Check Point Gaia R80.40. Što će biti novo?

Nadolazi novo izdanje operativnog sustava Gaia R80.40. Prije nekoliko tjedana pokrenut je program Early Access, putem kojeg je moguće dobiti pristup za testiranje distribucije. Kao i obično, objavljujemo informacije o tome što je novo, a također ćemo istaknuti točke koje su za nas najzanimljivije. Napominjem da su noviteti doista značajni. Stoga se pripremite za brzu proceduru ažuriranja. Ranije smo već objavili članak o tome kako to učiniti (za dodatne informacije možete kontaktirati ovdje). Pređimo na temu…

Što je novo

Razmotrit ćemo ovdje službeno navedene novitete. Informacije su preuzete s web stranice Check Mates (službena zajednica Check Point). S vašim dopuštenjem, neću prevoditi ovaj tekst, budući da publika Habr-a to omogućava. Umjesto toga, ostavit ću svoje komentare u sljedećem poglavlju.

1. IoT sigurnost. Nove funkcije koje se odnose na internet stvari

• Prikupite IoT uređaje i atribute prometa iz certificiranih IoT alata za otkrivanje (trenutno podržava Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM i Armis).
• Konfigurirajte novu IoT posvećenu politiku sloja u upravljanju politikama.
• Konfigurirajte i upravljajte sigurnosnim pravilima temeljenim na atributima IoT uređaja.

2. TLS inspekcijaHTTP/2:

• HTTP/2 je ažuriranje HTTP protokola. Ažuriranje donosi poboljšanja brzine, učinkovitosti i sigurnosti te rezultira boljim korisničkim iskustvom.
• Check Pointov sigurnosni prolaz sada podržava HTTP/2 i pruža bolju brzinu i učinkovitost uz punu sigurnost, sa svim značajkama prevencije prijetnji i kontrole pristupa, kao i novim zaštitama za HTTP/2 protokol.
• Podrška je za otvoreni i SSL šifrirani promet te je potpuno integrirana s HTTPS/TLS
• mogućnostima inspekcije.

TLS inspekcijski sloj. Novine vezane za HTTPS inspekciju:

• Novi sloj politike u SmartConsole posvećen TLS inspekciji.
• Različiti slojevi TLS inspekcije mogu se koristiti u različitim paketima politika.
• Dijeljenje sloja TLS inspekcije između više paketa politika.
• API za TLS operacije.

3. Prevencija prijetnji

• Opće poboljšanje učinkovitosti procesa prevencije prijetnji i ažuriranja.
• Automatska ažuriranja za motor ekstrakcije prijetnji.
• Dinamički, domena i ažurirani objekti sada se mogu koristiti u politikama prevencije prijetnji i TLS inspekcije. Ažurirani objekti su mrežni objekti koji predstavljaju vanjsku uslugu ili poznatu dinamičku listu IP adresa, na primjer — Office365 / Google / Azure / AWS IP adrese i Geo objekti.
• Anti-Virus sada koristi SHA-1 i SHA-256 indikacije prijetnji za blokiranje datoteka na temelju njihovih hešova. Uvezite nove indikatore iz prikaza indikatora prijetnji u SmartConsole ili putem CLI-a prilagođenog inteligentnog feeda.
• Anti-Virus i SandBlast Threat Emulation sada podržavaju inspekciju e-mail prometa preko POP3 protokola, kao i poboljšanu inspekciju e-mail prometa preko IMAP protokola.
• Anti-Virus i SandBlast Threat Emulation sada koriste novo uvedenu značajku inspekcije SSH za inspekciju datoteka prenesenih preko SCP i SFTP protokola.
• Anti-Virus i SandBlast Emulacija prijetnji sada pružaju poboljšanu podršku za SMBv3 inspekciju (3.0, 3.0.2, 3.1.1), koja uključuje inspekciju više-kanalnih veza. Check Point je sada jedini dobavljač koji podržava inspekciju prijenosa datoteka kroz više kanala (značajka koja je prema zadanim postavkama uključena u svim Windows okruženjima). To omogućuje kupcima da ostanu sigurni dok koriste ovu značajku koja poboljšava performanse.

4. Svijest o identitetu

• Podrška za integraciju Captive Portala sa SAML 2.0 i trećim pružateljima identiteta.
• Podrška za Identity Broker radi skalabilne i precizne razmjene informacija o identitetu između PDP-ova, kao i razmjenu između domena.
• Poboljšanja za Agenta Terminalnih Poslužitelja radi bolje skalabilnosti i kompatibilnosti.

5. IPsec VPN

• Konfigurirajte različite VPN domene šifriranja na Sigurnosnom Gateway-u koji je član više VPN zajednica. To pruža:
• Poboljšana privatnost — Unutarnje mreže se ne otkrivaju u IKE protokolskim pregovorima.
• Poboljšana sigurnost i preciznost — Odredite koje mreže su dostupne u određenoj VPN zajednici.
• Poboljšana interoperabilnost — P pojednostavljene definicije VPN-ova temeljenih na rutama (preporučuje se kada radite s praznom VPN domenom šifriranja).
• Kreirajte i neometano radite s okruženjem za Velike Vpn-ove (LSV) uz pomoć LSV profila.

