Check Point Gaia R80.40. Was wird neu sein?

Die nächste Version des Betriebssystems steht bevor Gaia R80.40. Vor einigen Wochen wurde das Early Access-Programm gestartet, über das man Zugang zur Testversion des Distributions erhalten kann. Wie gewohnt veröffentlichen wir Informationen darüber, was neu sein wird, und heben die Punkte hervor, die aus unserer Sicht am interessantesten sind. Vorweg kann ich sagen, dass die Neuerungen wirklich bedeutend sind. Daher sollten Sie sich auf das bevorstehende Update vorbereiten. Früher haben wir bereits einen Artikel veröffentlicht , wie man das macht (für weitere Informationen können Sie hierhin gehen). Kommen wir zum Thema…

Neuigkeiten

Lassen Sie uns hier die offiziell angekündigten Neuerungen betrachten. Die Informationen stammen von der Website Check Mates (offizielle Gemeinschaft von Check Point). Mit Ihrer Erlaubnis werde ich diesen Text nicht übersetzen, da dies die Zielgruppe des Hubs zulässt. Stattdessen werde ich meine Kommentare im nächsten Kapitel hinterlassen.

1. IoT-Sicherheit. Neue Funktionen im Zusammenhang mit dem Internet der Dinge

• Sammeln von IoT-Geräten und -Verkehrsmerkmalen von zertifizierten IoT-Entdeckungsmaschinen (derzeit unterstützte Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM und Armis).
• Konfigurieren Sie eine neue IoT-spezifische Richtlinieebene im Richtlinienmanagement.
• Konfigurieren und verwalten Sie Sicherheitsregeln, die auf den Merkmalen der IoT-Geräte basieren.

2. TLS-InspektionHTTP/2:

• HTTP/2 ist ein Update des HTTP-Protokolls. Das Update bietet Verbesserungen hinsichtlich Geschwindigkeit, Effizienz und Sicherheit und führt zu einer besseren Benutzererfahrung.
• Die Sicherheits-Gateway-Lösung von Check Point unterstützt jetzt HTTP/2 und profitiert von besserer Geschwindigkeit und Effizienz, während sie vollständige Sicherheit mit allen Bedrohungsschutz- und Zugriffskontrollfunktionen erhält, sowie neuen Schutzmaßnahmen für das HTTP/2-Protokoll.
• Die Unterstützung gilt sowohl für unverschlüsselten als auch für SSL-verschlüsselten Verkehr und ist vollständig in die HTTPS/TLS
• Inspektionsfähigkeiten integriert.

TLS-Inspektionsebene. Neuerungen bezüglich der HTTPS-Inspektion:

• Eine neue Richtlinienebene in SmartConsole, die der TLS-Inspektion gewidmet ist.
• Verschiedene TLS-Inspektionsschichten können in verschiedenen Richtlinienpaketen verwendet werden.
• Gemeinsame Nutzung einer TLS-Inspektionsschicht über mehrere Richtlinienpakete hinweg.
• API für TLS-Operationen.

3. Bedrohungsschutz

• Allgemeine Effizienzsteigerung für Prozesse und Updates des Bedrohungsschutzes.
• Automatische Updates für die Bedrohungsextraktions-Engine.
• Dynamische, domainspezifische und aktualisierbare Objekte können jetzt in den Richtlinien für Bedrohungsschutz und TLS-Inspektion verwendet werden. Aktualisierbare Objekte sind Netzwerkobjekte, die einen externen Dienst oder eine bekannte dynamische Liste von IP-Adressen darstellen, zum Beispiel — Office365 / Google / Azure / AWS-IP-Adressen und Geo-Objekte.
• Antivirus verwendet jetzt SHA-1- und SHA-256-Bedrohungsindikatoren, um Dateien basierend auf ihren Hashes zu blockieren. Importieren Sie die neuen Indikatoren aus der Ansicht Bedrohungsindikatoren in SmartConsole oder dem Befehlszeilen-Interface für benutzerdefinierte Intelligenzströme.
• Antivirus und SandBlast-Bedrohungsemulation unterstützen jetzt die Inspektion des E-Mail-Verkehrs über das POP3-Protokoll sowie eine verbesserte Inspektion des E-Mail-Verkehrs über das IMAP-Protokoll.
• Antivirus und SandBlast-Bedrohungsemulation verwenden jetzt die neu eingeführte SSH-Inspektionsfunktion, um Dateien zu inspizieren, die über die SCP- und SFTP-Protokolle übertragen werden.
• Die Anti-Virus- und SandBlast-Bedrohungssimulation bietet jetzt eine verbesserte Unterstützung für die SMBv3-Überprüfung (3.0, 3.0.2, 3.1.1), die die Überprüfung von Mehrkanalverbindungen umfasst. Check Point ist jetzt der einzige Anbieter, der die Überprüfung eines Dateitransfers über mehrere Kanäle unterstützt (eine Funktion, die in allen Windows-Umgebungen standardmäßig aktiviert ist). Dies ermöglicht es den Kunden, sicher zu bleiben, während sie mit dieser leistungssteigernden Funktion arbeiten.

