🥇12. Check Point Getting Started R80.20. Logs & Reports

Velkommen til lektion 12. I dag vil vi tale om et andet meget vigtigt emne, nemlig arbejde med logs og rapporter. Nogle gange kan denne funktionalitet være næsten afgørende, når man vælger beskyttelsesmiddel. Sikkerhedseksperterne elsker virkelig et praktisk rapportsystem og funktionsrigt søgning gennem forskellige hændelser. Det er svært at bebrejde dem. I bund og grund er logs og rapporter et vigtigt element i vurderingen af sikkerheden. Hvordan kan man forstå det nuværende sikkerhedsniveau, hvis man ikke kan se, hvad der sker? Heldigvis har Check Point alt på dette område i orden og endda mere. Check Point har et af de bedste rapportsystemer, der fungerer lige ud af boksen! Derudover er der mulighed for tilpasning og oprettelse af egne rapporter! Alt dette suppleres med en praktisk og intuitiv måde at arbejde med logs på. Men lad os tage det hele i rækkefølge.

Helt nyt interface

Hvis du har arbejdet med Check Point tidligere, vil du helt sikkert være overrasket over det helt nye interface til logs og rapporter i R80. På billedet kan man se, hvor mange forskellige værktøjer der er samlet i én ny fane Logs & Monitor:

Afsnittet Logs & Monitor

Hvis du går ind i Logs & Monitor og åbner en ny fane, bør du se noget lignende:

Som standard er der her to store sektioner:

Audit Logs View — her kan du finde alle hændelser relateret til indlogning/udlogging af administratorer, ændringer i konfigurationen osv. Altså klassisk revision af administratorens handlinger.
Logs View — her kan man søge i de hændelser, som «genereres» af alle vores aktiverede blades, hvad enten det er firewall, antivirus, IPS osv. Vi har allerede brugt denne funktion mange gange.

Derudover findes der også links til rapporter (Reports) og forskellige dashboards (Views). For at de fungerer, kræves det, at blade Smart Eventer aktiveret. Men det vil jeg komme tilbage til senere. Først lad os kigge på, hvordan man arbejder med logs.

Søgning i logs

Efter min mening er det en fornøjelse at arbejde med logs i R80. Vi har en ret smart søgestreng, der lader os «skære» igennem både vilkårlig tekst, blades og alle andre indeksérbare parametre som kilde, destination, handling osv.

Samtidig kan vi formulere ret komplekse søgeforespørgsler ved hjælp af logiske operatorer OG, OR, NOT. Og det er slet ikke nødvendigt at skrive noget. Du kan oprette en filter lige med et par museklik. Lidt senere vil vi prøve det i praksis.

Visning af Log-beskeder efter Access-List

Vi har også allerede vurderet muligheden for at vise logs efter specifikke adgangslister. Det er ekstremt praktisk, og man vænner sig hurtigt til det. Især er det nyttigt ved fejlfinding. Du markerer en interessant "access-list" og ser nedenunder, om den relevante trafik falder ind under den.

Du behøver ikke at navigere væk eller oprette et komplekst filter for logs.

Visninger & Rapporter

For rapportering og visualisering af data i Check Point står en blade for Smart Event, som aktiveres ved serveren styring. Denne funktionalitet kan med sikkerhed kaldes en SIEM, men kun for Check Point-produkter! Teknisk set kan du på Smart Event håndtere logs fra andre systemer (som Cisco, Microsoft osv.), men det er ikke den mest hensigtsmæssige idé 🙂 I praksis er det ret problematisk. Men med "checkpoint" logs håndterer SmartEvent det utroligt godt. Den kan korrelere, opsummere, gennemsnit og meget mere. Og alt dette fungerer direkte fra kassen! Selvfølgelig findes der allerede færdige dashboards til at vise de mest vigtige oplysninger. I Check Point kaldes de Views:

Her kan man se, at der er et ret stort antal standard dashboards, som er meget nyttige i daglig administration og overvågning.

Ud over dashboards, hvor oplysningerne blot visualiseres, er der mulighed for at generere fuldgyldige rapporter og gemme dem i pdf eller excel format. Du kan generere dem efter en tidsplan og sende dem til en bestemt e-mailadresse.

Og det bedste af det hele! Dashboards og rapporter kan du selv oprette! Dvs. du er ikke begrænset til de indbyggede. Det kan ikke alle leverandører prale af. Desuden kan skabelonerne for disse dashboards eller rapporter importeres eller eksporteres, hvilket giver brugerne mulighed for at dele deres resultater. Selve processen med at oprette et dashboard er ganske enkel og intuitiv. Jeg vil forsøge at vise dig dette i forbindelse med et laboratorium, som du finder i videoen nedenfor.