsmuligheder.

TLS inspektionslag. Nyheder vedrørende HTTPS-inspektion:

Et nyt politiklag i SmartConsole dedikeret til TLS-inspektion.
Different TLS-inspektionslag kan bruges i forskellige politikpakker.
Deling af et TLS-inspektionslag på tværs af flere politikpakker.
API til TLS-operationer.

3. Trusselbeskyttelse

Generel effektivitetforbedring for trusselbeskyttelsesprocesser og opdateringer.
Automatiske opdateringer til trusseludtræksmotoren.
Dynamiske, domæne- og opdaterbare objekter kan nu bruges i trusselbeskyttelse og TLS-inspektionspolitikker. Opdaterbare objekter er netværksobjekter, der repræsenterer en ekstern tjeneste eller en kendt dynamisk liste over IP-adresser, for eksempel — Office365 / Google / Azure / AWS IP-adresser og Geo-objekter.
Antivirus bruger nu SHA-1 og SHA-256 trusselindikationer til at blokere filer baseret på deres hashes. Importér de nye indikatorer fra SmartConsole-trusselindikatorvisningen eller den tilpassede intelligent-feed CLI.
Antivirus og SandBlast trussel-emulering understøtter nu inspektion af e-mailtrafik over POP3-protokollen samt forbedret inspektion af e-mailtrafik over IMAP-protokollen.
Antivirus og SandBlast trussel-emulering bruger nu den nyligt introducerede SSH-inspektionsfunktion til inspektion af filer, der overføres over SCP- og SFTP-protokollerne.
Anti-Virus og SandBlast Bedriftslignelse giver nu forbedret support til SMBv3-inspektion (3.0, 3.0.2, 3.1.1), som omfatter inspektion af multikanalforbindelser. Check Point er nu den eneste leverandør, der understøtter inspektion af filoverførsler gennem flere kanaler (en funktion, der er som standard aktiveret i alle Windows-miljøer). Dette gør det muligt for kunderne at forblive sikre, mens de arbejder med denne ydeevneforbedrende funktion.

4. Identitetsbevidsthed

Support til Captive Portal-integration med SAML 2.0 og tredjeparts identitetsudbydere.
Support til Identitetsbroker for skalerbar og granulær deling af identitetsinformation mellem PDP'er, samt tværdomænesharing.
Forbedringer til Terminal Servers Agent for bedre skalering og kompatibilitet.

5. IPsec VPN

Konfigurer forskellige VPN-krypteringsdomæner på en sikkerhedsgateway, der er medlem af flere VPN-fællesskaber. Dette giver:
Forbedret privatliv — Interne netværk afsløres ikke i IKE-protokolforhandlinger.
Forbedret sikkerhed og granulering — Angiv hvilke netværk der er tilgængelige i et specificeret VPN-fællesskab.
Forbedret interoperabilitet — Forenklede rute-baserede VPN-definitioner (anbefales når du arbejder med et tomt VPN-krypteringsdomæne).
Opret og arbejd problemfrit med et Large Scale VPN (LSV) miljø hjulpet af LSV-profiler.

6. URL Filtrering

Forbedret skalerbarhed og modstandskraft.
Udvidede fejlfindingmuligheder.

7. NAT

Forbedret NAT-portallokeringsmekanisme — på sikkerhedsgateways med 6 eller flere CoreXL Firewall-instancer, bruger alle instancer det samme pool af NAT-porte, hvilket optimerer portudnyttelsen og genbrug.
Overvågning af NAT-portudnyttelse i CPView og med SNMP.

8. Voice over IP (VoIP)Flere CoreXL Firewall-instancer håndterer SIP-protokollen for at forbedre ydeevnen.

9. Remote Access VPNBrug maskincertifikat til at skelne mellem virksomhedens og ikke-virksomhedens aktiver og til at indstille en politik, der håndhæver brugen af virksomhedens aktiver alene. Håndhævelse kan ske før login (kun enhedsautentificering) eller efter login (enheds- og brugerautentificering).

