Check Point Gaia R80.40. Quelles seront les nouveautés ?

Une nouvelle version du système d'exploitation arrive. Gaia R80.40Il y a quelques semaines, le programme Early Access a été lancé,, permettant d'accéder aux tests de la distribution. Comme d'habitude, nous publions des informations sur les nouveautés et mettrons en avant les aspects qui nous semblent les plus intéressants. Pour anticiper, je peux dire que les innovations sont vraiment significatives. Il est donc bon de se préparer à la prochaine mise à jour. Précédemment, nous avons déjà publié un article expliquant comment procéder (pour plus d'informations, vous pouvez vous adresser ici). Passons au sujet…

Quoi de Neuf

Examinons ici les nouveautés officiellement annoncées. Les informations proviennent du site Check Mates (communauté officielle Check Point). Avec votre permission, je ne traduirai pas ce texte, car l'audience de Habr peut le permettre. À la place, je laisserai mes commentaires dans le chapitre suivant.

1. Sécurité IoT. Nouvelles fonctionnalités relatives à l'Internet des objets

• Collectez les appareils IoT et les attributs de trafic provenant de moteurs de découverte IoT certifiés (soutient actuellement Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM et Armis).
• Configurez une nouvelle couche de politique dédiée aux IoT dans la gestion des politiques.
• Configurez et gérez des règles de sécurité basées sur les attributs des appareils IoT.

2. Inspection TLSHTTP/2 :

• HTTP/2 est une mise à jour du protocole HTTP. Cette mise à jour améliore la vitesse, l'efficacité et la sécurité, offrant une meilleure expérience utilisateur.
• La passerelle de sécurité Check Point prend désormais en charge HTTP/2, bénéficiant d'une meilleure vitesse et efficacité tout en assurant une sécurité complète, avec toutes les protections contre les menaces et les contrôles d'accès, ainsi que de nouvelles protections pour le protocole HTTP/2.
• La prise en charge concerne à la fois le trafic clair et le trafic SSL chiffré, et est entièrement intégrée aux capacités d'inspection HTTPS/TLS.
• Couche d'inspection TLS

. Nouveautés concernant l'inspection HTTPS :Une nouvelle couche de politique dans SmartConsole dédiée à l'inspection TLS.

• Différentes couches d'inspection TLS peuvent être utilisées dans différents paquets de politiques.
• Partage d'une couche d'inspection TLS entre plusieurs paquets de politiques.
• API pour les opérations TLS.
• 3. Prévention des Menaces

Amélioration globale de l'efficacité des processus de prévention des menaces et des mises à jour.

• Mises à jour automatiques du moteur d'extraction des menaces.
• Les objets dynamiques, de domaine et mis à jour peuvent désormais être utilisés dans les politiques de prévention des menaces et d'inspection TLS. Les objets mis à jour sont des objets réseau représentant un service externe ou une liste dynamique d'adresses IP connue, par exemple — adresses IP d'Office365 / Google / Azure / AWS et objets géographiques.
• L'Anti-Virus utilise désormais les indications de menace SHA-1 et SHA-256 pour bloquer des fichiers sur la base de leurs hachages. Importez les nouvelles indications depuis la vue des Indicateurs de Menace de SmartConsole ou le CLI du Flux d'Intelligence Personnalisé.
• L'Anti-Virus et la Simulation de Menace SandBlast prennent désormais en charge l'inspection du trafic e-mail via le protocole POP3, ainsi qu'une inspection améliorée du trafic e-mail via le protocole IMAP.
• L'Anti-Virus et la Simulation de Menace SandBlast utilisent désormais la fonctionnalité d'inspection SSH récemment introduite pour inspecter les fichiers transférés via les protocoles SCP et SFTP.
• La fonctionnalité d'inspection SSH nouvellement introduite est désormais utilisée par Anti-Virus et SandBlast Threat Emulation pour inspecter les fichiers transférés via les protocoles SCP et SFTP.
• Anti-Virus et SandBlast Threat Emulation offrent désormais un support amélioré pour l'inspection de SMBv3 (3.0, 3.0.2, 3.1.1), y compris l'inspection des connexions multi-canaux. Check Point est maintenant le seul fournisseur à prendre en charge l'inspection d'un transfert de fichier à travers plusieurs canaux (une fonctionnalité activée par défaut dans tous les environnements Windows). Cela permet aux clients de rester en sécurité tout en travaillant avec cette fonctionnalité améliorant les performances.

