Check Point. Was ist das, wie funktioniert es oder kurz gesagt das Wichtigste

Hallo, geschätzte Leser von Habr! Dies ist der Unternehmensblog von TS Solution. Wir sind Systemintegratoren und spezialisieren uns hauptsächlich auf Sicherheitslösungen für die IT-Infrastruktur (Check Point, Fortinet) und Systeme zur Analyse von Maschinendaten (Splunk). Wir beginnen unseren Blog mit einer kurzen Einführung in die Technologien von Check Point.

Wir haben lange darüber nachgedacht, ob wir diesen Artikel schreiben sollen, da es darin nichts Neues gibt, was nicht im Internet zu finden wäre. Dennoch hören wir bei der Arbeit mit Kunden und Partnern ziemlich oft die gleichen Fragen. Daher haben wir beschlossen, eine gewisse Einführung in die Welt der Technologien von Check Point zu geben und die Essenz der Architektur ihrer Lösungen zu erläutern. Und das alles in einem "kleinen" Beitrag, sozusagen ein schneller Exkurs. Dabei werden wir uns bemühen, uns nicht auf Marketingkriege einzulassen, da wir kein Anbieter sind, sondern einfach Systemintegratoren (auch wenn wir Check Point sehr schätzen), und wir werden die wichtigsten Punkte ohne Vergleich mit anderen Herstellern (wie Palo Alto, Cisco, Fortinet usw.) betrachten. Der Artikel ist recht umfangreich, klärt aber viele Fragen, die häufig beim Kennenlernen von Check Point auftreten. Wenn Sie daran interessiert sind, sind Sie herzlich eingeladen zum Weiterlesen...

UTM/NGFW

Wenn wir über Check Point sprechen, sollten wir zunächst erklären, was UTM und NGFW sind und wie sie sich unterscheiden. Wir werden dies recht knapp halten, damit der Beitrag nicht zu lang wird (möglicherweise werden wir diese Frage in der Zukunft etwas ausführlicher behandeln).

UTM — Unified Threat Management

Kurz gesagt, besteht die Essenz von UTM darin, mehrere Schutzmaßnahmen in einer Lösung zu konsolidieren. Das bedeutet, alles in einer Box oder eine Art All-inclusive. Was versteht man unter "mehreren Schutzmaßnahmen"? Die gängigste Variante ist: Firewall, IPS, Proxy (URL-Filterung), streambasierter Antivirus, Anti-Spam, VPN und so weiter. All dies wird im Rahmen einer UTM-Lösung zusammengefasst, was die Integration, Konfiguration, Verwaltung und Überwachung erleichtert, was sich positiv auf die allgemeine Netzwerksicherheit auswirkt. Als UTM-Lösungen erstmals aufkamen, wurden sie ausschließlich für kleine Unternehmen in Betracht gezogen, da UTM mit großen Datenmengen an Traffic nicht umgehen konnten. Dies lag an zwei Gründen:

1. Verfahren zur Verarbeitung von Paketen. Die ersten Versionen von UTM-Lösungen verarbeiteten Pakete sequenziell, jedes durch ein "Modul". Beispiel: Zuerst wird das Paket durch die Firewall verarbeitet, dann durch das IPS, danach prüft es die Antivirensoftware und so weiter. Natürlich führte dieser Mechanismus zu erheblichen Verzögerungen im Verkehr und verbrauchte stark die Systemressourcen (Prozessor, Speicher).
2. Schwache "Hardware". Wie bereits erwähnt, beanspruchte die sequenzielle Verarbeitung von Paketen erheblich Ressourcen, und die "Hardware" jener Zeit (1995-2005) konnte einfach mit dem hohen Verkehr nicht umgehen.

