Guten Tag, liebe Leserinnen und Leser! Dies ist der Unternehmensblog von . Wir sind ein Systemintegrator und haben uns größtenteils auf Sicherheitslösungen für IT-Infrastrukturen spezialisiert (, ) und auf Systeme zur Analyse von Maschinendaten (). Wir beginnen unseren Blog mit einer kleinen Einführung in die Technologien von Check Point.
Wir haben lange darüber nachgedacht, ob wir diesen Artikel schreiben sollten, da es nichts Neues gibt, das man nicht im Internet finden könnte. Dennoch hören wir bei der Arbeit mit Kunden und Partnern häufig die gleichen Fragen. Deshalb haben wir beschlossen, eine Einführung in die Welt der Check Point-Technologien zu verfassen und die Grundlagen ihrer Architektur zu erläutern. Und das alles in einem kleinen Beitrag – sozusagen ein schneller Überblick. Außerdem werden wir versuchen, uns nicht in Marketingkriegen zu verlieren, da wir kein Anbieter sind, sondern einfach ein Systemintegrator (auch wenn wir Check Point sehr mögen) und die wichtigsten Aspekte ohne Vergleich mit anderen Herstellern (wie Palo Alto, Cisco, Fortinet usw.) betrachten werden. Der Artikel ist ziemlich umfassend, beantwortet jedoch viele Fragen, die beim Kennenlernen von Check Point auftauchen. Wenn Sie daran interessiert sind, sind Sie herzlich eingeladen, weiterzulesen…
UTM/NGFW
Wenn wir über Check Point sprechen, ist es wichtig, zunächst zu erklären, was UTM und NGFW sind und wie sie sich unterscheiden. Wir werden dies in aller Kürze tun, damit der Beitrag nicht zu lang wird (eventuell werden wir dieses Thema in Zukunft etwas ausführlicher behandeln).
UTM — Unified Threat Management
Kurz gesagt, die Grundidee von UTM liegt in der Konsolidierung mehrerer Sicherheitslösungen in einer einzigen Lösung. Das bedeutet, alles in einer Box oder eine Art All-inclusive-Paket. Was versteht man unter "mehreren Sicherheitslösungen"? Die gängigste Variante besteht aus: Firewall, IPS, Proxy (URL-Filterung), Echtzeit-Antivirus, Antispam, VPN usw. All dies wird innerhalb einer UTM-Lösung zusammengeführt, was die Integration, Einrichtung, Verwaltung und Überwachung vereinfacht. Dies hat wiederum positive Auswirkungen auf die allgemeine Sicherheit des Netzwerks. Als UTM-Lösungen erstmals auf den Markt kamen, wurden sie ausschließlich für kleine Unternehmen in Betracht gezogen, da sie mit großen Datenmengen nicht zurechtkamen. Dies hatte zwei Gründe:
- Die Paketverarbeitung. Die ersten Versionen von UTM-Lösungen bearbeiteten Pakete nacheinander, jedes von einem „Modul“. Zum Beispiel: Zuerst wird das Paket von der Firewall verarbeitet, dann vom IPS, anschließend überprüft es der Antivirus und so weiter. Natürlich verursachte dieser Mechanismus erhebliche Verzögerungen im Verkehr und belastete die Systemressourcen (Prozessor, Speicher) stark.
- Schwache Hardware. Wie oben erwähnt, belastete die sequenzielle Verarbeitung von Paketen die Ressourcen stark und die Hardware jener Zeiten (1995-2005) konnte dem hohen Datenverkehr einfach nicht standhalten.
Aber der Fortschritt bleibt nicht stehen. Seitdem haben sich die Hardwarekapazitäten erheblich erhöht und die Verarbeitung von Paketen hat sich verändert (zugeben muss man, dass dies nicht bei allen Anbietern der Fall ist) und erlaubt nahezu gleichzeitige Analysen in mehreren Modulen (MFA, IPS, Antivirus usw.). Moderne UTM-Lösungen können Dutzende und sogar Hunderte von Gigabits im Modus der tiefen Analyse verarbeiten, was ihren Einsatz im Bereich der großen Unternehmen oder sogar in Rechenzentren ermöglicht.
Nachfolgend ist das berühmte magische Quadrat von Gartner für UTM-Lösungen vom August 2016 dargestellt:
Ich werde nicht groß auf dieses Bild eingehen, sondern einfach sagen, dass sich oben rechts die Marktführer befinden.