4. Identitätsbewusstsein

• Unterstützung für die Integration von Captive Portal mit SAML 2.0 und Drittanbieter-Identitätsanbietern.
• Unterstützung für Identity Broker für skalierbares und granuläres Teilen von Identitätsinformationen zwischen PDPs sowie domänenübergreifendes Teilen.
• Verbesserungen am Terminalserver-Agenten für bessere Skalierung und Kompatibilität.

5. IPsec VPN

• Konfigurieren Sie verschiedene VPN-Verschlüsselungsdomänen auf einem Sicherheitsgateway, das Mitglied mehrerer VPN-Communities ist. Dies bietet:
• Verbesserter Datenschutz – Interne Netzwerke werden nicht in IKE-Protokollverhandlungen offengelegt.
• Verbesserte Sicherheit und Granularität – Geben Sie an, welche Netzwerke in einer bestimmten VPN-Community zugänglich sind.
• Verbesserte Interoperabilität – Vereinfachte routenbasierte VPN-Definitionen (empfohlen, wenn Sie mit einer leeren VPN-Verschlüsselungsdomäne arbeiten).
• Erstellen Sie eine groß angelegte VPN-Umgebung (LSV) und arbeiten Sie nahtlos mit Hilfe von LSV-Profilen.

6. URL-Filterung

• Verbesserte Skalierbarkeit und Resilienz.
• Erweiterte Fehlersuche-Funktionen.

7. NAT

• Verbessertes NAT-Portzuweisungsmechanismus – Auf Sicherheitsgateways mit 6 oder mehr CoreXL-Firewall-Instanzen verwenden alle Instanzen denselben Pool von NAT-Ports, was die Portnutzung und -wiederverwendung optimiert.
• Überwachung der NAT-Portnutzung in CPView und mit SNMP.

8. Voice over IP (VoIP)Mehrere CoreXL-Firewall-Instanzen verwalten das SIP-Protokoll zur Leistungssteigerung.

9. Remote Access VPNVerwenden Sie das Maschinenzertifikat, um zwischen Unternehmens- und Nicht-Unternehmensressourcen zu unterscheiden und eine Richtlinie festzulegen, die die Verwendung von Unternehmensressourcen nur zulässt. Die Durchsetzung kann vor dem Anmelden (nur Geräteauthentifizierung) oder nach dem Anmelden (Geräte- und Benutzerauthentifizierung) erfolgen.

10. Mobile Access Portal AgentVerbesserte Endpoint-Sicherheit nach Bedarf innerhalb des Mobile Access Portal Agenten zur Unterstützung aller gängigen Webbrowser. Für weitere Informationen siehe sk113410.

11. CoreXL und Multi-Queue

• Unterstützung für die automatische Zuweisung von CoreXL SNDs und Firewall-Instanzen, die keinen Neustart des Sicherheitsgateways erfordert.
• Verbessertes out-of-the-box-Erlebnis – Das Sicherheitsgateway ändert automatisch die Anzahl der CoreXL SNDs und Firewall-Instanzen sowie die Multi-Queue-Konfiguration basierend auf der aktuellen Verkehrslast.

12. Clustering

• Unterstützung für das Cluster Control Protocol im Unicast-Modus, das die Notwendigkeit von CCP beseitigt.

Broadcast- oder Multicast-Modi:

• Die Verschlüsselung des Cluster Control Protocols ist jetzt standardmäßig aktiviert.
• Neuer ClusterXL-Modus - Aktiv/Aktiv, der Cluster-Mitglieder an verschiedenen geografischen Standorten unterstützt, die sich in verschiedenen Subnetzen befinden und unterschiedliche IP-Adressen haben.
• Unterstützung für ClusterXL-Cluster-Mitglieder, die unterschiedliche Softwareversionen ausführen.
• Die Notwendigkeit für MAC Magic-Konfigurationen wurde beseitigt, wenn mehrere Cluster mit demselben Subnetz verbunden sind.