Aber der Fortschritt steht nicht still. Seitdem haben sich die Hardware-Ressourcen erheblich erhöht, und die Verarbeitung von Paketen hat sich verändert (man muss anerkennen, dass dies bei weitem nicht bei allen Anbietern der Fall ist) und ermöglicht jetzt eine nahezu gleichzeitige Analyse in mehreren Modulen (MÉ, IPS, Antivirus usw.). Moderne UTM-Lösungen können Dutzende und sogar Hunderte von Gigabit im tiefen Analysemodus "verarbeiten", was es ermöglicht, sie im Bereich der großen Unternehmen oder sogar in Rechenzentren einzusetzen.

Im Folgenden ist das berühmte magische Quadrat von Gartner für UTM-Lösungen aus August 2016 dargestellt:

Ich werde dieses Bild nicht weiter kommentieren, nur so viel: Im oberen rechten Eck befinden sich die Marktführer.

NGFW — Next Generation Firewall

Der Name spricht für sich selbst — die Firewall der nächsten Generation. Dieses Konzept entstand deutlich später als UTM. Die Hauptidee von NGFW ist die tiefgehende Analyse von Paketen (DPI) mithilfe von integriertem IPS und Zugriffskontrolle auf Anwendungsebene (Application Control). In diesem Fall ist das IPS notwendig, um im Datenfluss bestimmte Anwendungen zu identifizieren, was erlaubt, diese entweder zuzulassen oder zu verbieten. Beispiel: Wir können die Nutzung von Skype erlauben, aber den Dateiübertragung verbieten. Wir können die Verwendung von Torrent oder RDP verbieten. Auch Webanwendungen werden unterstützt: Man kann den Zugang zu VK.com erlauben, aber Spiele, Nachrichten oder Videosperren. Im Grunde hängt die Qualität von NGFW von der Anzahl der Anwendungen ab, die sie identifizieren kann. Viele glauben, dass das Aufkommen des Begriffs NGFW ein gewöhnlicher Marketingtrick war, auf dessen Hintergrund das Unternehmen Palo Alto schnell wuchs.

Das magische Quadrat von Gartner für NGFW aus Mai 2016:

UTM vs NGFW

Eine sehr häufige Frage ist, was besser ist? Eine eindeutige Antwort darauf gibt es nicht und kann es auch nicht geben. Besonders wenn man berücksichtigt, dass nahezu alle modernen UTM-Lösungen die Funktionalität von NGFW beinhalten und die meisten NGFW Funktionen von UTM enthalten (Antivirus, VPN, Anti-Bot usw.). Wie immer steckt der Teufel im Detail, daher muss man zuerst klären, was genau Sie benötigen und sich mit dem Budget auseinandersetzen. Basierend auf diesen Entscheidungen können mehrere Optionen gewählt werden. Und alle müssen unbedingt getestet werden, ohne den Marketingmaterialien zu vertrauen.

Wir werden in mehreren Artikeln versuchen, über Check Point zu berichten, wie man es ausprobieren kann und was grundsätzlich ausprobiert werden kann (nahezu die gesamte Funktionalität).

Drei Elemente von Check Point

Wenn Sie mit Check Point arbeiten, werden Sie unweigerlich auf drei Komponenten dieses Produkts stoßen:

1. Security Gateway (SG) — das eigentliche Sicherheitsgateway, das in der Regel am Netzwerkperimeter installiert wird und Funktionen wie eine Firewall, einen durchsatzstarken Antivirus, Anti-Bot, IPS usw. erfüllt.
2. Security Management Server (SMS) — der Server zur Verwaltung der Gateways. Fast alle Einstellungen am Gateway (SG) erfolgen über diesen Server. Der SMS kann auch als Log-Server fungieren und diese mit einem integrierten System zur Analyse und Korrelation von Ereignissen — Smart Event (eine Art SIEM für Check Point) verarbeiten, aber dazu später mehr. Der SMS wird für die zentrale Verwaltung mehrerer Gateways genutzt (die Anzahl der Gateways hängt vom SMS-Modell oder der Lizenz ab), jedoch sind Sie verpflichtet, ihn zu nutzen, auch wenn Sie nur ein Gateway haben. Hier sei angemerkt, dass Check Point zu den ersten gehörte, die ein solches zentrales Managementsystem einführten, das seit vielen Jahren immer wieder als „Goldstandard“ in den Berichten von Gartner anerkannt wird. Es gibt sogar einen Witz: „Wenn Cisco ein vernünftiges Managementsystem gehabt hätte, wäre Check Point nie entstanden.“
3. Smart Console — die Client-Konsole zur Verbindung mit dem Management-Server (SMS). In der Regel wird sie auf dem Computer des Administrators installiert. Über diese Konsole erfolgen alle Änderungen am Management-Server, und erst danach können die Einstellungen auf die Sicherheitsgateways angewendet werden (Install Policy).

