{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. Was ist das, wie funktioniert es oder kurz gesagt das Wichtigste","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nHallo, gesch\u00e4tzte Leser von Habr! Dies ist der Unternehmensblog von TS Solution<\/a><\/noindex>. Wir sind Systemintegratoren und spezialisieren uns haupts\u00e4chlich auf Sicherheitsl\u00f6sungen f\u00fcr die IT-Infrastruktur (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) und Systeme zur Analyse von Maschinendaten (Splunk<\/a><\/noindex>). Wir beginnen unseren Blog mit einer kurzen Einf\u00fchrung in die Technologien von Check Point.<\/p>\n

Wir haben lange dar\u00fcber nachgedacht, ob wir diesen Artikel schreiben sollen, da es darin nichts Neues gibt, was nicht im Internet zu finden w\u00e4re. Dennoch h\u00f6ren wir bei der Arbeit mit Kunden und Partnern ziemlich oft die gleichen Fragen. Daher haben wir beschlossen, eine gewisse Einf\u00fchrung in die Welt der Technologien von Check Point zu geben und die Essenz der Architektur ihrer L\u00f6sungen zu erl\u00e4utern. Und das alles in einem \"kleinen\" Beitrag, sozusagen ein schneller Exkurs. Dabei werden wir uns bem\u00fchen, uns nicht auf Marketingkriege einzulassen, da wir kein Anbieter sind, sondern einfach Systemintegratoren (auch wenn wir Check Point sehr sch\u00e4tzen), und wir werden die wichtigsten Punkte ohne Vergleich mit anderen Herstellern (wie Palo Alto, Cisco, Fortinet usw.) betrachten. Der Artikel ist recht umfangreich, kl\u00e4rt aber viele Fragen, die h\u00e4ufig beim Kennenlernen von Check Point auftreten. Wenn Sie daran interessiert sind, sind Sie herzlich eingeladen zum Weiterlesen...
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

Wenn wir \u00fcber Check Point sprechen, sollten wir zun\u00e4chst erkl\u00e4ren, was UTM und NGFW sind und wie sie sich unterscheiden. Wir werden dies recht knapp halten, damit der Beitrag nicht zu lang wird (m\u00f6glicherweise werden wir diese Frage in der Zukunft etwas ausf\u00fchrlicher behandeln).<\/p>\n

UTM \u2014 Unified Threat Management<\/b><\/p>\n

Kurz gesagt, besteht die Essenz von UTM darin, mehrere Schutzma\u00dfnahmen in einer L\u00f6sung zu konsolidieren. Das bedeutet, alles in einer Box oder eine Art All-inclusive. Was versteht man unter \"mehreren Schutzma\u00dfnahmen\"? Die g\u00e4ngigste Variante ist: Firewall, IPS, Proxy (URL-Filterung), streambasierter Antivirus, Anti-Spam, VPN und so weiter. All dies wird im Rahmen einer UTM-L\u00f6sung zusammengefasst, was die Integration, Konfiguration, Verwaltung und \u00dcberwachung erleichtert, was sich positiv auf die allgemeine Netzwerksicherheit auswirkt. Als UTM-L\u00f6sungen erstmals aufkamen, wurden sie ausschlie\u00dflich f\u00fcr kleine Unternehmen in Betracht gezogen, da UTM mit gro\u00dfen Datenmengen an Traffic nicht umgehen konnten. Dies lag an zwei Gr\u00fcnden:<\/p>\n

    \n
  1. Verfahren zur Verarbeitung von Paketen. Die ersten Versionen von UTM-L\u00f6sungen verarbeiteten Pakete sequenziell, jedes durch ein \"Modul\". Beispiel: Zuerst wird das Paket durch die Firewall verarbeitet, dann durch das IPS, danach pr\u00fcft es die Antivirensoftware und so weiter. Nat\u00fcrlich f\u00fchrte dieser Mechanismus zu erheblichen Verz\u00f6gerungen im Verkehr und verbrauchte stark die Systemressourcen (Prozessor, Speicher).<\/li>\n
  2. Schwache \"Hardware\". Wie bereits erw\u00e4hnt, beanspruchte die sequenzielle Verarbeitung von Paketen erheblich Ressourcen, und die \"Hardware\" jener Zeit (1995-2005) konnte einfach mit dem hohen Verkehr nicht umgehen.<\/li>\n<\/ol>\n

    \nAber der Fortschritt steht nicht still. Seitdem haben sich die Hardware-Ressourcen erheblich erh\u00f6ht, und die Verarbeitung von Paketen hat sich ver\u00e4ndert (man muss anerkennen, dass dies bei weitem nicht bei allen Anbietern der Fall ist) und erm\u00f6glicht jetzt eine nahezu gleichzeitige Analyse in mehreren Modulen (M\u00c9, IPS, Antivirus usw.). Moderne UTM-L\u00f6sungen k\u00f6nnen Dutzende und sogar Hunderte von Gigabit im tiefen Analysemodus \"verarbeiten\", was es erm\u00f6glicht, sie im Bereich der gro\u00dfen Unternehmen oder sogar in Rechenzentren einzusetzen.<\/p>\n

