{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. \u0160to je to, \u010demu slu\u017ei ili ukratko o najva\u017enijem","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nPozdravljeni, po\u0161tovani \u010ditatelji Habr-a! Ovo je korporativni blog kompanije TS Solution<\/a><\/noindex>. Mi smo sistemski integrator i prete\u017eno se specijaliziramo za re\u0161enja u oblasti sigurnosti IT infrastrukture (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) i sistemima za analizu ma\u0161inskih podataka (Splunk<\/a><\/noindex>). Po\u010dinjemo na\u0161 blog sa malim uvodom u tehnologije Check Point.<\/p>\n

Dugo smo razmi\u0161ljali da li da napi\u0161emo ovaj \u010dlanak, jer u njemu nema ni\u0161ta novo \u0161to ne bi bilo mogu\u0107e prona\u0107i na internetu. Me\u0111utim, uprkos obilju informacija, u radu sa klijentima i partnerima \u010desto \u010dujemo ista pitanja. Stoga je odlu\u010deno napisati svojevrsni uvod u svet tehnologija Check Point i razjasniti su\u0161tinu arhitekture njihovih re\u0161enja. Sve to u okviru jednog \"malog\" posta, tako re\u0107i brzi pregled. Pri tome \u0107emo se truditi da ne ulazimo u marketin\u0161ke ratove, jer nismo vendor, ve\u0107 jednostavno sistemski integrator (iako jako volimo Check Point) i razmotri\u0107emo osnovne ta\u010dke bez pore\u0111enja sa drugim proizvo\u0111a\u010dima (poput Palo Alto, Cisco, Fortinet itd.). \u010clanak je ispao prili\u010dno opse\u017ean, ali elimini\u0161e ve\u0107inu pitanja u fazi upoznavanja sa Check Point-om. Ako vas to zanima, dobrodo\u0161li ispod kat\u2026
\n<\/a><\/noindex>
\nUTM\/NVFW<\/b><\/p>\n

Kada zapo\u010dinjemo razgovor o Check Point-u, prve stvari koje treba objasniti su \u0161ta je UTM, NVFW i po \u010demu se razlikuju. To \u0107emo u\u010diniti veoma sa\u017eeto, kako post ne bi bio predug (mo\u017eda \u0107emo u budu\u0107nosti ovaj problem razmotriti malo detaljnije)<\/p>\n

UTM \u2014 Unified Threat Management<\/b><\/p>\n

Ukratko, su\u0161tina UTM-a je konsolidacija nekoliko sredstava za\u0161tite u jednom re\u0161enju. Tj. sve u jednoj kutiji ili neka vrsta all inclusive. \u0160ta se pod \"nekoliko sredstava za\u0161tite\" podrazumeva? Najrasprostranjenija opcija je: Firewall, IPS, Proxy (URL filtriranje), tokovni antivirus, Anti-Spam, VPN i tako dalje. Sve se to objedinuje u okviru jednog UTM re\u0161enja, \u0161to olak\u0161ava integraciju, pode\u0161avanje, administraciju i pra\u0107enje, a to pozitivno uti\u010de na ukupnu bezbednost mre\u017ee. Kada su UTM re\u0161enja prvi put pojavila, smatrana su isklju\u010divo za mala preduze\u0107a, jer se UTM nisu nosili sa velikim obimima saobra\u0107aja. To je bilo iz dva razloga:<\/p>\n

    \n
  1. Na\u010din obrade paketa. Prve verzije UTM rje\u0161enja obra\u0111ivale su pakete sekvencijalno, kroz svaki \"modul\". Primjer: najprije paket obra\u0111uje vatrozid, zatim IPS, a potom ga provjerava antivirus i tako dalje. O\u010digledno je da je takav mehanizam izazivao ozbiljna ka\u0161njenja u prometu i zna\u010dajno tro\u0161io resurse sustava (procesor, memoriju).<\/li>\n
  2. Slaba \"oprema\". Kao \u0161to je ranije spomenuto, sekvencijalna obrada paketa znatno je tro\u0161ila resurse, a \"oprema\" onih vremena (1995-2005) jednostavno nije mogla podnijeti ve\u0107i promet.<\/li>\n<\/ol>\n

    \nAli napredak ne miruje. Od tada su zna\u010dajno pove\u0107ane hardverske mogu\u0107nosti, a obrada paketa se promijenila (valja priznati, ne kod svih dobavlja\u010da) i postala je mogu\u0107nost gotovo istovremene analize u vi\u0161e modula (M\u00c9, IPS, antivirus itd.). Moderni UTM sustavi mogu \"probaviti\" desetke i stotine gigabita u re\u017eimu dubinske analize, \u0161to omogu\u0107ava njihovu upotrebu u segmentu velikog biznisa ili \u010dak data centara.<\/p>\n