   

Das Betriebssystem von Check Point

Wenn man an das Betriebssystem von Check Point denkt, fallen sofort drei ein: IPSO, SPLAT und GAIA.

1. IPSO — das Betriebssystem des Unternehmens Ipsilon Networks, das zur Firma Nokia gehörte. Im Jahr 2009 kaufte Check Point dieses Geschäft. Es wird nicht mehr weiterentwickelt.
2. SPLAT — die Eigenentwicklung von Check Point, basiert auf dem RedHat-Kernel. Es wird nicht mehr weiterentwickelt.
3. Gaia — das aktuelle Betriebssystem von Check Point, das aus der Fusion von IPSO und SPLAT hervorgegangen ist und das Beste aus beiden Systemen vereint. Es wurde 2012 eingeführt und wird aktiv weiterentwickelt.

Wenn wir von Gaia sprechen, sollte gesagt werden, dass die derzeit am weitesten verbreitete Version R77.30 ist. Relativ neu ist die Version R80, die sich deutlich von der vorherigen unterscheidet (sowohl in Bezug auf die Funktionalität als auch auf die Verwaltung). Über die Unterschiede werden wir in einem separaten Beitrag berichten. Ein weiterer wichtiger Punkt ist, dass derzeit nur die Version R77.10 das Zertifikat der FSTEK hat und die Version R77.30 zertifiziert wird.

Varianten der Ausführung (Check Point Appliance, Virtuelle Maschine, OpenServer)

Es gibt hier nichts Außergewöhnliches, wie viele Anbieter hat auch Check Point mehrere Produktvarianten:

1. Appliance — ein hardware- und softwarebasiertes Gerät, also eigene „Hardware“. Es gibt viele Modelle, die sich in Leistung, Funktionalität und Ausführung unterscheiden (es gibt Optionen für industrielle Netzwerke).

   

2. Virtuelle Maschine — die virtuelle Maschine von Check Point mit dem Betriebssystem Gaia. Es werden die Hypervisoren ESXi, Hyper-V, KVM unterstützt. Lizenzierung erfolgt nach der Anzahl der Prozessorkerne.
3. OpenServer — Installation von Gaia direkt auf einem Server als Hauptbetriebssystem (das sogenannte „Bare Metal“). Es wird nur bestimmte Hardware unterstützt. Es gibt Empfehlungen für diese Hardware, die beachtet werden müssen, da sonst Probleme mit Treibern auftreten können und der technische Support möglicherweise die Wartung verweigert.

Implementierungsvarianten (Distributed oder Standalone)

Vorhin haben wir bereits besprochen, was ein Gateway (SG) und ein Management-Server (SMS) ist. Jetzt besprechen wir die Varianten ihrer Implementierung. Es gibt zwei Hauptmethoden:

1. Standalone (SG+SMS) — eine Variante, bei der sowohl das Gateway als auch der Management-Server auf einem einzigen Gerät (oder einer virtuellen Maschine) installiert werden.