10. Mobil Adgang Portal AgentForbedret Endpoint Security on Demand inden for Mobil Adgang Portal Agent til at understøtte alle større webbrowser. For mere information, se sk113410.

11. CoreXL og Multi-Queue

Support til automatisk tildeling af CoreXL SND'er og Firewall-instancer, der ikke kræver genstart af en sikkerhedsgateway.
Forbedret ud-af-boksen oplevelse — Sikkerhedsgateway ændrer automatisk antallet af CoreXL SND'er og Firewall-instancer samt Multi-Queue-konfigurationen baseret på den aktuelle trafikbelastning.

12. Clustering

Support til Cluster Control Protocol i Unicast-tilstand, der fjerner behovet for CCP.

Broadcast eller Multicast-tilstande:

Cluster Control Protocol-kryptering er nu aktiveret som standard.
Ny ClusterXL-tilstand - Aktiv/Aktiv, som understøtter Cluster Medlemmer i forskellige geografiske placeringer, der er placeret på forskellige undernet og har forskellige IP-adresser.
Support til ClusterXL Cluster Medlemmer, der kører forskellige softwareversioner.
Fjernet behovet for MAC Magic-konfiguration, når flere klynger forbindes til det samme undernet.

13. VSX

Support til VSX-opgradering med CPUSE i Gaia Portal.
Support til Active Up-tilstand i VSLS.
Support til CPView statistiske rapporter for hvert Virtuelt System.

14. Zero TouchEn enkel Plug & Play-opsætningsproces til installation af en enhed — som eliminerer behovet for teknisk ekspertise og forbindelsen til enheden for den indledende konfiguration.

15. Gaia REST APIGaia REST API giver en ny måde at læse og sende information til servere, der kører Gaia Operating System. Se sk143612.

16. Avanceret Routing

Forbedringer til OSPF og BGP tillader nulstilling og genstart af OSPF-naboer for hver CoreXL Firewall- instans uden behov for at genstarte det rutede dæmon.
Forbedring af ruteopdatering for bedre håndtering af BGP-routinginkonsistenser.

17. Nye kernefunktioner

Opgraderet Linux-kerne.
Nyt partitioneringssystem (gpt):
Understøtter mere end 2TB fysiske/logiske drev
Hurtigere filsystem (xfs)
Understøtter større systemopbevaring (testet op til 48TB)
Forbedringer af I/O-relateret ydeevne
Multi-Queue:
Fuldt Gaia Clish-support til Multi-Queue kommandoer
Automatisk «tændt som standard» konfiguration
SMB v2/3 monteringssupport i Mobile Access-blade
Tilføjet NFSv4 (klient) support (NFS v4.2 er den standard anvendte NFS-version)
Understøttelse af nye systemværktøjer til fejlfinding, overvågning og konfiguration af systemet

18. CloudGuard Controller

Ydeevneforbedringer for forbindelser til eksterne datacentre.
Integration med VMware NSX-T.
Support for yderligere API kommandoer til at oprette og redigere Data Center Server objekter.

19. Multi-Domain Server

Sikkerhedskopier og gendan en individuel Domain Management Server på en Multi-Domain Server.
Migrer en Domain Management Server på en Multi-Domain Server til en anden Multi-Domain Security Management.
Migrer en Security Management Server til at blive en Domain Management Server på en Multi-Domain Server.
Migrer en Domain Management Server til at blive en Security Management Server.
Gendan en Domain på en Multi-Domain Server, eller en Security Management Server til en tidligere revision til videre redigering.

20. SmartTasks og API

Ny Management API autentifikationsmetode, der bruger en automatisk genereret API-nøgle.
Nye Management API kommandoer til at oprette klyngeobjekter.
Central udrulning af Jumbo Hotfix Accumulator og Hotfixes fra SmartConsole eller ved hjælp af en API tillader installation eller opgradering af flere Security Gateways og klynger parallelt.
SmartTasks — Konfigurer automatiske scripts eller HTTPS-anmodninger udløst af administratoropgaver, såsom publisering af en session eller installation af en politik.

21. UdrulningCentral udrulning af Jumbo Hotfix Accumulator og Hotfixes fra SmartConsole eller ved hjælp af en API tillader installation eller opgradering af flere Security Gateways og klynger parallelt.