    Ispod je prikazan poznati magi\u010dni kvadrant Gartnera za UTM rje\u0161enja iz kolovoza 2016. godine:<\/p>\n

    \"Check
    \n
    \nNe\u0107u previ\u0161e komentirati ovu sliku, jednostavno \u0107u re\u0107i da se u gornjem desnom kutu nalaze lideri.<\/p>\n

    NGFW \u2014 Vatrozid nove generacije<\/b><\/p>\n

    Naziv govori sam za sebe \u2014 vatrozid nove generacije. Ova ideja pojavila se znatno kasnije od UTM-a. Glavna ideja NGFW-a je dubinska analiza paketa (DPI) uz pomo\u0107 ugra\u0111ene IPS i razdvajanje pristupa na razini aplikacija (Kontrola aplikacija). U ovom slu\u010daju, IPS je potreban da bi se u toku paketa prepoznale odre\u0111ene aplikacije, \u0161to omogu\u0107ava da ih se dopusti ili zabrani. Primjer: Mo\u017eemo dopustiti rad Skypea, ali zabraniti prijenos datoteka. Mo\u017eemo zabraniti kori\u0161tenje Torrent-a ili RDP-a. Tako\u0111er se podr\u017eavaju web-aplikacije: Mo\u017eemo dopustiti pristup VK.com, ali zabraniti igre, poruke ili gledanje videa. U su\u0161tini, kvaliteta NGFW-a ovisi o broju aplikacija koje mo\u017ee prepoznati. Mnogi smatraju da je pojava pojma NGFW bila obi\u010dan marketin\u0161ki trik, na osnovu kojeg je dru\u0161tvo Palo Alto zapo\u010delo svoj nagli rast.<\/p>\n

    Magi\u010dni kvadrant Gartnera za NGFW iz svibnja 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Vrlo \u010desto pitanje je \u0161to je bolje? Na to nema jednostavnog odgovora i ne mo\u017ee ga biti. Pogotovo ako uzmemo u obzir da gotovo sve moderne UTM solucije sadr\u017ee funkcionalnost NGFW, a ve\u0107ina NGFW sadr\u017ei funkcije koje su svojstvene UTM-u (antivirus, VPN, anti-bot itd.). Kao i uvijek, \u201c\u0111avo se krije u detaljima\u201d, stoga prvo treba odlu\u010diti \u0161to je konkretno vama potrebno i odrediti prora\u010dun. Na temelju tih odluka mo\u017eete odabrati nekoliko opcija. Sve svakako treba testirati, ne vjeruju\u0107i marketin\u0161kim materijalima.<\/p>\n

    Mi \u0107emo, u okviru nekoliko \u010dlanaka, poku\u0161ati razgovarati o Check Pointu, kako ga mo\u017eete isprobati i \u0161to sve mo\u017eete isprobati (prakti\u010dki cijeli funkcionalnost).<\/p>\n

    Tri entiteta Check Pointa<\/b><\/p>\n

    Pri radu s Check Pointom neizbje\u017eno \u0107ete se susresti s tri sastavnice ovog proizvoda:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 vlastiti sigurnosni prolaz, koji se obi\u010dno postavlja na perimetar mre\u017ee i obavlja funkcije vatrozida, protokolarne antivirusne za\u0161tite, anti-bota, IPS itd.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 server za upravljanje prolazima. Gotovo sve postavke na prolazu (SG) provode se putem ovog servera. SMS tako\u0111er mo\u017ee funkcionirati kao log server i obra\u0111ivati svoje zapisnike koriste\u0107i ugra\u0111eni sustav analize i korelacije doga\u0111aja \u2014 Smart Event (sli\u010dno SIEM-u za Check Point), ali o tome malo kasnije. SMS se koristi za centralizirano upravljanje vi\u0161e prolaza (broj prolaza ovisi o modelu SMS-a ili licenciji), me\u0111utim, obavezno ga morate koristiti, \u010dak i ako imate samo jedan prolaz. Treba napomenuti da je Check Point jedan od prvih koji je po\u010deo primjenjivati takav centralizirani sustav upravljanja, koji se ve\u0107 dugi niz godina priznaje kao \u201ezlatni standard\u201c prema izvje\u0161tajima tvrtke Gartner. \u010cak postoji i \u0161ala: \u201cDa je Cisco imao normalan sustav upravljanja, Check Point nikada ne bi postojao.\u201d<\/li>\n
    3. Smart Console<\/b> \u2014 klijentska konzola za povezivanje sa serverom za upravljanje (SMS). Obi\u010dno se instalira na ra\u010dunalo administratora. Kroz ovu konzolu obavljaju se sve promjene na serveru za upravljanje, a tek nakon toga se postavke mogu primijeniti na sigurnosne prolaze (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nOperativni sustav Check Point<\/b><\/p>\n

