Tere, head hubris lugejad! See on ettevõtte . Me oleme süsteemide integreerija ja enamasti spetsialiseerume IT-infrastruktuuri turvalahendustele (, ) ja masindaatade analüüsi süsteemidele (). Alustame oma blogi väikese sissejuhatusega Check Pointi tehnoloogiatesse.
Oleme kaua kaalunud, kas kirjutada see artikkel, kuna selles ei ole midagi uut, mida ei saaks Internetist leida. Siiski kuuleme klientide ja partneritega töötades sageli samu küsimusi. Seetõttu otsustasime kirjutada teatava sissejuhatuse Check Pointi tehnoloogiate maailma ning avada nende lahenduste arhitektuuri olemust. Ja kõik see koos ühe "väikeses" postituse, nii-öelda kiire ekskursioonina. Samuti püüame mitte laskuda turunduslikele sõjad, kuna me ei ole müüja, vaid lihtsalt süsteemiintegrator (kuigi me armastame Check Pointi) ja vaatame lihtsalt peamisi punkte ilma nende võrdlemata teiste tootjatega (nagu Palo Alto, Cisco, Fortinet jne). Artikkel osutus üsna mahukaks, kuid see lõikab ära suure osa küsimustest, mis tekivad Check Pointiga tutvumise etapis. Kui see teid huvitab, siis olete teretulnud edasi lugema…
UTM/NGFW
Rääkides Check Pointist, on oluline alustada selgitusega, mis on UTM, NGFW ja kuidas need erinevad. Teeme selle üsna lakooniliselt, et postitus ei muutuks liiga pikaks (võib-olla vaatame seda küsimust tulevikus veidi põhjalikumalt).
UTM — Üksikute ohtude haldamine
Lühidalt öelduna on UTM-i sisu mitmete kaitsevahendite koondamine ühte lahendusse. See tähendab, et kõik on ühes kastis või teatud all-inclusive pakett. Mis tähendab „mitut kaitsevahendit“? Kõige levinum variant on: tulemüür, IPS, proxy (URL filtreerimine), voogedastav viirusetõrje, rämpspostivastane kaitse, VPN ja nii edasi. Kõik need ühendatakse ühe UTM lahenduse raames, mis on lihtsam integreerimise, seadistamise, haldamise ja jälgimise poolest, ja see omakorda avaldab positiivset mõju kogu võrgu kaitse tasemele. Kui UTM lahendused esmakordselt turule tulid, käsitleti neid peamiselt väikeste ettevõtete jaoks, kuna UTM ei suutnud suure liikluse mahtudega toime tulla. Sellel oli kaks peamist põhjust:
- Pakettide töötlemise meetod. UTM lahenduste esimesed versioonid töötlesid pakette järjestikku, iga "moodul" eraldi. Näide: esmalt töötleb paketti tulemüür, seejärel IPS, seejärel kontrollib seda viirusetõrje ja nii edasi. Loomulikult tekitas selline mehhanism tõsiseid viivitusi liikluses ja nõudis süsteemi ressursse (protsessor, mälu).
- Nõrk "raha". Nagu eelnevalt mainitud, nõudis järjestikune pakettide töötlemine palju ressursse ja toona (1995-2005) ei suutnud "raha" suure liiklusega toime tulla.
Kuid progress ei seisa paigal. Sellest ajast on oluliselt suurenenud riistvaralised võimed ning pakettide töötlemine on muutunud (tuleb tunnistada, et kaugeltki mitte kõikide tootjate seas) ja võimaldab praktiliselt samaaegset analüüsi mitmesugustes moodulites (MÉ, IPS, AntiVirus jne). Aegade uuemad UTM lahendused suudavad "seedida" kümneid ja isegi sadu gigabitte süvaanalüüsi režiimis, mis võimaldab neid kasutada suurte ettevõtete või isegi andmekeskuste sektoris.
Allpool on esitatud kuulsa Gartneri maagiline kvadrant UTM lahenduste jaoks august 2016:
Ma ei hakka seda pilti liialt kommenteerima, lihtsalt ütlen, et paremas ülanurgas on liidrid.
