🥇Check Point R80.10 API. Halda CLI, skriptide ja muude vahendite abil

Olen kindel, et igaühel, kes on kunagi töötanud Check Point, on tekkinud kaebus konfiguratsiooni muutmise võimatuse üle käsurealt. See on eriti kummaline neile, kes on töötanud Cisco ASA-ga, kus kõik on täiesti seadistatav CLI kaudu. Check Point'is on kõik vastupidi — kõik turvaseaded tehti ainult graafilise liidese kaudu. Kuid mõned asjad ei ole GUI kaudu (isegi nii mugav kui Check Point) lihtsalt mugavad. Näiteks 100 uue hosti või võrgu lisamine muutub pika ja tüütu protsessiks. Iga objekti jaoks peab mitu korda hiireklikkima ja IP-aadressi sisestama. Sama kehtib ka saidigruppide loomise või IPS-signatuuride massilise lubamise/keeldumise kohta. Samal ajal on suur tõenäosus eksida.

Hiljuti toimus "ime". Uue versiooni ilmumisega Gaia R80 kanti sisse võimalus kasutada API-d, mis avab laiad võimalused seadistuste automatiseerimiseks, haldamiseks, jälgimiseks jne. Nüüd on võimalik:

luua objekte;
lisada või muuta pääsuliste nimekirju;
lubada/keelata blade'e;
konfigureerida võrgu liideseid;
installida poliitikaid;
ja palju muud.

Austuselt, ma ei saa aru, kuidas see uudis mööda Habrast lipsas. Käesolevas artiklis käsitleme lühidalt, kuidas API-d kasutada ja toome välja mõned praktilised näited CheckPointi seadistamisest skriptide abil.

Ma tahan kohe öelda, et API-d kasutatakse ainult Management serveri jaoks. See tähendab, et pääsude haldamine ilma Management serverita ei ole endiselt võimalik.

Kellele võib see API tegelikult kasuks tulla?

Süsteemiadministraatorid, kes soovivad lihtsustada või automatiseerida rutiinseid Check Pointi seadistamise ülesandeid;
Ettevõtted, kes soovivad integreerida Check Pointi teiste lahendustega (virtualiseerimissüsteemid, piletisüsteemid, konfigureerimissüsteemid jne);
Süsteemiintegraatorid, kes soovivad standardiseerida seadistusi või luua täiendavaid tooteid, mis on seotud Check Pointiga.

Tüüpiline skeem

Nii et kujutame ette tüüpilist skeemi Check Pointiga:

Kuidas tavaliselt on meil hübriid (SG), haldusseerver (SMS) ja administraatori konsool (SmartConsole). Tavaline protsess hübriidi seadistamiseks näeb välja järgmine:

See tähendab, et kõigepealt tuleb administraatori arvutis käivitada SmartConsole, millega me ühendume Management-serveriga (SMS). SMS-is kehtestatakse turvaseaded, ja seejärel rakendatakse (install policy) lüüsis (SG).

Kasutades Management API, põhimõtteliselt saame esimese sammu (SmartConsole'i käivitamine) vahele jätta ja rakendada API-käsklusi otseselt Management-serverile (SMS).

API kasutamise viisid

Konfiguratsiooni muutmiseks API abil on neli peamist viisi:

1) Kasutades utiliidi mgmt_cli

Näide — # mgmt_cli add host name host1 ip-address 192.168.2.100
See käsk käivitatakse Management-serveri (SMS) käsurealt. Arvan, et käsusüntaks on selge — luuakse host1 aadressiga 192.168.2.100.

2) Sisestades API käske läbi clish (eksperti režiimis)

Sisuliselt on kõik, mis on vajalik, sisse logida käsureale (mgmt login) kasutajakonto alla, mida kasutatakse SmartConsole'i kaudu ühendamiseks (või root-konto). Siis saate sisestada API-käsklusi (selles juhul ei ole vaja iga käsu ette kasutada utiliiti mgmt_cli). Saate luua täisfunktsionaalseid BASH-skripte. Näide skriptist, mis loob hosti:

Bash-skripti

#!/bin/bash

main() {
    clear

    #LOGIN (don't ask for username and password, user is already logged in to Management server as 'root' user)
    mgmt_cli login --root true > id_add_host.txt
    on_error_print_and_exit "Error: Failed to login, check that the server is up and running (run 'api status')"

    #READ HOST NAME
    printf "Enter host name:n"
    read -e host_name
    on_empty_input_print_and_exit "$host_name" "Error: The host's name cannot be empty."