13. VSX

• Unterstützung für das VSX-Upgrade mit CPUSE im Gaia-Portal.
• Unterstützung für den Active Up-Modus in VSLS.
• Unterstützung für statistische CPView-Berichte für jedes virtuelle System.

14. Zero TouchEin einfacher Plug-and-Play-Installationsprozess für die Installation eines Geräts – ohne technisches Fachwissen und ohne eine Verbindung zum Gerät für die Erstkonfiguration.

15. Gaia REST APIDie Gaia REST API bietet eine neue Möglichkeit, Informationen an Server zu senden und von diesen zu lesen, die das Gaia-Betriebssystem ausführen. Siehe sk143612.

16. Erweiterte Routing-Funktionen

• Verbesserungen von OSPF und BGP ermöglichen das Zurücksetzen und Neustarten von OSPF-Nachbarn für jede CoreXL-Firewall-Instanz, ohne den gerouteten Daemon neu starten zu müssen.
• Verbesserung der Routenaktualisierung für eine verbesserte Handhabung von BGP-Routing-Inkonsistenzen.

17. Neue Kernel-Funktionen

• Aktualisierter Linux-Kernel
• Neues Partitionierungssystem (gpt):
• Unterstützt mehr als 2 TB physische/logische Laufwerke
• Schnelleres Dateisystem (xfs)
• Unterstützung für größere Systemspeicher (bis zu 48 TB getestet)
• Leistungsverbesserungen im Zusammenhang mit I/O
• Mehrere Warteschlangen:
• Vollständige Unterstützung von Gaia Clish für Mehrere-Warteschlange-Befehle
• Automatische Konfiguration «standardmäßig aktiviert»
• SMB v2/v3-Mount-Unterstützung im Mobile Access-Modul
• Unterstützung von NFSv4 (Client) (NFS v4.2 ist die Standard-NFS-Version)
• Unterstützung neuer Systemtools zum Debuggen, Überwachen und Konfigurieren des Systems

18. CloudGuard Controller

• Leistungsverbesserungen für Verbindungen zu externen Rechenzentren.
• Integration mit VMware NSX-T.
• Unterstützung zusätzlicher API-Befehle zum Erstellen und Bearbeiten von Data Center Server-Objekten.

19. Multi-Domain Server

• Backup und Wiederherstellung eines einzelnen Domain Management Servers auf einem Multi-Domain Server.
• Migration eines Domain Management Servers auf einem Multi-Domain Server zu einem anderen Multi-Domain Sicherheitsmanagement.
• Migration eines Sicherheitsmanagementservers zum Domain Management Server auf einem Multi-Domain Server.
• Migration eines Domain Management Servers zum Sicherheitsmanagementserver.
• Wiederherstellung einer Domain auf einem Multi-Domain Server oder eines Sicherheitsmanagementservers auf eine frühere Version zur weiteren Bearbeitung.

20. SmartTasks und API

• Neue Authentifizierungsmethode für die Management-API, die einen automatisch generierten API-Schlüssel verwendet.
• Neue Management-API-Befehle zum Erstellen von Cluster-Objekten.
• Zentrale Bereitstellung des Jumbo Hotfix-Akkumulators und von Hotfixes von SmartConsole oder über eine API ermöglicht die Installation oder Aktualisierung mehrerer Sicherheitsgateways und Cluster parallel.
• SmartTasks - Konfigurieren Sie automatische Skripte oder HTTPS-Anfragen, die durch Administratoraufgaben ausgelöst werden, wie das Veröffentlichen einer Sitzung oder das Installieren einer Richtlinie.

21. BereitstellungZentrale Bereitstellung des Jumbo Hotfix-Akkumulators und von Hotfixes von SmartConsole oder über eine API ermöglicht die Installation oder Aktualisierung mehrerer Sicherheitsgateways und Cluster parallel.

22. SmartEventTeilen Sie SmartView-Ansichten und Berichte mit anderen Administratoren.

23. Log ExporterProtokolle exportieren, die nach Feldwerten gefiltert sind.

24. Endpoint Security

• Unterstützung für BitLocker-Verschlüsselung für die vollständige Festplattenverschlüsselung.
• Unterstützung für externe Zertifikatsstellen-Zertifikate für den Endpoint Security-Client
• Authentifizierung und Kommunikation mit dem Endpoint Security Management Server.
• Unterstützung für dynamische Größen von Endpoint Security Client-Paketen basierend auf den ausgewählten
• Funktionen für die Bereitstellung.
• Die Richtlinie kann nun das Niveau der Benachrichtigungen an Endbenutzer steuern.
• Unterstützung für persistente VDI-Umgebungen im Endpoint Policy Management.