NGFW — järgmise põlvkonna tulemüür
Nimi räägib enda eest — järgmise põlvkonna tulemüür. See kontseptsioon ilmus turule mitu aastat hiljem kui UTM. NGFW peamine põhimõte on sügav pakettide analüüs (DPI) koos sisseehitatud IPS-iga ning juurdepääsu piiramine rakenduste tasemel (rakenduste juhtimine). IPS on vajalik, et tuvastada pakettide voos eri rakendusi, võimaldades nende lubamist või keelamist. Näiteks: me saame lubada Skype'i kasutamist, kuid keelata failide edastamise. Samuti saame keelata Torrent'i või RDP kasutamise. Web-rakendusi toetakse ka: näiteks võime lubada juurdepääsu VK.com-ile, aga keelata mängud, sõnumid või videote vaatamine. Üldiselt sõltub NGFW kvaliteet rakenduste arvust, mida ta suudab tuvastada. Paljusid arvatakse, et NGFW kontseptsiooni ilmumine oli tavaline turundustrikk, mille taustal alustas oma kiiret tõusu ettevõte Palo Alto.
Gartneri maagiline kvadrant NGFW jaoks mai 2016:
UTM vs NGFW
Aeg-ajalt küsitakse, mis on ikkagi parem? Ühtegi kindlat vastust ei ole ja ei saagi olla. Eriti kui arvestada, et peaaegu kõik kaasaegsed UTM lahendused sisaldavad NGFW funktsionaalsust ning enamiku NGFW-d sisaldavad UTM-ile iseloomulikke funktsioone (antiviirus, VPN, anti-bot jne). Nagu alati, on “pahandus peidus detailides”, seega tuleb esmalt välja selgitada, mida just teie vajate, ja määrata oma eelarve. Nende otsuste põhjal saab valida mitu varianti. Kõike tuleb kindlasti testida, usaldamata turundusmaterjale.
Me omalt poolt püüame mitme artikli raames rääkida Check Pointist, kuidas seda proovida ja mida üldiselt proovida (praktialiselt kogu funktsionaalsust).
Kolm Check Pointi elemente
Töötades Check Pointiga, kohtate kindlasti kolme selle toote komponenti:
- Security Gateway (SG) — see on tegelikult turvagateway, mis tavaliselt paigaldatakse võrgu piirile ja täidab tulemüüride, vooguantiviiruse, anti-boti, IPS jne funktsioone.
- Security Management Server (SMS) — väravahalduse server. Peaaegu kõik seadistused väravas (SG) tehakse selle serveri kaudu. SMS võib ka toimida logiserverina ja töödelda näidiseid oma sisseehitatud sündmuste analüüsi ja seose korrelatsiooni süsteemiga — Smart Event (moodi SIEM Check Pointile), kuid sellest räägime hiljem. SMS-i kasutatakse mitme värava keskse haldamise jaoks (väravate arv sõltub SMS-i mudelist või litsentsist), kuid te peate seda kasutama isegi siis, kui teil on ainult üks värav. Siinkohal tasub märkida, et Check Point oli üks esimesi ettevõtteid, kes rakendas sellist keskset haldamise süsteemi, mis on juba mitu aastat tunnustatud Gartneri aruannetes kui „kuldstandard“. Isegi on nalja visatud: “Kui Cisco'l oleks normaalne haldussüsteem, siis Check Pointi ei oleks kunagi olemas.”
- Smart Console — kliendi konsool serveriga (SMS) ühendamiseks. Reeglina installitakse see administraatori arvutisse. Selle konsooli kaudu tehakse kõik muudatused haldussüsteemis, ja alles seejärel saab seadeid rakendada turvaväravatele (Install Policy).
Check Pointi operatsioonisüsteem
Rääkides Check Point'i operatsioonisüsteemist, tuleb meelde kolm: IPSO, SPLAT ja GAIA.
- IPSO — Ipsilon Networks'i operatsioonisüsteem, mis kuulus Nokiale. Check Point ostis selle äri 2009. aastal. Arendamine on peatatud.
- SPLAT — Check Point'i omatootetud süsteem, mis põhineb RedHat'i kernelil. Arendamine on peatatud.
- Gaia — Check Point'i praegune operatsioonisüsteem, mis sündis IPSO ja SPLAT'i sulandumise tulemusena, kogudes endasse parimad omadused. See ilmus 2012. aastal ja areneb jätkuvalt aktiivselt.