    #READ IP ADDRESS
    printf "nEnter host IP address:n"
    read -e ip
    on_empty_input_print_and_exit "$ip" "Error: The host's IP address cannot be empty."

    #CREATE HOST
    printf "Creating new host: $host_name with IP address: $ipn"
    new_host_response=$(mgmt_cli add host name $host_name ip-address $ip -s id_add_host.txt 2> /dev/null)
    on_error_print_and_exit "Error: Failed to create host object. n$new_host_response"

    #PUBLISH THE CHANGES
    printf "nPublishing the changesn"
    mgmt_cli publish --root true -s id_add_host.txt &> /dev/null
    on_error_print_and_exit "Error: Failed to publish the changes."

    #LOGOUT
    logout
	
	printf "Done.n"
}

logout(){
	mgmt_cli logout --root true -s id_add_host.txt &> /dev/null
}

on_error_print_and_exit(){
    if [ $? -ne 0 ]; then
        handle_error "$1" 
	fi
}

handle_error(){
    printf "n$1n" #print error message
    mgmt_cli discard --root true -s id_add_host.txt &> /dev/null
    logout
    exit 1
}

on_empty_input_print_and_exit(){
	if [ -z "$1" ]; then
		printf "$2n" #print error message
		logout
		exit 0
	fi
}

# Script starts here. Call function "main".
main

Kui huvitab, siis saate vaadata vastavat videot:

3) Läbi SmartConsole, avades CLI akna

Kõik, mida on vaja teha, on käivitada aken cli-runtime'is ja kubectl'is otse SmartConsole, nagu on alloleval pildil näidatud.

Selles aknas saate kohe alustada API-käskluste sisestamist.

4) Veebiteenused. Kasutada HTTPS Post-päringut (REST API)

Meie arvates on see üks perspektiivsemaid viise, kuna see võimaldab „ehitada“ terveid rakendusi haldamise serveri (vabandust, et see näeb välja nagu tautoloogia). Allpool käsitleme seda meetodit lähemalt.

Kokkuvõtteks:

API + cli sobib rohkem inimestele, kes on harjunud Cisco'ga;
API + shell skripti rakendamiseks ja rutiinsete ülesannete täitmiseks;
REST API automaatika jaoks.

API lubamine

Suvandina on API vaikimisi lubatud juhtimisseerverites, kus RAM mahutavus on suurem kui 4 GB, ja iseseisvates konfiguratsioonides, kus RAM mahutavus on suurem kui 8 GB. Oleku kontrollimiseks saab kasutada käsku: api status

Kui selgub, et API on välja lülitatud, saab selle SmartConsole'i kaudu lihtsalt sisse lülitada: Manage & Settings > Blades > Management API > Täiendavad seaded

Seejärel avaldada (välises teenuses) muudatused ja käivitada käsk api restart.

Veebipäringud + Python

API-käskluste täitmiseks saab kasutada veebipäringuid koos Python ja raamatukogudega taotlused, json. Üldiselt koosneb veebipäringu struktuur kolmest osast:

1) Aadress

(https://:/web_api/)

2) HTTP päised

content-Type: application/json
x-chkp-sid:

3) Päringu koormus

JSON formaadis tekst, mis sisaldab erinevaid parameetreid

Käskude erinevate funktsioonide näide:


def api_call(ip_addr, port, command, json_payload, sid):
    url = 'https://' + ip_addr + ':' + str(port) + '/web_api/' + command
    if sid == “”:  
        request_headers = {'Content-Type': 'application/json'}
    else:
        request_headers = {'Content-Type': 'application/json', 'X-chkp-sid': sid}
    r = requests.post(url, data=json.dumps(json_payload), headers=request_headers, verify=False)
    return r.json()                                        
'xxx.xxx.xxx.xxx' -> IP-aadress GAIA

Vaatame mõningaid tüüpilisi ülesandeid, millega sageli kohtatakse Check Pointi haldamisel.