      Govore\u0107i o operativnom sustavu Check Point, odmah mo\u017eemo spomenuti tri: IPSO, SPLAT i GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 operacijski sustav tvrtke Ipsilon Networks, koja je pripadala tvrtki Nokia. Godine 2009. Check Point je kupio ovaj posao. Vi\u0161e se ne razvija.<\/li>\n
      2. SPLAT<\/b> \u2014 vlastiti razvoj Check Pointa, temeljen na RedHat jezgri. Vi\u0161e se ne razvija.<\/li>\n
      3. Gaia<\/b> \u2014 aktualni operacijski sustav od Check Pointa, koji je nastao spajanjem IPSO-a i SPLAT-a, obuhvativ\u0161i sve najbolje. Pojavio se 2012. godine i nastavlja se aktivno razvijati.<\/li>\n<\/ol>\n

        \nGovore\u0107i o Gaiji, treba napomenuti da je trenutno najra\u0161irenija verzija R77.30. Nedavno je objavljena verzija R80, koja se zna\u010dajno razlikuje od prethodne (i funkcionalno i u upravljanju). O njihovim razlikama \u0107emo posvetiti poseban post. Jo\u0161 jedna va\u017ena stvar \u2014 trenutno samo verzija R77.10 ima FSTEK certifikat, a verzija R77.30 je u postupku certifikacije.<\/p>\n

        Opcije izvedbe (Check Point Appliance, Virtualna ma\u0161ina, OpenServer)<\/b><\/p>\n

        Nema tu ni\u0161ta neobi\u010dno, kao i mnogi dobavlja\u010di, Check Point ima nekoliko opcija proizvoda:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 softversko-hardverska naprava, tj. vlastita \u201chardverska\u201d oprema. Postoji mnogo modela koji se razlikuju po performansama, funkcionalnosti i izvedbi (ima opcija za industrijske mre\u017ee).\n

          \"Check<\/li>\n

        2. Virtualna Ma\u0161ina<\/b> \u2014 virtualna ma\u0161ina Check Pointa s operacijskim sustavom Gaia. Podr\u017eavaju se hipervizori ESXi, Hyper-V, KVM. Licenciraju se prema broju procesorskih jezgri.<\/li>\n
        3. OpenServer<\/b> \u2014 instalacija Gaije izravno na poslu\u017eitelj kao glavnog operacijskog sustava (tzv. \u201cBare metal\u201d). Podr\u017eava se samo odre\u0111eni \u201chardver\u201d. Postoje preporuke za taj hardver koje treba po\u0161tovati, ina\u010de mogu nastati problemi s driverima i tehni\u010dka podr\u0161ka vam mo\u017ee odbiti pru\u017eanje usluga.<\/li>\n<\/ol>\n

          \nOpcije implementacije (Distribuirano ili Samostalno)<\/b><\/p>\n

          Malo prije smo ve\u0107 razgovarali o tome \u0161to je vrata (SG) i poslu\u017eitelj upravljanja (SMS). Sada \u0107emo razgovarati o opcijama njihove implementacije. Postoje dva osnovna na\u010dina:<\/p>\n

            \n
          1. Samostalno (SG+SMS)<\/b> \u2014 opcija kada se i vrata i poslu\u017eitelj upravljanja instaliraju unutar jednog ure\u0111aja (ili virtualne ma\u0161ine).\n

            \"Check
            \n
            \nOva opcija odgovara kada imate samo jedan prolaz koji nije optere\u0107en korisni\u010dkim prometom. Ova opcija je najisplativija jer ne postoji potreba za kupovinom upravlja\u010dkog servera (SMS). Me\u0111utim, pri ozbiljnom optere\u0107enju prolaza, mo\u017eete do\u0107i do \"uspavane\" upravlja\u010dke sisteme. Stoga, pre nego \u0161to izaberete Standalone re\u0161enje, najbolje je konsultovati se ili \u010dak testirati ovu opciju.<\/p>\n<\/li>\n

          2. Distribuirano<\/b> \u2014 upravlja\u010dki server se instalira odvojeno od prolaza.\n

            \"Check
            \n
            \nOptimalna opcija u smislu udobnosti i performansi. Koristi se kada je potrebno upravljati vi\u0161e prolaza odjednom, na primer centralnim i podru\u017enicama. U ovom slu\u010daju potrebno je kupiti upravlja\u010dki server (SMS) koji mo\u017ee biti i u obliku ure\u0111aja (hardverskog rje\u0161enja) ili virtuelne ma\u0161ine.<\/li>\n<\/ol>\n

            \nKao \u0161to sam ve\u0107 spomenuo malo ranije, Check Point ima vlastiti SIEM sistem \u2014 Smart Event. Mo\u017eete ga koristiti samo u slu\u010daju Distribuirane instalacije.<\/p>\n

            Na\u010dini rada (Bridge, Routed)<\/b>
            \nSigurnosni prolaz (SG) mo\u017ee raditi u dva osnovna re\u017eima:<\/p>\n