Rääkides Gaia'st, tuleb märkida, et hetkel on kõige laiemalt levinud versioon R77.30. Suhteliselt hiljuti tuli välja versioon R80, mis erineb eelmisest oluliselt (nii funktsionaalsuse kui ka haldamise osas). Nende erinevuste teemal kirjutame eraldi postituse. Veel üks oluline punkt on see, et praegu on FSTEK'i sertifikaat ainult versioonil R77.10 ning R77.30 versioon on sertifitseerimisel.
Täitmise variandid (Check Point Appliance, virtuaalmasin, OpenServer)
Siin pole midagi üllatavat, sest nagu paljudel teistel tootjatel, on Check Point'il mitmeid tootevariantide:
- Appliance — programmeeritud riistvara, st oma "raud". Mudelite valik on tohutu, mis erinevad jõudluse, funktsionaalsuse ja teostuse poolest (on valikud eesmärgipäraste võrkude jaoks).
- Virtuaalmasin — Check Point virtuaalmasin operatsioonisüsteemiga Gaia. Toetatakse hüperviseerijaid ESXi, Hyper-V, KVM. Litsentseeritakse protsessorite tuumade arvu järgi.
- OpenServer — Gaia paigaldamine otse serverisse põhitegevusena (nn "Bare metal"). Toetatakse ainult teatud "rauda". On soovitusi selle riistvara kohta, mida tuleb järgida, vastasel juhul võivad tekkida probleemid draiverite ja tehnilise toe osas, mis võib teenindamisest keelduda.
Paigaldamisvõimalused (Distributed või Standalone)
Veidi suurem arutlesime juba, mis on värav (SG) ja haldusserver (SMS). Nüüd arutleme nende paigaldamisvõimaluste üle. Üks peamine viis on:
- Standalone (SG+SMS) — variant, kus nii värav kui ka haldusserver paigaldatakse ühe seadme (või virtuaalmasina) raames.
See variant sobib, kui teil on ainult üks lüüs, mis on kasutajaliikluse poolest madalalt koormatud. See variant on kõige ökonoomsem, kuna ei ole vaja osta haldussüsteemi serverit (SMS). Siiski, kui lüüsile laetakse palju, võib teil tekkida „tõrkuv” haldussüsteem. Seetõttu on enneni valiku tegemist parem konsulteerida või isegi proovida seda varianti. - Jaotatud — haldussüsteem paigaldatakse eraldi lüüsist.
Optimaalne valik mugavuse ja jõudluse osas. Kasutatakse, kui on vajalik hallata mitut lüüsi, näiteks keskselt ja filiaalidest. Sel juhul on vajalik haldussüsteemi serveri (SMS) ostmine, mis võib samuti olla aparaadina (raua) või virtuaalasjana.
Kuidas juba ülalmainitud, on Check Pointil oma SIEM süsteem — Smart Event. Te saate seda kasutada ainult jaotatud paigalduste korral.
Töörežiimid (Bridge, Routed)
Turvasiht (SG) võib töötada kahes põhirežiimis:
- Routed — kõige levinum variant. Sellisel juhul kasutatakse väravat L3 seadmena ja see suunab liiklust enda kaudu, s.t. Check Point on vaikimisi värav kaitstud võrgu jaoks.
- Sild — läbipaistev režiim. Sellisel juhul seadistatakse värav tavaliseks “sillaks” ja laseb liikluse läbi teise taseme (OSI). Seda varianti kasutatakse tavaliselt siis, kui ei ole võimalust (või soovi) olemasolevat infrastruktuuri muuta. Peaaegu ei pea te võrgu topoloogiat muutma ja ei ole vaja muretseda IP-aadresside vahetamise üle.
Tähtis on märkida, et Bridge režiimis on teatud funktsionaalsuse piirangud, seetõttu soovitame me kui integraator kõigile oma klientidele kasutada just Routed režiimi, muidugi kui see on võimalik.
Tarkvarablade (Check Point Software Blades)
Oleme jõudnud peaaegu kõige tähtsama teema juurde Check Pointis, mis tekitab klientides kõige rohkem küsimusi. Mis need “tarkvarablade” siis on? Blade-de all mõistetakse teatud funktsioone, mida Check Point pakub.
Need based on requirements, these features can be activated or deactivated. Certain blades are activated exclusively on the gateway (Network Security) and only on the management server (Management). Below are examples for both cases:
1) For Network Security (gateway functionality)
We'll describe briefly, as each blade deserves a separate article.