1) Autoriseerimise ja väljaregistreerimise funktsioonide näide:

Skript


    payload = {'user': 'your_user', 'password': 'your_password'}
    response = api_call('xxx.xxx.xxx.xxx', 443, 'login', payload, '')
    return response["sid"]

    response = api_call('xxx.xxx.xxx.xxx', 443, 'logout', {}, sid)
    return response["message"]

2) Blade-de aktiveerimine ja võrgu seadistamine:

Skript


new_gateway_data = {'name': 'CPGleb', 'anti-bot': True, 'anti-virus': True, 'application-control': True, 'ips': True, 'url-filtering': True, 'interfaces':
                    [{'name': 'eth0', 'topology': 'external', 'ipv4-address': 'xxx.xxx.xxx.xxx', 'ipv4-network-mask': '255.255.255.0'},
                     {'name': 'eth1', 'topology': 'internal', 'ipv4-address': 'xxx.xxx.xxx.xxx', 'ipv4-network-mask': '255.255.255.0'}]}
new_gateway_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-simple-gateway', new_gateway_data, sid)
print(json.dumps(new_gateway_result))

3) Tulemüüri reeglite muutmine:

Skript


new_access_data = {'name': 'Cleanup rule', 'layer': 'Network', 'action': 'Accept'}
new_access_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-access-rule', new_access_data, sid)
print(json.dumps(new_access_result))

4) Rakenduse taseme lisamine:

Skript


add_access_layer_application = {'name': 'application123', 'applications-and-url-filtering': True, 'firewall': False}
add_access_layer_application_result = api_call('xxx.xxx.xxx.xxx', 443, 'add-access-layer', add_access_layer_application, sid)
print(json.dumps(add_access_layer_application_result))

set_package_layer = {'name': 'Standard', 'access': True, 'access-layers': {'add': [{'name': 'application123', 'position': 2}]}, 'installation-targets': 'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-package', set_package_layer, sid)
print(json.dumps(set_package_layer_result))

5) Politika avaldamine ja seadistamine, käsu täitmise kontroll (task-id):

Skript


publish_result = api_call('xxx.xxx.xxx.xxx', 443, 'publish', {}, sid)
print('publish result: ' + json.dumps(publish_result))
new_policy = {'policy-package': 'Standard', 'access': True, 'targets': ['CPGleb']}
new_policy_result = api_call('xxx.xxx.xxx.xxx', 443, 'install-policy', new_policy, sid)
print(json.dumps(new_policy_result))

task_id = (json.dumps(new_policy_result['task-id']))
len_str = len(task_id)
task_id = task_id[1:(len_str - 1)]
show_task_id = {'task-id': (task_id)}
show_task = api_call('xxx.xxx.xxx.xxx', 443, 'show-task', show_task_id, sid)
print(json.dumps(show_task))

6) Uue hosti lisamine:

Skript


new_host_data = {'name': 'JohnDoePc', 'ip-address': '192.168.0.10'}
new_host_result = api_call('xxx.xxx.xxx.xxx', 443, 'add-host', new_host_data, sid)
print(json.dumps(new_host_result))

7) Threat Prevention väli lisamine:

Skript


set_package_layer = {'name': 'Standard', 'threat-prevention': True, 'installation-targets': 'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443, 'set-package', set_package_layer, sid)
print(json.dumps(set_package_layer_result))

8) Seanssiloendi vaatamine

Skript


new_session_data = {'limit':'50', 'offset':'0','details-level' : 'standard'}
new_session_result = api_call('xxx.xxx.xxx.xxx', 443,'show-sessions', new_session_data ,sid)
print(json.dumps(new_session_result))

9) Loo uus profiil:

Skript


add_threat_profile={'name':'Apeiron', "active-protections-performance-impact" : "low","active-protections-severity" : "low or above","confidence-level-medium" : "prevent",
  "confidence-level-high" : "prevent", "threat-emulation" : True,"anti-virus" : True,"anti-bot" : True,"ips" : True,
  "ips-settings" : { "newly-updated-protections" : "staging","exclude-protection-with-performance-impact" : True,"exclude-protection-with-performance-impact-mode" : "High or lower"},
  "overrides" : [ {"protection" : "3Com Network Supervisor Directory Traversal","capture-packets" : True,"action" : "Prevent","track" : "Log"},
                  {"protection" : "7-Zip ARJ Archive Handling Buffer Overflow", "capture-packets" : True,"action" : "Prevent","track" : "Log"} ]}
add_threat_profile_result=api_call('xxx.xxx.xxx.xxx',443,'add-threat-profile',add_threat_profile,sid)
print(json.dumps(add_threat_profile_result))