   
   
   Diese Option ist geeignet, wenn Sie nur ein Gateways haben, das schwach durch Benutzerverkehr belastet ist. Diese Variante ist am wirtschaftlichsten, da kein Bedarf besteht, einen Verwaltungsserver (SMS) zu kaufen. Bei starker Last des Gateways kann es jedoch zu einer „bremsenden“ Verwaltungsstruktur kommen. Daher ist es ratsam, vor der Wahl einer Standalone-Lösung eine Beratung in Anspruch zu nehmen oder diese Option sogar zu testen.

2. Distributed — der Verwaltungsserver wird separat vom Gateway installiert.

   
   
   Die optimale Option hinsichtlich Benutzerfreundlichkeit und Leistung. Wird verwendet, wenn zu mehreren Gateways, z. B. hierzu zentralen und Filialen, verwaltet werden muss. In diesem Fall ist der Kauf eines Verwaltungsservers (SMS) erforderlich, der auch als Appliance (Hardware) oder virtuelle Maschine vorliegen kann.

Wie ich bereits weiter oben erwähnt habe, verfügt Check Point über ein eigenes SIEM-System — Smart Event. Sie können dieses nur bei einer Distributed-Installation nutzen.

Betriebsmodi (Bridge, Routed)
Das Sicherheits-Gateway (SG) kann in zwei Hauptmodi arbeiten:

• Routed — die verbreitetste Variante. In diesem Fall wird das Gateway als L3-Gerät genutzt und leitet den Verkehr über sich, d. h. Check Point fungiert als Standard-Gateway für das geschützte Netzwerk.
• Bridge — transparenter Modus. In diesem Fall wird das Gateway als gewöhnliche „Brücke“ installiert und lässt den Verkehr auf der zweiten Schicht (OSI) durch. Diese Variante wird normalerweise angewendet, wenn keine Möglichkeit (oder kein Wunsch) besteht, die bestehende Infrastruktur zu ändern. Sie müssen praktisch keine Änderungen an der Netzwerktopologie vornehmen und sich nicht über die Änderung der IP-Adressierung Gedanken machen.

Es sei darauf hingewiesen, dass im Bridge-Modus einige funktionale Einschränkungen bestehen, weshalb wir als Integrator allen unseren Kunden raten, den Routed-Modus zu verwenden, sofern dies möglich ist.

Software-Blades (Check Point Software Blades)

Wir sind nun fast beim wichtigsten Thema von Check Point angekommen, das bei den Kunden viele Fragen aufwirft. Was sind diese „Software-Blades“? Unter Blades versteht man bestimmte Funktionen von Check Point.

Diese Funktionen können je nach Bedarf ein- oder ausgeschaltet werden. Dabei gibt es Blades, die ausschließlich am Gateway (Network Security) und nur auf dem Verwaltungsserver (Management) aktiviert werden. In den Bildern unten sind Beispiele für beide Fälle gezeigt:

1) Für Netzwerk-Sicherheit (Funktionalität des Gateways)

Wir werden dies kurz beschreiben, da jedes Blade einen eigenen Artikel verdient.

• Firewall – Funktionalität einer Firewall;
• IPSec VPN – Aufbau privater virtueller Netzwerke;
• Mobiler Zugriff – Fernzugriff von mobilen Geräten;
• IPS – System zur Verhinderung von Eindringlingen;
• Anti-Bot – Schutz vor Botnetzen;
• AntiVirus – Stream-Antivirus;
• AntiSpam & Email-Sicherheit – Schutz der Unternehmens-E-Mail;
• Identitätsbewusstsein – Integration mit dem Active Directory Service;
• Überwachung – Überwachung nahezu aller Parameter des Gateways (Last, Bandbreite, VPN-Status usw.)
• Anwendungssteuerung – Firewall auf Anwendungsebene (Funktionalität einer NGFW);
• URL-Filterung – Web-Sicherheit (+Funktionalität eines Proxys);
• Datenverlustprävention – Schutz vor Informationslecks (DLP);
• Bedrohungssimulation – Sandbox-Technologie;
• Bedrohungsentfernung – Dateireinigungstechnologie;
• QoS – Priorisierung des Datenverkehrs.