- Firewall — functionality of the firewall;
- IPSec VPN — setting up private virtual networks;
- Mobile Access — remote access from mobile devices;
- IPS — intrusion prevention system;
- Anti-Bot — protection against botnet networks;
- AntiVirus — stream antivirus;
- AntiSpam & Email Security — corporate email protection;
- Identity Awareness — integration with Active Directory service;
- Monitoring — monitoring practically all parameters of the gateway (load, bandwidth, VPN status, etc.)
- Application Control — application layer firewall (NGFW functionality);
- URL Filtering — Web security (+proxy functionality);
- Data Loss Prevention — protection against information leaks (DLP);
- Threat Emulation — sandbox technology (SandBox);
- Threat Extraction — file cleansing technology;
- QoS — traffic prioritization.
Jõuame peagi detailideni Threat Emulation ja Threat Extraction kohta, olen kindel, et see on huvitav.
2) Halduse jaoks (haldusserveri funktsionaalsus)
- Network Policy Management — keskselt hallatavad poliitikad;
- Endpoint Policy Management — keskselt hallatavad Check Point agendid (jah, Check Point valmistab lahendusi mitte ainult võrgukaitseks, vaid ka tööjaamade (PC) ja nutitelefonide kaitseks);
- Logging & Status — keskne logide kogumine ja töötlemine;
- Management Portal — turvateenuste haldamine brauserist;
- Workflow — kontroll poliitikamuudatuste üle, muudatuste audit jne;
- User Directory — LDAP integreerimine;
- Provisioning — väravate halduse automatiseerimine;
- Smart Reporter — raportite süsteem;
- Smart Event — sündmuste analüüs ja korrelatsioon (SIEM);
- Compliance — seadistuste automaatne kontroll ja soovituste andmine.
Me ei käsitle praegu litsentsiküsimusi, et mitte artiklit venitada ja lugejat segadusse ajada. Tõenäoliselt toome selle välja eraldi postitusse.
Blade-architektuur võimaldab kasutada ainult tõeliselt vajalikke funktsioone, mis mõjutab lahenduse eelarvet ja seadme üldist jõudlust. Mida rohkem blade'e aktiveerite, seda vähem liiklust on võimalik "läbi juhtida". Just seetõttu on igale Check Point mudelile lisatud järgmine jõudluse tabel (näiteks toodi välja 5400 mudeli omadused):
Nagu näete, on siin esitatud kaks testikategooriat: sünteetilise liikluse ja reaalse — segatüüpi testid. Üldiselt peab Check Point lihtsalt avaldama sünteetilised testid, kuna mõned tootjad kasutavad selliseid teste lähteandmetena, uurimata samal ajal oma lahenduste jõudlust reaalses liikluses (või varjavad teadlikult selliseid andmeid, kuna need on rahuldavad).
Igas testitüübis võib märgata mitmeid variante:
- test ainult tulemüüri jaoks;
- test tulemüür + IPS;
- test tulemüür + IPS + NGFW (rakenduste juhtimine);
- test tulemüür + rakenduste juhtimine + URL filtreerimine + IPS + viirusetõrje + Anti-Bot + SandBlast (liivakast)
Pöörake nendele parameetritele tähelepanu oma lahenduse valimisel või pöörduge nõustamise saamiseks .
Arvan, et sellega saab kokku võtta sissejuhatava artikli Check Pointi tehnoloogiatest. Edasi vaatame, kuidas saab Check Pointi testida ning kuidas võidelda kaasaegsete infotehnoloogia ohudega (viirused, phishing, lunavara, zero-day).
P.S. Olulinepunkt. Hoolimata oma välismaistest (Iisrael) juurtest, on lahendus sertifitseeritud Venemaal järelevalveasutustes, mis automaatselt legaliseerib nende olemasolu riigiasutustes (kommentaar by ).
Ainult registreeritud kasutajad saavad küsitluses osaleda. , palun.
Milliseid UTM/NGFW vahendeid kasutate teie?
Check Point
Cisco Firepower
Fortinet
Palo Alto
Sophos
Dell SonicWALL
Huawei
WatchGuard
Juniper
UserGate
Traffic inspector
Rubicon
Ideco
OpenSource lahendus
Muu
Hääletas 134 kasutajat. 78 kasutajat jäi erapooletuks.
Allikas: habr.com