6. Filtriranje URL-ova

• Poboljšana skalabilnost i otpornost.
• Proširene mogućnosti otklanjanja poteškoća.

7. NAT

• Poboljšan mehanizam dodjele NAT portova — na Sigurnosnim Gateway-ima s 6 ili više CoreXL Firewall instanci, sve instance koriste isti bazen NAT portova, što optimizira korištenje i ponovnu upotrebu portova.
• Nadzor korištenja NAT portova u CPView-u i putem SNMP-a.

8. Glas preko IP-a (VoIP)Više CoreXL Firewall instanci upravlja SIP protokolom za poboljšanje performansi.

9. VPN za udaljeni pristupKoristite certifikat uređaja za razlikovanje između korporativne i nekorporativne imovine i postavite politiku koja nameće korištenje samo korporativne imovine. Provedba može biti prije prijave (samo autentifikacija uređaja) ili nakon prijave (autentifikacija uređaja i korisnika).

10. Agent mobilnog pristupaPoboljšana sigurnost krajnjih točaka na zahtjev unutar Agenta mobilnog pristupa kako bi se podržali svi glavni web preglednici. Za više informacija, pogledajte sk113410.

11. CoreXL i Multi-Queue

• Podrška za automatsku dodjelu CoreXL SND-ova i Firewall instanci koja ne zahtijeva ponovno pokretanje Sigurnosnog Gateway-a.
• Poboljšano iskustvo iz kutije — Sigurnosni Gateway automatski mijenja broj CoreXL SND-ova i Firewall instanci i konfiguraciju Multi-Queue na temelju trenutnog opterećenja prometa.

12. Klasteriranje

• Podrška za Cluster Control Protocol u Unicast modu koja eliminira potrebu za CCP-om.

Broadcast ili Multicast modovi:

• Enkripcija Cluster Control Protocol-a sada je prema zadanim postavkama omogućena.
• Novi ClusterXL mod - Aktivna/Aktivna, koji podržava članske klastere na različitim geografskim lokacijama koje se nalaze na različitim subnetovima i imaju različite IP adrese.
• Podrška za ClusterXL članove klastera koji koriste različite verzije softvera.
• Eliminirana potreba za MAC Magic konfiguracijom kada su povezani nekoliko klastera na istom subnetu.

13. VSX

• Podrška za VSX nadogradnju sa CPUSE u Gaia Portalu.
• Podrška za Active Up mod u VSLS-u.
• Podrška za CPView statističke izvještaje za svaki Virtualni Sustav

14. Zero TouchJednostavan Plug & Play postupak za instalaciju uređaja — eliminira potrebu za tehničkom stručnošću i povezivanjem s uređajem za prvu konfiguraciju.

15. Gaia REST APIGaia REST API pruža novi način za čitanje i slanje informacija poslužiteljima koji pokreću Gaia operativni sustav. Pogledajte sk143612.

16. Napredno usmjeravanje

• Poboljšanja OSPF-a i BGP-a omogućuju resetiranje i ponovno pokretanje susjedstva OSPF-a za svaku CoreXL Firewall instancu bez potrebe za ponovnim pokretanjem usmjerivačkog demona.
• Poboljšanje osvježavanja ruta za bolje upravljanje BGP usmjerenjem.

17. Nove mogućnosti jezgre

• Nadograđeni Linux kernel
• Novi sustav particioniranja (gpt):
• Podrška za više od 2TB fizičkih/logičkih diskova
• Brži datotečni sustav (xfs)
• Podrška za veće sustave pohrane (testirano do 48TB)
• Poboljšanja performansi vezanih uz I/O
• Multi-Queue:
• Potpuna Gaia Clish podrška za Multi-Queue naredbe
• Automatska konfiguracija «uključeno po defaultu»
• SMB v2/3 podrška za Mobile Access blade
• Dodana podrška za NFSv4 (klijent) (NFS v4.2 je zadana NFS verzija)
• Podrška za nove sustavne alate za otklanjanje pogrešaka, praćenje i konfiguraciju sustava

18. CloudGuard Controller

• Poboljšane performanse za veze sa vanjskim podatkovnim centrima.
• Integracija s VMware NSX-T.
• Podrška za dodatne API naredbe za kreiranje i uređivanje objekata Data Center Server.

19. Multi-Domain Server

• Izradite sigurnosnu kopiju i vratite pojedinačni Server za upravljanje domenama na Multi-Domain Serveru.
• Migrirajte Server za upravljanje domenama s jednog Multi-Domain Servera na drugi Multi-Domain Security Management.
• Migrirajte Security Management Server da postane Server za upravljanje domenama na Multi-Domain Serveru.
• Migrirajte Server za upravljanje domenama da postane Security Management Server.
• Vratite Domenu na Multi-Domain Serveru ili Security Management Server na prethodnu reviziju radi daljnjeg uređivanja.