    Im Folgenden ist das ber\u00fchmte magische Quadrat von Gartner f\u00fcr UTM-L\u00f6sungen aus August 2016 dargestellt:<\/p>\n

    \"Check
    \n
    \nIch werde dieses Bild nicht weiter kommentieren, nur so viel: Im oberen rechten Eck befinden sich die Marktf\u00fchrer.<\/p>\n

    NGFW \u2014 Next Generation Firewall<\/b><\/p>\n

    Der Name spricht f\u00fcr sich selbst \u2014 die Firewall der n\u00e4chsten Generation. Dieses Konzept entstand deutlich sp\u00e4ter als UTM. Die Hauptidee von NGFW ist die tiefgehende Analyse von Paketen (DPI) mithilfe von integriertem IPS und Zugriffskontrolle auf Anwendungsebene (Application Control). In diesem Fall ist das IPS notwendig, um im Datenfluss bestimmte Anwendungen zu identifizieren, was erlaubt, diese entweder zuzulassen oder zu verbieten. Beispiel: Wir k\u00f6nnen die Nutzung von Skype erlauben, aber den Datei\u00fcbertragung verbieten. Wir k\u00f6nnen die Verwendung von Torrent oder RDP verbieten. Auch Webanwendungen werden unterst\u00fctzt: Man kann den Zugang zu VK.com erlauben, aber Spiele, Nachrichten oder Videosperren. Im Grunde h\u00e4ngt die Qualit\u00e4t von NGFW von der Anzahl der Anwendungen ab, die sie identifizieren kann. Viele glauben, dass das Aufkommen des Begriffs NGFW ein gew\u00f6hnlicher Marketingtrick war, auf dessen Hintergrund das Unternehmen Palo Alto schnell wuchs.<\/p>\n

    Das magische Quadrat von Gartner f\u00fcr NGFW aus Mai 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Eine sehr h\u00e4ufige Frage ist, was besser ist? Eine eindeutige Antwort darauf gibt es nicht und kann es auch nicht geben. Besonders wenn man ber\u00fccksichtigt, dass nahezu alle modernen UTM-L\u00f6sungen die Funktionalit\u00e4t von NGFW beinhalten und die meisten NGFW Funktionen von UTM enthalten (Antivirus, VPN, Anti-Bot usw.). Wie immer steckt der Teufel im Detail, daher muss man zuerst kl\u00e4ren, was genau Sie ben\u00f6tigen und sich mit dem Budget auseinandersetzen. Basierend auf diesen Entscheidungen k\u00f6nnen mehrere Optionen gew\u00e4hlt werden. Und alle m\u00fcssen unbedingt getestet werden, ohne den Marketingmaterialien zu vertrauen.<\/p>\n

    Wir werden in mehreren Artikeln versuchen, \u00fcber Check Point zu berichten, wie man es ausprobieren kann und was grunds\u00e4tzlich ausprobiert werden kann (nahezu die gesamte Funktionalit\u00e4t).<\/p>\n

    Drei Elemente von Check Point<\/b><\/p>\n

    Wenn Sie mit Check Point arbeiten, werden Sie unweigerlich auf drei Komponenten dieses Produkts sto\u00dfen:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 das eigentliche Sicherheitsgateway, das in der Regel am Netzwerkperimeter installiert wird und Funktionen wie eine Firewall, einen durchsatzstarken Antivirus, Anti-Bot, IPS usw. erf\u00fcllt.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 der Server zur Verwaltung der Gateways. Fast alle Einstellungen am Gateway (SG) erfolgen \u00fcber diesen Server. Der SMS kann auch als Log-Server fungieren und diese mit einem integrierten System zur Analyse und Korrelation von Ereignissen \u2014 Smart Event (eine Art SIEM f\u00fcr Check Point) verarbeiten, aber dazu sp\u00e4ter mehr. Der SMS wird f\u00fcr die zentrale Verwaltung mehrerer Gateways genutzt (die Anzahl der Gateways h\u00e4ngt vom SMS-Modell oder der Lizenz ab), jedoch sind Sie verpflichtet, ihn zu nutzen, auch wenn Sie nur ein Gateway haben. Hier sei angemerkt, dass Check Point zu den ersten geh\u00f6rte, die ein solches zentrales Managementsystem einf\u00fchrten, das seit vielen Jahren immer wieder als \u201eGoldstandard\u201c in den Berichten von Gartner anerkannt wird. Es gibt sogar einen Witz: \u201eWenn Cisco ein vern\u00fcnftiges Managementsystem gehabt h\u00e4tte, w\u00e4re Check Point nie entstanden.\u201c<\/li>\n
    3. Smart Console<\/b> \u2014 die Client-Konsole zur Verbindung mit dem Management-Server (SMS). In der Regel wird sie auf dem Computer des Administrators installiert. \u00dcber diese Konsole erfolgen alle \u00c4nderungen am Management-Server, und erst danach k\u00f6nnen die Einstellungen auf die Sicherheitsgateways angewendet werden (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nDas Betriebssystem von Check Point<\/b><\/p>\n