4. Sensibilisation à l'identité

• Support pour l'intégration de Captive Portal avec SAML 2.0 et des fournisseurs d'identité tiers.
• Support pour Identity Broker pour un partage d'informations d'identité évolutif et granulaire entre les PDP, ainsi qu'un partage inter-domaines.
• Améliorations de l'agent des serveurs de terminal pour une meilleure évolutivité et compatibilité.

5. VPN IPsec

• Configurer différents domaines de cryptage VPN sur une passerelle de sécurité qui est membre de plusieurs communautés VPN. Cela fournit :
• Confidentialité améliorée — Les réseaux internes ne sont pas divulgués dans les négociations du protocole IKE.
• Sécurité et granularité améliorées — Spécifiez quels réseaux sont accessibles dans une communauté VPN spécifiée.
• Interopérabilité améliorée — Définitions VPN basées sur les routes simplifiées (recommandées lorsque vous travaillez avec un domaine de cryptage VPN vide).
• Créer et travailler sans effort avec un environnement VPN à grande échelle (LSV) à l'aide de profils LSV.

6. Filtrage d'URL

• Évolutivité et résilience améliorées.
• Capacités de dépannage étendues.

7. NAT

• Mécanisme d'allocation de ports NAT amélioré — sur les passerelles de sécurité avec 6 ou plusieurs instances de pare-feu CoreXL, toutes les instances utilisent le même pool de ports NAT, ce qui optimise l'utilisation et la réutilisation des ports.
• Suivi de l'utilisation des ports NAT dans CPView et via SNMP.

8. Voix sur IP (VoIP)Plusieurs instances de pare-feu CoreXL gèrent le protocole SIP pour améliorer les performances.

9. VPN d'accès à distanceUtilisez un certificat machine pour distinguer entre les actifs corporatifs et non-corporatifs et pour établir une politique imposant l'utilisation uniquement des actifs d'entreprise. L'application peut être avant la connexion (authentification seulement de l'appareil) ou après la connexion (authentification de l'appareil et de l'utilisateur).

10. Agent du portail d'accès mobileSécurité des points de terminaison améliorée à la demande au sein de l'agent du portail d'accès mobile pour prendre en charge tous les principaux navigateurs web. Pour plus d'informations, voir sk113410.

11. CoreXL et Multi-Queue

• Support pour l'allocation automatique des SND CoreXL et des instances de pare-feu qui ne nécessitent pas un redémarrage de la passerelle de sécurité.
• Expérience hors du box améliorée — La passerelle de sécurité change automatiquement le nombre de SND CoreXL et d'instances de pare-feu ainsi que la configuration Multi-Queue en fonction de la charge de trafic actuelle.

12. Clustering

• Support pour le protocole de contrôle de cluster en mode Unicast qui élimine le besoin de CCP.

Modes Broadcast ou Multicast :

• Le chiffrement du protocole de contrôle du cluster est désormais activé par défaut.
• Nouveau mode ClusterXL - Actif/Actif, qui prend en charge les membres du cluster situés dans des emplacements géographiques différents, sur différents sous-réseaux et avec des adresses IP différentes.
• Support pour les membres de cluster ClusterXL qui exécutent différentes versions logicielles.
• Élimination du besoin de configuration MAC Magic lorsque plusieurs clusters sont connectés au même sous-réseau.

13. VSX

• Support pour la mise à niveau VSX avec CPUSE dans le portail Gaia.
• Support pour le mode Actif en mode VSLS.
• Support pour les rapports statistiques CPView pour chaque système virtuel.