NGFW — Next Generation Firewall
Der Name spricht für sich — die Next Generation Firewall ist ein Konzept, das wesentlich später als UTM entstand. Die Hauptidee der NGFW ist eine tiefgehende Paketinspektion (DPI) mithilfe eines integrierten IPS und die Zugangskontrolle auf Anwendungsebene (Application Control). Hierbei ist das IPS genau dafür erforderlich, um im Datenstrom bestimmte Anwendungen zu identifizieren, was es ermöglicht, deren Nutzung zu erlauben oder zu blockieren. Beispiel: Wir können die Nutzung von Skype erlauben, aber den Dateitransfer verbieten. Ebenso können wir die Verwendung von Torrent oder RDP untersagen. Auch Webanwendungen werden unterstützt: Man kann den Zugang zu VK.com erlauben, aber Spiele, Nachrichten oder das Ansehen von Videos verbieten. Im Grunde hängt die Qualität der NGFW von der Anzahl der Anwendungen ab, die sie erkennen kann. Viele glauben, dass das Aufkommen des NGFW-Begriffs ein reiner Marketing-Trick war, auf dessen Basis das Unternehmen Palo Alto eine rasante Entwicklung erlebte.
Der magische Quadrant von Gartner für NGFW im Mai 2016:
UTM vs NGFW
Eine häufige Frage: Was ist besser? Eine eindeutige Antwort gibt es nicht. Insbesondere wenn man bedenkt, dass nahezu alle modernen UTM-Lösungen NGFW-Funktionen enthalten und die meisten NGFWs Funktionen bieten, die UTM eigens zugeordnet sind (Antivirus, VPN, Anti-Bot usw.). Wie so oft liegt der Teufel im Detail, daher sollten Sie zuerst festlegen, was Sie wirklich benötigen, und ein Budget definieren. Auf Basis dieser Überlegungen lassen sich dann einige Optionen auswählen. Diese sollten auf jeden Fall getestet werden, ohne den Marketingmaterialien blind zu vertrauen.
In mehreren Artikeln werden wir versuchen, Ihnen Check Point vorzustellen, wie Sie es testen können und welche Funktionen generell verfügbar sind.
Drei Elemente von Check Point
Wenn Sie mit Check Point arbeiten, werden Sie unweigerlich mit drei Komponenten dieses Produkts in Kontakt kommen:
- Security Gateway (SG) — das eigentliche Sicherheitsgateway, das in der Regel am Netzwerkperimeter installiert wird und die Funktionen einer Firewall, eines durchgängigen Antivirus, Anti-Bot, IPS usw. übernimmt.
- Security Management Server (SMS) — Gateway Management Server. Nahezu alle Einstellungen am Gateway (SG) erfolgen über diesen Server. SMS kann auch als Log-Server fungieren und seine integrierte Ereignisanalyse- und Korrelationssystem - Smart Event (vergleichbar mit SIEM für Check Point) - nutzen, aber dazu später mehr. SMS dient der zentralen Verwaltung mehrerer Gateways (Anzahl der Gateways hängt vom SMS-Modell oder von der Lizenz ab), jedoch ist dessen Nutzung zwingend erforderlich, selbst wenn Sie nur ein Gateway haben. Hier ist zu beachten, dass Check Point einer der ersten Anbieter war, die ein solches zentrales Managementsystem implementierten, welches seit vielen Jahren als „Goldstandard“ in den Berichten von Gartner anerkannt wird. Es gibt sogar einen Witz: „Wenn Cisco ein richtiges Managementsystem hätte, würde Check Point niemals entstanden sein."
- Smart Console — Client-Konsole zur Verbindung mit dem Management-Server (SMS). In der Regel wird sie auf dem Computer des Administrators installiert. Über diese Konsole werden alle Änderungen am Management-Server vorgenommen, und erst danach können die Einstellungen auf die Sicherheitsgateways angewendet werden (Install Policy).
Check Point-Betriebssystem
Wenn man über das Betriebssystem von Check Point spricht, fallen sofort drei ein: IPSO, SPLAT und GAIA.
- IPSO — das Betriebssystem der Firma Ipsilon Networks, die zu Nokia gehörte. Im Jahr 2009 erwarb Check Point dieses Geschäft. Es wird nicht mehr weiterentwickelt.
- SPLAT — eine Eigenentwicklung von Check Point, basierend auf dem RedHat-Kernel. Es wird nicht mehr weiterentwickelt.
- Gaia — das aktuelle Betriebssystem von Check Point, das aus der Fusion von IPSO und SPLAT entstanden ist und das Beste aus beiden vereint. Es wurde 2012 eingeführt und wird weiterhin aktiv weiterentwickelt.
Was Gaia betrifft, so ist die derzeit am weitesten verbreitete Version R77.30. Vor kurzem wurde die Version R80 veröffentlicht, die sich erheblich von der vorherigen unterscheidet (sowohl hinsichtlich der Funktionalität als auch der Verwaltung). Ein separater Beitrag wird sich mit diesen Unterschieden befassen. Ein weiterer wichtiger Punkt — zum aktuellen Zeitpunkt hat nur die Version R77.10 das FSTEK-Zertifikat, während die Version R77.30 noch in der Zertifizierung ist.