22. SmartEventDel SmartView visninger og rapporter med andre administratorer.

23. Log ExporterEksporter logs filtreret i henhold til feltværdier.

24. Endpoint Security

Understøttelse af BitLocker-kryptering til fuld disk kryptering.
Understøttelse af eksterne certifikatmyndigheds certifikater til Endpoint Security-klienten
authentication og kommunikation med Endpoint Security Management Server.
Understøttelse af dynamisk størrelse af Endpoint Security Client-pakker baseret på de valgte
funktioner til udrulning.
Politikken kan nu kontrollere niveauet af meddelelser til slutbrugerne.
Understøttelse af Persistent VDI-miljø i Endpoint Policy Management.

Hvad vi nød mest (baseret på kundernes opgaver)

Som I kan se, er der mange nyheder. Men for os som systemintegrator, er der flere særligt interessante punkter (som også interesserer vores kunder). Vores Top-10:

Der er endelig kommet fuld support til IoT-enheder. Det er nu ret sjældent at finde en virksomhed, der ikke har sådanne enheder.
TLS-inspektion er nu flyttet til et separat lag. Det er langt mere praktisk end nuværende (i 80.30). Det er ikke længere nødvendigt at køre det gamle Legacy Dashboard. Desuden kan man nu i HTTPS-inspektionspolitikken bruge opdaterbare objekter såsom tjenester fra Office365, Google, Azure, AWS osv. Det er meget praktisk, når man skal konfigurere undtagelser. Men der er stadig ikke support for TLS 1.3. Det ser ud til, at de vil indhente det i den næste hotfix.
Betydelige ændringer for Anti-Virus og SandBlast. Nu kan man kontrollere protokoller som SCP, SFTP og SMBv3 (for øvrigt er ingen andre i stand til at tjekke denne multimodale protokol).
Der er mange forbedringer vedrørende Site-to-Site VPN. Nu kan man konfigurere flere VPN-domæner på en gateway, som er en del af flere VPN-fællesskaber. Det er meget praktisk og langt mere sikkert. Desuden har Check Point endelig husket på Route Based VPN og har forbedret stabiliteten/kompatibiliteten en smule.
En meget efterspurgt funktion for fjernbrugere er nu tilgængelig. Nu kan man autentificere ikke kun brugeren, men også den enhed, som de opretter forbindelse fra. For eksempel, hvis vi ønsker at tillade VPN-forbindelse kun fra virksomhedens enheder. Dette gøres selvfølgelig med certifikater. Derudover er det blevet muligt automatisk at montere (SMB v2/3) filshares for fjernbrugere med VPN-klienten.
Der er mange ændringer i klusterets funktion. Men måske den mest interessante er muligheden for at køre et kluster, hvor gatewayene har forskellige versioner af Gaia. Det er praktisk ved planlagte opdateringer.
Zero Touch-funktionen er blevet forbedret. En nyttig funktion for dem, der ofte installerer "små" gateways (for eksempel til pengeautomater).
Logfiler understøtter nu lager op til 48TB.
Man kan "dele" sine SmartEvent dashboards med andre administratorer.
Log Exporter tillader nu forudfiltrering af de sendte meddelelser efter nødvendige felter. Det vil sige, at kun de relevante logfiler og begivenheder vil gå til dine SIEM-systemer.

Opdatering

Mange overvejer sikkert opgraderingen. Men hast dig ikke. Først skal version 80.40 gå i General Availability. Men selv efter det bør man ikke opgradere med det samme. Det er bedre at vente på mindst den første hotfix.
Måske sidder mange stadig på ældre versioner. Jeg kan sige, at man mindst allerede kan (og endda bør) opgradere til 80.30. Dette er allerede et stabilt og afprøvet system!

Du kan også abonnere på vores sociale medier (Telegram, Facebook, VK, TS Solution Blog), hvor du kan følge med i nye materialer om Check Point og andre sikkerhedsprodukter.

Kun registrerede brugere kan deltage i undersøgelsen. Log ind, please.