      Wenn man an das Betriebssystem von Check Point denkt, fallen sofort drei ein: IPSO, SPLAT und GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 das Betriebssystem des Unternehmens Ipsilon Networks, das zur Firma Nokia geh\u00f6rte. Im Jahr 2009 kaufte Check Point dieses Gesch\u00e4ft. Es wird nicht mehr weiterentwickelt.<\/li>\n
      2. SPLAT<\/b> \u2014 die Eigenentwicklung von Check Point, basiert auf dem RedHat-Kernel. Es wird nicht mehr weiterentwickelt.<\/li>\n
      3. Gaia<\/b> \u2014 das aktuelle Betriebssystem von Check Point, das aus der Fusion von IPSO und SPLAT hervorgegangen ist und das Beste aus beiden Systemen vereint. Es wurde 2012 eingef\u00fchrt und wird aktiv weiterentwickelt.<\/li>\n<\/ol>\n

        \nWenn wir von Gaia sprechen, sollte gesagt werden, dass die derzeit am weitesten verbreitete Version R77.30 ist. Relativ neu ist die Version R80, die sich deutlich von der vorherigen unterscheidet (sowohl in Bezug auf die Funktionalit\u00e4t als auch auf die Verwaltung). \u00dcber die Unterschiede werden wir in einem separaten Beitrag berichten. Ein weiterer wichtiger Punkt ist, dass derzeit nur die Version R77.10 das Zertifikat der FSTEK hat und die Version R77.30 zertifiziert wird.<\/p>\n

        Varianten der Ausf\u00fchrung (Check Point Appliance, Virtuelle Maschine, OpenServer)<\/b><\/p>\n

        Es gibt hier nichts Au\u00dfergew\u00f6hnliches, wie viele Anbieter hat auch Check Point mehrere Produktvarianten:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 ein hardware- und softwarebasiertes Ger\u00e4t, also eigene \u201eHardware\u201c. Es gibt viele Modelle, die sich in Leistung, Funktionalit\u00e4t und Ausf\u00fchrung unterscheiden (es gibt Optionen f\u00fcr industrielle Netzwerke).\n

          \"Check<\/li>\n

        2. Virtuelle Maschine<\/b> \u2014 die virtuelle Maschine von Check Point mit dem Betriebssystem Gaia. Es werden die Hypervisoren ESXi, Hyper-V, KVM unterst\u00fctzt. Lizenzierung erfolgt nach der Anzahl der Prozessorkerne.<\/li>\n
        3. OpenServer<\/b> \u2014 Installation von Gaia direkt auf einem Server als Hauptbetriebssystem (das sogenannte \u201eBare Metal\u201c). Es wird nur bestimmte Hardware unterst\u00fctzt. Es gibt Empfehlungen f\u00fcr diese Hardware, die beachtet werden m\u00fcssen, da sonst Probleme mit Treibern auftreten k\u00f6nnen und der technische Support m\u00f6glicherweise die Wartung verweigert.<\/li>\n<\/ol>\n

          \nImplementierungsvarianten (Distributed oder Standalone)<\/b><\/p>\n

          Vorhin haben wir bereits besprochen, was ein Gateway (SG) und ein Management-Server (SMS) ist. Jetzt besprechen wir die Varianten ihrer Implementierung. Es gibt zwei Hauptmethoden:<\/p>\n

            \n
          1. Standalone (SG+SMS)<\/b> \u2014 eine Variante, bei der sowohl das Gateway als auch der Management-Server auf einem einzigen Ger\u00e4t (oder einer virtuellen Maschine) installiert werden.\n

            \"Check
            \n
            \nDiese Option ist geeignet, wenn Sie nur ein Gateways haben, das schwach durch Benutzerverkehr belastet ist. Diese Variante ist am wirtschaftlichsten, da kein Bedarf besteht, einen Verwaltungsserver (SMS) zu kaufen. Bei starker Last des Gateways kann es jedoch zu einer \u201ebremsenden\u201c Verwaltungsstruktur kommen. Daher ist es ratsam, vor der Wahl einer Standalone-L\u00f6sung eine Beratung in Anspruch zu nehmen oder diese Option sogar zu testen.<\/p>\n<\/li>\n

          2. Distributed<\/b> \u2014 der Verwaltungsserver wird separat vom Gateway installiert.\n

            \"Check
            \n
            \nDie optimale Option hinsichtlich Benutzerfreundlichkeit und Leistung. Wird verwendet, wenn zu mehreren Gateways, z. B. hierzu zentralen und Filialen, verwaltet werden muss. In diesem Fall ist der Kauf eines Verwaltungsservers (SMS) erforderlich, der auch als Appliance (Hardware) oder virtuelle Maschine vorliegen kann.<\/li>\n<\/ol>\n

            \nWie ich bereits weiter oben erw\u00e4hnt habe, verf\u00fcgt Check Point \u00fcber ein eigenes SIEM-System \u2014 Smart Event. Sie k\u00f6nnen dieses nur bei einer Distributed-Installation nutzen.<\/p>\n

            Betriebsmodi (Bridge, Routed)<\/b>
            \nDas Sicherheits-Gateway (SG) kann in zwei Hauptmodi arbeiten:<\/p>\n