Varianten (Check Point Appliance, Virtuelle Maschine, OpenServer)
Es gibt nichts Überraschendes, wie viele Anbieter hat Check Point mehrere Produktvarianten:
- Appliance — ein hard- und softwarebasiertes Gerät, d.h. eine eigene „Hardware“. Es gibt viele Modelle, die sich in Leistung, Funktionalität und Ausführung unterscheiden (auch Optionen für industrielle Netzwerke sind verfügbar).
- Virtuelle Maschine — die Check Point virtuelle Maschine mit dem Betriebssystem Gaia. Unterstützt werden die Hypervisoren ESXi, Hyper-V, KVM. Die Lizenzierung erfolgt nach Anzahl der Prozessorkerne.
- OpenServer — die Installation von Gaia direkt auf dem Server als primäres Betriebssystem (sog. „Bare Metal“). Es wird nur bestimmte „Hardware“ unterstützt. Es gibt Empfehlungen zu dieser Hardware, die befolgt werden müssen, da sonst Probleme mit Treibern auftreten können und der technische Support Ihnen möglicherweise die Unterstützung verweigert.
Implementierungsoptionen (Distributed oder Standalone)
Wir haben bereits das Gateway (SG) und den Management-Server (SMS) besprochen. Nun wollen wir die Implementierungsoptionen diskutieren. Es gibt zwei Hauptmethoden:
- Standalone (SG+SMS) — eine Option, bei der sowohl das Gateway als auch der Management-Server im Rahmen eines einzelnen Geräts (oder einer virtuellen Maschine) installiert werden.
Diese Option ist geeignet, wenn Sie nur ein Gateway haben, das nur wenig Benutzerverkehr hat. Diese Lösung ist am kostengünstigsten, da kein Management-Server (SMS) erforderlich ist. Bei ernsthaften Belastungen des Gateways kann es jedoch zu einer „verzögerten“ Verwaltungssystem kommen. Daher ist es ratsam, sich vor der Wahl einer Standalone-Lösung beraten zu lassen oder diese Option sogar zu testen. - Verteilt — Der Management-Server wird separat vom Gateway installiert.
Die optimale Lösung in Bezug auf Benutzerfreundlichkeit und Leistung. Sie wird verwendet, wenn mehrere Gateways verwaltet werden müssen, zum Beispiel ein zentrales und Filialen. In diesem Fall ist der Kauf eines Management-Servers (SMS) erforderlich, der auch in Form eines Appliances (Hardware) oder einer virtuellen Maschine erhältlich sein kann.
Wie bereits erwähnt, hat Check Point ein eigenes SIEM-System – Smart Event. Sie können es nur bei einer verteilten Installation nutzen.
Betriebsmodi (Bridge, Routed)
Das Sicherheitsgateway (SG) kann in zwei Hauptmodi arbeiten:
- Routed — die gängigste Variante. In diesem Fall fungiert das Gateway als L3-Gerät und leitet den Verkehr über sich selbst, d.h. der Check Point ist das Standard-Gateway für das geschützte Netzwerk.
- Bridge — der transparente Modus. In diesem Fall wird das Gateway als herkömmlicher "Bridge" konfiguriert und leitet den Verkehr auf der zweiten Schicht (OSI) weiter. Diese Variante wird normalerweise verwendet, wenn es keine Möglichkeit (oder Lust) gibt, die bestehende Infrastruktur zu ändern. Sie müssen die Netzwerktopologie praktisch nicht ändern, und auch die IP-Adressierung bleibt unverändert.
Es ist wichtig zu erwähnen, dass im Bridge-Modus einige funktionale Einschränkungen bestehen, weshalb wir als Integrator unseren Kunden empfehlen, den Routed-Modus zu verwenden, sofern dies möglich ist.
Software-Blades (Check Point Software Blades)
Wir sind nun beim Thema Check Point angelangt, das bei Kunden die meisten Fragen aufwirft. Was sind diese "Software-Blades"? Mit Blades sind bestimmte Funktionen von Check Point gemeint.
Diese Funktionen können je nach Bedarf aktiviert oder deaktiviert werden. Es gibt dabei Blades, die ausschließlich am Gateway (Network Security) und nur auf dem Management-Server aktiviert werden. Die folgenden Bilder zeigen Beispiele für beide Fälle:
1) Für Network Security (Funktionalität des Gateways)
Wir beschreiben dies kurz, da jedes Blade einen eigenen Artikel verdient.