14. Zero TouchUn processus de configuration simple Plug & Play pour installer un appareil — éliminant le besoin d'expertise technique et de devoir se connecter à l'appareil pour la configuration initiale.

15. API REST GaiaL'API REST Gaia fournit un nouveau moyen de lire et d'envoyer des informations vers des serveurs exécutant le système d'exploitation Gaia. Voir sk143612.

16. Routage avancé

• Améliorations à OSPF et BGP permettant de réinitialiser et de redémarrer les voisins OSPF pour chaque instance de pare-feu CoreXL sans redémarrer le démon routé.
• Amélioration de l'actualisation des routes pour un meilleur traitement des incohérences de routage BGP.

17. Nouvelles capacités du noyau

• Noyau Linux mis à jour
• Nouveau système de partitionnement (gpt) :
• Prise en charge de plus de 2 To de disques physiques/ logiques
• Système de fichiers plus rapide (xfs)
• Prise en charge de systèmes de stockage plus grands (testé jusqu'à 48 To)
• Améliorations des performances liées aux E/S
• Multi-Queue :
• Prise en charge complète de Gaia Clish pour les commandes Multi-Queue
• Configuration « activée par défaut » automatique
• Prise en charge de montage SMB v2/v3 dans la lame d'accès mobile
• Ajout de la prise en charge NFSv4 (client) (la version NFS 4.2 est la version NFS par défaut utilisée)
• Prise en charge de nouveaux outils système pour le débogage, la surveillance et la configuration du système

18. CloudGuard Controller

• Améliorations des performances pour les connexions aux centres de données externes.
• Intégration avec VMware NSX-T.
• Prise en charge de commandes API supplémentaires pour créer et éditer des objets serveur de centre de données.

19. Serveur Multi-Domain

• Sauvegarder et restaurer un serveur de gestion de domaine individuel sur un serveur Multi-Domain.
• Migrer un serveur de gestion de domaine d'un serveur Multi-Domain à un autre système de gestion de sécurité Multi-Domain.
• Migrer un serveur de gestion de la sécurité pour devenir un serveur de gestion de domaine sur un serveur Multi-Domain.
• Migrer un serveur de gestion de domaine pour devenir un serveur de gestion de la sécurité.
• Revenir à un domaine sur un serveur Multi-Domain, ou à un serveur de gestion de la sécurité à une révision précédente pour un nouvel édit.

20. SmartTasks et API

• Nouvelle méthode d'authentification API de gestion utilisant une clé API auto-générée.
• Nouveaux commandes API de gestion pour créer des objets de cluster.
• Déploiement central de Jumbo Hotfix Accumulator et correctifs depuis SmartConsole ou avec une API permet d'installer ou de mettre à niveau plusieurs passerelles de sécurité et clusters en parallèle.
• SmartTasks — Configurer des scripts automatiques ou des requêtes HTTPS déclenchées par des tâches administratives, telles que la publication d'une session ou l'installation d'une politique.

21. DéploiementDéploiement central de Jumbo Hotfix Accumulator et correctifs depuis SmartConsole ou avec une API permet d'installer ou de mettre à niveau plusieurs passerelles de sécurité et clusters en parallèle.

22. SmartEventPartager des vues et des rapports SmartView avec d'autres administrateurs.

23. Exportateur de journauxExporter des journaux filtrés selon des valeurs de champ.

24. Sécurité des points de terminaison

• Prise en charge du chiffrement BitLocker pour le chiffrement de disque complet.
• Prise en charge des certificats d'autorité de certification externes pour le client de sécurité des points de terminaison
• authentification et communication avec le serveur de gestion de sécurité des points de terminaison.
• Prise en charge d'une taille dynamique des packages du client de sécurité des points de terminaison en fonction des
• fonctionnalités sélectionnées pour le déploiement.
• La politique peut désormais contrôler le niveau de notifications pour les utilisateurs finaux.
• Prise en charge de l'environnement VDI persistant dans la gestion des politiques de points de terminaison.