20. SmartTasks i API

• Nova metoda autentifikacije API-ja za upravljanje koja koristi automatski generirani API ključ.
• Nove naredbe API-ja za upravljanje za kreiranje objekata klastera.
• Centralno implementiranje Jumbo Hotfix akumulatora i Hotfixova iz SmartConsole-a ili putem API-ja omogućuje instalaciju ili nadogradnju više sigurnosnih gateway-a i klastera paralelno.
• SmartTasks — Konfigurirajte automatske skripte ili HTTPS zahtjeve pokrenute administratorovim zadacima, poput objavljivanja sesije ili instaliranja politike.

21. ImplementacijaCentralno implementiranje Jumbo Hotfix akumulatora i Hotfixova iz SmartConsole-a ili putem API-ja omogućuje instalaciju ili nadogradnju više sigurnosnih gateway-a i klastera paralelno.

22. SmartEventDijelite SmartView prikaze i izvještaje s drugim administratorima.

23. Izvoz dnevnikaIzvezite dnevničke zapise filtrirane prema vrijednostima polja.

24. Endpoint Security

• Podrška za BitLocker enkripciju za potpunu enkripciju diska.
• Podrška za vanjske certifikate certifikacijske vlasti za klijenta Endpoint Security
• autentifikaciju i komunikaciju sa Serverom za upravljanje Endpoint Security.
• Podrška za dinamičku veličinu paketa klijenta Endpoint Security temeljenog na odabranim
• značajkama za implementaciju.
• Politika sada može kontrolirati razinu obavijesti za krajnje korisnike.
• Podrška za Persistent VDI okruženje u upravljanju politikama Endpoint.

Što nam se najviše svidjelo (na temelju zahtjeva klijenata)

Kao što vidite, ima puno noviteta. No za nas, kao za sustavnog integratora, postoji nekoliko vrlo zanimljivih stvari (koje su također zanimljive našim klijentima). Naš Top-10:

1. Nap finally there is full support for IoT devices. It's quite hard to find a company that doesn’t have such devices.
2. TLS inspection has now been moved to a separate layer. This is much more convenient than it is now (in version 80.30). You no longer need to launch the old Legacy Dashboard. Additionally, you can now use Updatable objects, such as services Office365, Google, Azure, AWS etc., in your HTTPS inspection policy. This is very convenient when configuring exceptions. However, there is still no support for TLS 1.3. It seems they will catch up in the next hotfix.
3. Significant changes for Anti-Virus and SandBlast. You can now inspect protocols like SCP, SFTP, and SMBv3 (by the way, this multi-channel protocol is not checked by anyone else).
4. Postoji mnogo poboljšanja vezanih uz Site-to-Site VPN. Sada je moguće postaviti više VPN domena na gatewayu koji pripada više VPN zajednicama. To je vrlo povoljno i znatno sigurnije. Štoviše, Check Point je konačno razmišljao o Route Based VPN i malo poboljšao njegovu stabilnost/kompatibilnost.
5. Pojavila se vrlo tražena funkcija za udaljene korisnike. Sada je moguće autentificirati ne samo korisnika, već i uređaj s kojeg se povezuje. Na primjer, želimo omogućiti VPN povezivanje samo s korporativnih uređaja. To se, naravno, radi pomoću certifikata. Također je postalo moguće automatski montirati (SMB v2/3) dijeljene foldere za udaljene korisnike s VPN klijentom.
6. Postoji mnogo promjena u radu klastera. No, jedna od najzanimljivijih je mogućnost rada klastera u kojem gatewayi imaju različite verzije Gaia. To je korisno prilikom planiranog ažuriranja.
7. Poboljšane su mogućnosti Zero Touch. Korisna stvar za one koji često instaliraju "mala" gatewaye (na primjer, za bankomate).
8. Za logove sada je podržano skladište do 48TB.
9. Možete dijeliti svoje SmartEvent kontrolne ploče s drugim administratorima.
10. Log Exporter sada omogućuje predobradu poslanih poruka prema potrebnim poljima. To jest, na vaše SIEM sustave prolazit će samo potrebni logovi i događaji.

Ažuriranje

Mnogi se možda već razmišljaju o ažuriranju. Ne trebate žuriti. U početku, verzija 80.40 trebala bi preći u General Availability. No, čak i nakon toga ne trebate odmah ažurirati. Bolje je pričekati barem prvi hotfix.
Mnogi možda "sjede" na starijim verzijama. Mogu reći da je najmanje već moguće (i čak potrebno) ažurirati na 80.30. To je već stabilan i provjeren sustav!

Također se možete prijaviti na naše javne profile (Telegram, Facebook, VK, TS Solution Blog), gdje možete pratiti pojavljenih novih materijala o Check Pointu i drugim sigurnosnim proizvodima.

Samo registrirani korisnici mogu sudjelovati u anketi. Prijavite se, molimo.

Koju verziju Gaia koristite?

• R77.10
• R77.30
• R80.10
• R80.20
• R80.30
• Drugo

Glasalo je 13 korisnika. Suzdržalo se 6 korisnika.

Izvor: habr.com