Was uns am meisten gefallen hat (basierend auf Kundenanfragen)

Wie Sie sehen, gibt es viele Neuheiten. Aber für uns als Systemintegrator, gibt es einige sehr interessante Punkte (die auch für unsere Kunden von Interesse sind). Unser Top-10:

1. Endlich gibt es umfassende Unterstützung für IoT-Geräte. Es ist schon ziemlich schwer, ein Unternehmen zu finden, das solche Geräte nicht hat.
2. TLS-Inspektion wurde nun in eine separate Schicht (Layer) verlagert. Das ist viel praktischer als bisher (in 80.30). Es ist nicht mehr notwendig, das alte Legacy-Dashboard zu starten. Außerdem können in der HTTPS-Inspektionsrichtlinie jetzt aktualisierbare Objekte wie Dienste von Office365, Google, Azure, AWS usw. verwendet werden. Das ist sehr praktisch, wenn Ausnahmen eingerichtet werden müssen. Allerdings gibt es immer noch keine Unterstützung für TLS 1.3. Offensichtlich wird das im nächsten Hotfix nachgezogen.
3. Bedeutende Änderungen für Anti-Virus und SandBlast. Nun können Protokolle wie SCP, SFTP und SMBv3 geprüft werden (übrigens, dieses Multikanalprotokoll kann von niemandem mehr geprüft werden).
4. Es gibt viele Verbesserungen, die sich auf Site-to-Site VPN beziehen. Jetzt können mehrere VPN-Domänen an einem Gateway konfiguriert werden, das Teil mehrerer VPN-Communities ist. Dies ist sehr praktisch und deutlich sicherer. Darüber hinaus hat Check Point endlich an das routebasierte VPN gedacht und dessen Stabilität / Kompatibilität etwas verbessert.
5. Eine sehr gefragte Funktion für entfernte Benutzer ist verfügbar. Jetzt können nicht nur Benutzer, sondern auch das Gerät, von dem sie sich verbinden, authentifiziert werden. Zum Beispiel möchten wir die VPN-Verbindung nur von Unternehmensgeräten erlauben. Dies geschieht natürlich mithilfe von Zertifikaten. Zudem ist es nun möglich, (SMB v2/3) Dateifreigaben für entfernte Benutzer mit VPN-Client automatisch zu montieren.
6. Es gibt viele Änderungen im Betrieb des Clusters. Aber eine der interessantesten ist die Möglichkeit, einen Cluster zu betreiben, bei dem die Gateways unterschiedliche Versionen von Gaia verwenden. Dies ist praktisch, wenn ein Upgrade geplant ist.
7. Die Möglichkeiten von Zero Touch wurden verbessert. Eine nützliche Funktion für diejenigen, die häufig „kleine“ Gateways (zum Beispiel für Geldautomaten) installieren.
8. Für Logs wird jetzt ein Speicher von bis zu 48 TB unterstützt.
9. Sie können Ihre SmartEvent-Dashboards mit anderen Administratoren „teilen“.
10. Der Log Exporter ermöglicht jetzt eine Vorfilterung der gesendeten Nachrichten nach benötigten Feldern. Das heißt, nur die benötigten Logs und Ereignisse werden an Ihre SIEM-Systeme weitergeleitet.

Aktualisierung

Vielleicht denken bereits viele über ein Upgrade nach. Es ist jedoch nicht nötig, sich zu beeilen. Zuerst sollte die Version 80.40 in die allgemeine Verfügbarkeit übergehen. Aber selbst danach sollte man nicht sofort updaten. Es ist besser, mindestens auf den ersten Hotfix zu warten.
Vielleicht nutzen viele von Ihnen immer noch ältere Versionen. Ich kann sagen, dass ein Upgrade auf 80.30 mindestens bereits möglich (und sogar notwendig) ist. Es handelt sich um ein stabiles und bewährtes System!

Sie können auch unseren öffentlichen Seiten folgen (Telegram, Facebook, VK, TS Solution Blog), wo Sie die Veröffentlichung neuer Materialien zu Check Point und anderen Sicherheitsprodukten verfolgen können.

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.

Welche Gaia-Version verwenden Sie?

• R77.10
• R77.30
• R80.10
• R80.20
• R80.30
• Sonstige

13 Benutzer haben abgestimmt. 6 Benutzer haben sich enthalten.

Quelle: habr.com