Bonjou, chè lektè habr! Sa a se blog antrepriz nan konpayi an . Nou se yon entegratè sistèm epi sitou espesyalize nan solisyon sekirite enfrastrikti IT (, ) ak sistèm analiz done machin (). Nou pral kòmanse blog nou an ak yon ti entwodiksyon sou teknoloji Check Point.
Nou te panse pou yon tan long sou si yo ekri atik sa a, paske. pa gen anyen nouvo nan li ki pa ka jwenn sou entènèt la. Sepandan, malgre tankou yon abondans nan enfòmasyon, lè w ap travay ak kliyan ak patnè, nou souvan tande menm kesyon yo. Se poutèt sa, li te deside ekri kèk kalite entwodiksyon nan mond lan nan teknoloji Check Point ak revele sans nan achitekti a nan solisyon yo. Ak tout sa a nan kad yon sèl "ti" pòs, se konsa pale, yon digression rapid. Epi nou pral eseye pa antre nan lagè maketing, paske. nou pa yon machann, men jis yon sistèm entegre (byenke nou renmen Check Point anpil) epi jis ale sou pwen prensipal yo san yo pa konpare yo ak lòt manifaktirè (tankou Palo Alto, Cisco, Fortinet, elatriye). Atik la te tounen byen volumineuz, men li koupe pi fò nan kesyon yo nan etap nan familyarize ak Check Point. Si w enterese, akeyi anba chat la...
UTM/NGFW
Lè w kòmanse yon konvèsasyon sou Check Point, premye bagay pou kòmanse se yon eksplikasyon sou kisa UTM, NGFW ye ak ki jan yo diferan. Nou pral fè sa trè kout pou pòs la pa vire twò gwo (petèt nan tan kap vini an nou pral konsidere pwoblèm sa a nan yon ti kras plis detay)
UTM la vle di Jesyon inifye menas
Nan ti bout tan, sans nan UTM se konsolidasyon plizyè zouti sekirite nan yon sèl solisyon. Moun sa yo. tout nan yon sèl bwat oswa kèk tout enklizif. Ki sa ki vle di "remèd miltip"? Opsyon ki pi komen se: Firewall, IPS, Proxy (filtraj URL), Streaming Antivirus, Anti-Spam, VPN ak sou sa. Tout bagay sa yo konbine nan yon sèl solisyon UTM, ki pi fasil an tèm de entegrasyon, konfigirasyon, administrasyon ak siveyans, e sa a, nan vire, gen yon efè pozitif sou sekirite an jeneral nan rezo a. Lè solisyon UTM premye parèt, yo te konsidere sèlman pou ti konpayi yo, paske. UTM yo pa t 'kapab jere volim gwo trafik. Sa a te pou de rezon:
- Manyen pake. Premye vèsyon yo nan solisyon UTM trete pake sekans, pa chak "modil". Egzanp: premye pake a trete pa firewall la, Lè sa a, pa IPS, Lè sa a, li tcheke pa Anti-Viris ak sou sa. Natirèlman, tankou yon mekanis prezante reta trafik grav ak anpil konsome resous sistèm (prosesè, memwa).
- Materyèl fèb. Kòm mansyone pi wo a, pwosesis pake sekans manje moute resous ak pyès ki nan konpitè nan tan sa yo (1995-2005) tou senpleman pa t 'kapab fè fas ak gwo trafik.
Men, pwogrè pa kanpe. Depi lè sa a, kapasite pyès ki nan konpitè yo te ogmante siyifikativman, ak pwosesis pake a chanje (li dwe admèt ke se pa tout machann ki genyen li) epi yo te kòmanse pèmèt analiz prèske similtane nan plizyè modil nan yon fwa (ME, IPS, AntiVirus, elatriye). Solisyon UTM modèn yo ka "dijere" dè dizèn e menm dè santèn de gigabit nan mòd analiz pwofon, ki fè li posib yo sèvi ak yo nan segman nan gwo biznis oswa menm sant done.
Anba a se pi popilè kadran majik Gartner pou solisyon UTM pou mwa Out 2016:
Mwen pa pral fè kòmantè fò sou foto sa a, mwen pral jis di ke gen lidè nan kwen anwo dwa.