In wenigen Artikeln werden wir die Blades Bedrohungssimulation und Bedrohungsentfernung ausführlich betrachten, ich bin sicher, das wird interessant sein.

2) Für Management (Funktionalität des Management-Servers)

• Netzwerkpolitik-Management – zentrale Verwaltung von Richtlinien;
• Endpoint-Politik-Management – zentrale Verwaltung der Check Point-Agenten (ja, Check Point bietet Lösungen nicht nur für Netzwerkschutz, sondern auch für den Schutz von Arbeitsstationen (PCs) und Smartphones);
• Protokollierung & Status – zentralisierte Sammlung und Verarbeitung von Protokollen;
• Management-Portal – Sicherheitsmanagement aus dem Browser;
• Workflow – Kontrolle über Richtlinienänderungen, Audit von Änderungen usw.;
• Benutzerdatenbank – Integration mit LDAP;
• Bereitstellung – Automatisierung des Gateway-Managements;
• Smart Reporter – Berichtssystem;
• Smart Event – Analyse und Korrelation von Ereignissen (SIEM);
• Compliance – automatische Überprüfung der Einstellungen und Ausgabe von Empfehlungen.

Wir werden die Lizenzierungsfragen jetzt nicht im Detail betrachten, um den Artikel nicht aufzublähen und den Leser nicht zu verwirren. Wahrscheinlich werden wir dies in einen eigenen Beitrag auslagern.

Die Architektur der Blades ermöglicht es, nur wirklich benötigte Funktionen zu nutzen, was sich auf das Budget der Lösung und die Gesamtleistung des Geräts auswirkt. Es ist logisch, dass je mehr Blades Sie aktivieren, desto weniger Datenverkehr Sie „durchlassen“ können. Daher wird jeder Check Point-Modellen die folgende Leistungstabelle beigefügt (wir haben die Eigenschaften des Modells 5400 als Beispiel genommen):

Wie Sie sehen, gibt es hier zwei Arten von Tests: für synthetischen Traffic und für realen – gemischten Traffic. Im Allgemeinen sieht sich Check Point gezwungen, synthetische Tests zu veröffentlichen, da einige Anbieter solche Tests als Maßstab verwenden, ohne die Leistung ihrer Lösungen im realen Traffic zu untersuchen (oder absichtlich solche Daten aufgrund ihrer Unzulänglichkeit zu verbergen).

In jedem Testtyp sind mehrere Optionen zu erkennen:

1. Test nur für Firewall;
2. Test Firewall+IPS;
3. Test Firewall+IPS+NGFW (Anwendungssteuerung);
4. Test Firewall+Anwendungssteuerung+URL-Filterung+IPS+Antivirus+Anti-Bot+SandBlast (Sandbox)

Achten Sie sorgfältig auf diese Parameter bei der Auswahl Ihrer Lösung oder wenden Sie sich für Beratung.

Ich denke, damit können wir den einführenden Artikel über Check Point-Technologien abschließen. Im Folgenden werden wir uns ansehen, wie man Check Point testen kann und wie man mit modernen Bedrohungen der Informationssicherheit umgeht (Viren, Phishing, Ransomware, Zero-Day).

P.S. Ein wichtiger Punkt. Trotz des ausländischen (israelischen) Ursprungs hat die Lösung eine Zertifizierung in Russland bei den Aufsichtsbehörden, was sie automatisch in staatlichen Einrichtungen legalisiert (Kommentar von Denyemall).

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.

Welche UTM/NGFW-Mittel verwenden Sie?

• Check Point

• Cisco Firepower

• Fortinet

• Palo Alto

• Sophos

• Dell SonicWALL

• Huawei

• WatchGuard

• Juniper

• UserGate

• Traffic Inspector

• Rubikon

• Ideco

• OpenSource-Lösung

• Sonstiges

134 Benutzer haben abgestimmt. 78 Benutzer haben sich enthalten.

Quelle: habr.com