13. Check Point Getting Started R80.20. Litsentsimine

Tere, sõbrad! Ja lõpuks oleme jõudnud viimase, kokkuvõtva õppetunni juurde Check Point Getting Started.Täna räägime väga olulisest teemast — Litsentseerimine. Kiire hoiatus, et see õppetund ei ole ammendav juhend seadmete või litsentside valimiseks. See on vaid lühikokkuvõte võtmehetkedest, mida peab teadma iga Check Pointi administraator. Kui te olete tõeliselt mures litsentsi või seadme valimise pärast, on parem pöörduda professionaalide, st meie poole :). Palju on peidetud takistusi, millest on raske rääkida kursuse raames, ja seda kõike pole ka kohe meelde jätta.
Meie õppetund on täielikult teoreetiline, nii et võite oma modelleerimisserverid välja lülitada ja lõõgastuda. Artikli lõpus leiate video õppetunni, kus ma räägin kõigest põhjalikumalt.

Litsentsimine väravast

Alustame turvaväravate litsentsimise eripärade kirjeldamisest. See kehtib nii riistvaraliste apseetide kui ka virtuaalsete süsteemide kohta. Oletame, et olete otsustanud osta värava. Ostmine lihtsalt riistvara või virtuaalmasina näol ilma „tellimusteta” — ei ole võimalik! Samas on kolm tellimuse varianti:

Ja nüüd esimene huvitav omadus! Seadet või virtuaalmasinat saate osta ainult NGTP või NGTX tellimustega. Kui aga te pikendate oma tellimust, on teil juba võimalik valida NGFW pakett, juhul kui teile ei ole vajalikud AV, AB, URL, AS, TE ja TX blade'id. Selline olukord. Enda tellimusi saab osta ühe, kahe või kolme aasta jooksul.

Oskan ennustada teie esimest küsimust! “Mis juhtub, kui tellimust ei pikendata?”. Olen spetsiaalselt rohelise värviga esile tõstnud need blade'id, mis töötavad KÕIK TÄIESTI, ja TANU pikendamata. Nii-öelda pidevad blade'id. Ülejäänud blade'id, mis vajavad pidevat uuendamist, lihtsalt lõpetavad töötamise. No ja IPS-i puhul jäävad tööle võtmesignaaturid (aga neid on väga vähe). See kehtib nii riistvara kui virtuaalsete süsteemide kohta, st vSec.

Erakordselt olen välja toonud kolm blade'i, mis ei kuulu ühtegi komplekti, nimelt: DLP, MAB ja Capsule.

Samuti pidage meeles, et kui ostate klastrilahenduse, siis valige teise seadmena mudel, millel on suffix HA (st High Availability). Pildil on näide 5400 värava kohta. Nii palju väravate kohta. Nüüd juhtimisseerver.

Kasutamise litsentsimise server

Nagu me juba varasemates õppetundides rääkisime, on Check Point'i rakendamiseks kaks stsenaariumi: Seisev (kui nii värav kui ka haldus on ühes seadmes) ja Jaotatud (kui haldusserver viiakse eraldi seadmesse). Kuid need valikud sellega ei piirdu. Vaatame kolme tüüpilist stsenaariumi haldusserveri levitamiseks:

1. Pühendatud NGSMi ostmine. Kõige populaarsem variant. Valite kas Smart-1 riistvara või virtuaalse masina. Loomulikult valite vastavalt sellele, kui palju väravaid te hallata kavatsete, 5, 10, 25 jne. Selle seadme juurutamisel saate kasutada nelja peamist haldusserveri blade'i: NPM (st poliitikate haldamine), Logging and Status (st logimine), Smart Event (Check Pointi SIEM, mis annab meile kogu aruandluse) ja Compliance (see on seadistuste kvaliteedi hindamine, kas siis mingite regulatiivsete nõuete, nagu PCI DSS, või lihtsalt parimate praktikate kohaselt). Siit on ka näha, et NPM ja LS blade'id on pidevad blade'id, st need töötavad ka ilma tellimuste pikendamiseta, kuid Smart Event ja Compliance blade'id on komplektis ainult esimesel aastal! Edasi tuleb neid eraldi tasu eest pikendada. See on oluline punkt, ärge unustage. Ja kui suurel määral saab ilma Compliance blade'ita hakkama, siis Smart Event on juba igaühele hädavajalik.
2. Pühendatud Event Management serveri ostmine LISAKS juba olemasolevale serveri NGSM haldussüsteemile. Miks seda on vaja? Asi on selles, et logimise funktsionaal ja eriti Smart Event "võtab" üsna märkimisväärseid süsteemseid ressursse. Ja kui logisid on päris palju, võib see põhjustada "häireid" haldussüsteemis. serveris Seetõttu praktiseeritakse sageli selle funktsionaalsuse viimist eraldi seadmesse, Smart-1 riistvarasse või taas virtuaalmasinasse. Suured integratsioonid suure hulga logidega nõuavad peaaegu alati pühendatud serverit Smart Event'i jaoks. See võib ka logisid vastu võtta. Seega täidab teie haldusserver ainult haldusfunktsioone. See suurendab süsteemi stabiilsust ja reageerimiskiirust oluliselt. Nagu võite märgata, saadetakse pühendatud Smart Event serveri ostmisel need kaks blade'i püsivaks kasutamiseks isegi ilma pikendamata. 3-4 aastase perspektiiviga võib see isegi olla ökonoomsem kui osta igal aastal Smart Eventi pikendamiseks tavapärase NGSM serveri jaoks.
3. Pühendatud Log Management server, mis aitab NGSM ja Smart Event serveritega. Usun, et mõte on selge. KUI LOGE ON VÄGA PALJU, saame logimise funktsiooni viia eraldi serverisse. Eraldiseisev Log server vajab samuti püsivat litsentsi ja ei vaja uuendamist.

Video õppetund

Siit leiate lisainfot litsentside haldamise ja Check Point tehnilise toe kohta:

Allikas: habr.com