- Firewall – Funktionalität der Firewalls;
- IPSec VPN – Aufbau privater virtueller Netzwerke;
- Mobile Access – Fernzugriff von mobilen Geräten;
- IPS – Intrusion Prevention System;
- Anti-Bot – Schutz vor Botnetzen;
- AntiVirus – Streaming-Antivirus;
- AntiSpam & Email Security – Schutz der Unternehmens-E-Mail;
- Identity Awareness – Integration mit Active Directory;
- Monitoring – Überwachung nahezu aller Parameter des Gateways (Last, Bandbreite, VPN-Status usw.)
- Application Control – Application-Level Firewall (Funktionalität von NGFW);
- URL Filtering – Web-Sicherheit (+Proxy-Funktionalität);
- Data Loss Prevention – Schutz vor Datenverlust (DLP);
- Threat Emulation – Sandbox-Technologie;
- Threat Extraction – Technologie zur Dateireinigung;
- QoS – Traffic-Priorisierung.
In den nächsten Artikeln werden wir uns ausführlich mit den Funktionen Threat Emulation und Threat Extraction beschäftigen. Ich bin mir sicher, das wird interessant sein.
2) Für das Management (Funktionalität des Verwaltungsservers)
- Network Policy Management — zentrale Verwaltung der Richtlinien;
- Endpoint Policy Management — zentrale Steuerung der Check Point-Agenten (ja, Check Point bietet nicht nur Lösungen für Netzwerksicherheit, sondern auch für den Schutz von Arbeitsstationen (PCs) und Smartphones);
- Logging & Status — zentrale Sammlung und Verarbeitung von Logs;
- Management Portal — Sicherheitsmanagement über den Browser;
- Workflow — Kontrolle über Richtungsänderungen, Audit von Änderungen usw.;
- User Directory — Integration mit LDAP;
- Provisioning — Automatisierung der Gateway-Verwaltung;
- Smart Reporter — Berichtssystem;
- Smart Event — Analyse und Korrelation von Ereignissen (SIEM);
- Compliance — automatische Überprüfung der Einstellungen und Ausgabe von Empfehlungen.
Wir werden die Lizenzierungsfragen jetzt nicht ausführlich behandeln, um den Artikel nicht unnötig aufzublähen und den Leser nicht zu verwirren. Wahrscheinlich werden wir das in einen separaten Beitrag auslagern.
Die Blade-Architektur ermöglicht die Nutzung nur der tatsächlich benötigten Funktionen, was sich positiv auf das Budget und die Gesamtleistung des Geräts auswirkt. Es liegt auf der Hand, dass die Aktivierung von mehr Blades den verfügbaren Durchsatz verringert. Aus diesem Grund wird jeder Check Point-Modell eine Tabelle mit Leistungsdaten beigelegt (wir verwenden hier die Spezifikationen des Modells 5400 als Beispiel):
Wie Sie hier sehen, werden zwei Kategorien von Tests aufgeführt: synthetischer Verkehr und realer – gemischter Verkehr. Generell ist Check Point gezwungen, synthetische Tests zu veröffentlichen, da einige Anbieter solche Tests als Referenzstandard nutzen, ohne die Leistung ihrer Lösungen bei echtem Verkehr zu prüfen (oder solche Daten absichtlich wegen unbefriedigender Ergebnisse zu verbergen).
In jedem Testtyp gibt es verschiedene Varianten:
- Test nur für Firewall;
- Test Firewall+IPS;
- Test Firewall+IPS+NGFW (Anwendungssteuerung);
- Test Firewall+Anwendungssteuerung+URL-Filterung+IPS+Antivirus+Anti-Bot+SandBlast (Sandbox);
Achten Sie sorgfältig auf diese Parameter bei der Auswahl Ihrer Lösung, oder wenden Sie sich an uns für .
Ich denke, hiermit können wir den einführenden Artikel über Check Point-Technologien abschließen. Im Folgenden werden wir erörtern, wie man Check Point testen kann und wie man mit modernen Bedrohungen der Informationssicherheit (Viren, Phishing, Ransomware, Zero-Day) umgeht.
P.S. Ein wichtiger Punkt. Trotz der ausländischen (israelischen) Herkunft hat die Lösung eine Zertifizierung in der Russischen Föderation durch die Aufsichtsbehörden, die ihre Nutzung in staatlichen Einrichtungen automatisch legalisiert (Kommentar von ).
Nur registrierte Benutzer können an der Umfrage teilnehmen. Sind Sie an Contour interessiert?
Welche UTM/NGFW-Lösungen verwenden Sie?
Check Point
Cisco Firepower
Fortinet
Palo Alto
Sophos
Dell SonicWALL
Huawei
WatchGuard
Juniper
UserGate
Traffic Inspector
Rubikon
Ideco
OpenSource-Lösung
Sonstiges
134 Nutzer haben abgestimmt. 78 Nutzer haben sich enthalten.
Quelle: habr.com