Ce que nous avons le plus aimé (sur la base des tâches des clients)

Comme vous pouvez le voir, il y a beaucoup de nouveautés. Mais pour nous, en tant que intégrateur système, il y a quelques points très intéressants (qui intéressent également nos clients). Notre Top 10 :

1. Enfin, un support complet des appareils IoT est désormais disponible. Il est déjà assez difficile de trouver une entreprise qui n'ait pas de tels appareils.
2. L'inspection TLS est désormais placée dans une couche distincte. C'est beaucoup plus pratique que maintenant (en 80.30). Il n'est plus nécessaire de lancer l'ancien tableau de bord Legacy. De plus, dans la politique d'inspection HTTPS, il est possible d'utiliser des objets actualisables, comme les services Office365, Google, Azure, AWS, etc. C'est très pratique lorsque des exceptions doivent être configurées. Cependant, il n'y a toujours pas de prise en charge de TLS 1.3. Apparemment, cela sera « rattrapé » dans le prochain correctif.
3. Changements significatifs pour Anti-Virus et SandBlast. Désormais, il est possible de vérifier des protocoles tels que SCP, SFTP et SMBv3 (d'ailleurs, ce protocole multi-canaux n'est vérifié par personne d'autre).
4. De nombreuses améliorations concernent le VPN Site-à-Site. Il est désormais possible de configurer plusieurs domaines VPN sur une passerelle qui appartient à plusieurs communautés VPN. C'est très pratique et beaucoup plus sûr. De plus, Check Point a enfin pensé au VPN basé sur les routes et a légèrement amélioré sa stabilité/compatibilité.
5. Une fonction très demandée pour les utilisateurs distants est désormais disponible. Il est possible d'authentifier non seulement l'utilisateur, mais aussi le dispositif à partir duquel il se connecte. Par exemple, nous voulons autoriser la connexion via VPN uniquement depuis des dispositifs d'entreprise. Cela se fait bien sûr à l'aide de certificats. Il est également possible de monter automatiquement (SMB v2/3) des partages de fichiers pour les utilisateurs distants utilisant le client VPN.
6. Il y a eu de nombreux changements dans le fonctionnement du cluster. Mais l'une des plus intéressantes est la possibilité de faire fonctionner un cluster où les passerelles ont différentes versions de Gaia. C'est pratique lors d'une mise à jour planifiée.
7. Les fonctionnalités de Zero Touch ont été améliorées. C'est un outil utile pour ceux qui installent souvent des petites passerelles (par exemple pour des distributeurs automatiques).
8. Un stockage allant jusqu'à 48 To est désormais pris en charge pour les journaux.
9. Vous pouvez désormais partager vos tableaux de bord SmartEvent avec d'autres administrateurs.
10. Log Exporter permet désormais de pré-filtrer les messages envoyés selon les champs nécessaires. Cela signifie que seules les journaux et événements requis passeront à vos systèmes SIEM.

Mise à jour

Beaucoup d'entre vous envisagent probablement une mise à jour. Il n'est pas nécessaire de se précipiter. Dans un premier temps, la version 80.40 doit passer en disponibilité générale. Mais même après cela, il n'est pas conseillé de mettre à jour immédiatement. Il vaut mieux attendre au moins le premier correctif.
Il est probable que beaucoup d'entre vous utilisent encore des versions plus anciennes. Je peux dire qu'il est déjà possible (et même recommandé) de passer à 80.30. C'est un système déjà stable et éprouvé !

Vous pouvez également vous abonner à nos pages (Telegram, Facebook, VK, Blog de solutions TS), où vous pouvez suivre l'apparition de nouveaux matériaux sur Check Point et d'autres produits de sécurité.

Seuls les utilisateurs enregistrés peuvent participer au sondage. Connectez-vous, s'il vous plaît.

Quelle version de Gaia utilisez-vous ?

• R77.10
• R77.30
• R80.10
• R80.20
• R80.30
• Autre

13 utilisateurs ont voté. 6 utilisateurs se sont abstenu.

Source : habr.com