10) Muuta IPS signatuuri toimingut:

Skript


set_threat_protection={
  "name" : "3Com Network Supervisor Directory Traversal",
  "overrides" : [{ "profile" : "Apeiron","action" : "Detect","track" : "Log","capture-packets" : True},
    { "profile" : "Apeiron", "action" : "Detect", "track" : "Log", "capture-packets" : False} ]}
set_threat_protection_result=api_call('xxx.xxx.xxx.xxx',443,'set-threat-protection',set_threat_protection,sid)
print(json.dumps(set_threat_protection_result))

11) Lisa oma teenus:

Skript


add_service_udp={    "name" : "Dota2_udp", "port" : '27000-27030',
"keep-connections-open-after-policy-installation" : False,
"session-timeout" : 0, "match-for-any" : True,
"sync-connections-on-cluster" : True,
"aggressive-aging" : {"enable" : True, "timeout" : 360,"use-default-timeout" : False  },
"accept-replies" : False}
add_service_udp_results=api_call('xxx.xxx.xxx.xxx',443,"add-service-udp",add_service_udp,sid)
print(json.dumps(add_service_udp_results))

12) Lisa kategooria, sait või grupp:

Skript


add_application_site_category={  "name" : "Valve","description" : "Valve Games"}
add_application_site_category_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-category",add_application_site_category,sid)
print(json.dumps(add_application_site_category_results))

add_application_site={    "name" : "Dota2", "primary-category" : "Valve",  "description" : "Dotka",
  "url-list" : [ "www.dota2.ru" ], "urls-defined-as-regular-expression" : False}
add_application_site_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site " , 
add_application_site , sid)
print(json.dumps(add_application_site_results))

add_application_site_group={"name" : "Games","members" : [ "Dota2"]}
add_application_site_group_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-group",add_application_site_group,sid)
print(json.dumps(add_application_site_group_results))

Lisaks saab abil Veebi API saate lisada ja eemaldada võrke, hoste, ligipääsurole, jne. On võimalik seadistada blade-e Antiviirus, Antibot, IPS, VPN. On võimalik isegi litsentse installida käsu abil run-script. Kõiki Check Pointi API käske saab tutvuda siin.

Check Point API + Postman

Samuti on mugav kasutada Check Point Web API koos Postman. Postmanil on töölauaversioonid Windowsile, Linuxile ja MacOS-ile. Lisaks on olemas punkti lisand Google Chrome'ile. Seda me kasutame. Esiteks peate leidma Postmani Google Chrome'i poest ja paigaldama:

Selle utiliidi abil saame vormindada veebikäske Check Point API-le. Et mitte kõik API käsud meelde jätta, on võimalik importida nn kogusid (mallid), mis sisaldavad juba kõiki vajalikke käske:

Siin leiate kogus jaoks R80.10. Pärast importi on meil saadaval API käskude malli:

Minu arvates on see väga mugav. Saame kiiresti alustada rakenduste arendamist, kasutades Check Point API-t.

Check Point + Ansible

Samuti sooviksin märkida, et eksisteerib Ansible moodul CheckPoint API jaoks. Moodul võimaldab hallata konfiguratsioone, kuid see pole nii mugav eksootiliste ülesannete lahendamiseks. Skriptide kirjutamine mistahes programmeerimiskeeles pakub paindlikumaid ja mugavamaid lahendusi.

Kokkuvõte

Selleks lõpetame meie väikese ülevaate Check Point API-st. Minu arvates oli see funktsioon kauaoodatud ja vajalik. API kasutuselevõtt avab väga laiad võimalused nii süsteemiadministraatoritele kui ka süsteemiintegraatoritele, kes töötavad Check Pointi toodetega. Orkestreerimine, automatiseerimine, tagasiside SIEM-ile... kõik see on nüüd võimalik.

P.S. Rohkem artikleid Check Point leiate nagu alati meie blogist Habr või blogist aadressil veebisaidil.

P.S.S. Tehnilisi küsimusi seoses Check Pointi seadistamisega saab esitada siin

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.