NGFW - Firewall pwochen jenerasyon
Non an pale pou tèt li - pwochen jenerasyon firewall. Konsèp sa a parèt pi ta pase UTM. Lide prensipal la nan NGFW se enspeksyon gwo twou san fon (DPI) lè l sèvi avèk IPS entegre ak kontwòl aksè nan nivo aplikasyon an (Kontwòl Aplikasyon). Nan ka sa a, IPS se jis sa ki nesesè yo idantifye aplikasyon sa a oswa ki nan kouran an pake, ki pèmèt ou pèmèt oswa refize li. Egzanp: Nou ka pèmèt Skype travay men anpeche transfè fichye yo. Nou ka entèdi itilizasyon Torrent oswa RDP. Aplikasyon entènèt yo sipòte tou: Ou ka pèmèt aksè nan VK.com, men anpeche jwèt, mesaj, oswa gade videyo. Esansyèlman, bon jan kalite a nan yon NGFW depann sou kantite aplikasyon li ka defini. Anpil moun kwè ke aparisyon konsèp NGFW se te yon konplo maketing komen kont Palo Alto te kòmanse kwasans rapid li yo.
Me 2016 Gartner Magic Quadrant pou NGFW:
UTM vs NGFW
Yon kesyon trè komen, ki pi bon? Pa gen yon sèl repons isit la epi yo pa kapab. Espesyalman lè ou konsidere lefèt ke prèske tout solisyon UTM modèn gen fonksyon NGFW ak pifò NGFW yo gen fonksyon nannan nan UTM (Antivirus, VPN, Anti-Bot, elatriye). Kòm toujou, "dyab la se nan detay yo", kidonk premye nan tout ou bezwen deside sa ou bezwen espesyalman, deside sou bidjè a. Dapre desizyon sa yo, yo ka chwazi plizyè opsyon. Ak tout bagay bezwen teste san anbigwite, pa kwè materyèl maketing.
Nou, nan vire, nan kad plizyè atik, pral eseye di w sou Check Point, ki jan ou ka eseye li ak ki sa, an prensip, ou ka eseye (prèske tout fonksyonalite a).
Twa antite Check Point
Lè w ap travay ak Check Point, ou pral definitivman jwenn twa eleman nan pwodui sa a:
- Sekirite Gateway (SG) - pòtay sekirite nan tèt li, ki anjeneral mete sou perimèt rezo a ak fè fonksyon yo nan yon firewall, difizyon antivirus, anti-bot, IPS, elatriye.
- Sèvè Jesyon Sekirite (SMS) - sèvè jesyon pòtay. Prèske tout paramèt sou pòtay la (SG) yo fèt lè l sèvi avèk sèvè sa a. SMS kapab tou aji kòm yon sèvè Log epi trete yo ak analiz evènman entegre ak sistèm korelasyon - Smart Event (menm jan ak SIEM pou Check Point), men plis sou sa pita. SMS yo itilize pou jere plizyè pòtay santralman (kantite pòtay yo depann de modèl oswa lisans SMS), men ou dwe itilize li menm si ou gen yon sèl pòtay. Li ta dwe remake isit la ke Check Point se te youn nan premye moun ki itilize tankou yon sistèm jesyon santralize, ki te rekonèt kòm "estanda an lò" dapre rapò Gartner pou anpil ane nan yon ranje. Gen menm yon blag: "Si Cisco te gen yon sistèm kontwòl nòmal, Lè sa a, Check Point pa ta janm parèt."
- Smart konsole - konsole kliyan pou konekte ak sèvè jesyon (SMS). Tipikman enstale sou òdinatè administratè a. Atravè konsole sa a, tout chanjman yo fèt sou sèvè jesyon an, epi apre sa ou ka aplike paramèt yo nan pòtay sekirite yo (Enstale Règleman).
Check Point sistèm operasyon
Lè w ap pale de sistèm operasyon Check Point, yo ka raple twa nan yon fwa: IPSO, SPLAT ak GAIA.
- IPSO se sistèm operasyon Ipsilon Networks, ki te posede pa Nokia. An 2009, Check Point te achte biznis sa a. Pa devlope ankò.
- SPLAT - pwòp devlopman Check Point, ki baze sou nwayo RedHat la. Pa devlope ankò.
- Gaya - sistèm operasyon aktyèl la soti nan Check Point, ki te parèt kòm yon rezilta nan fizyon an nan IPSO ak SPLAT, enkòpore tout pi bon an. Te parèt nan 2012 epi li kontinye devlope aktivman.
Pale de Gaia, li ta dwe di ke nan moman sa a vèsyon ki pi komen se R77.30. Relativman dènyèman, vèsyon an R80 te parèt, ki diferan anpil de youn anvan an (tou de an tèm de fonksyonalite ak kontwòl). Nou pral konsakre yon pòs separe nan sijè a nan diferans yo. Yon lòt pwen enpòtan se ke nan moman sa a sèlman vèsyon R77.10 ki gen sètifika FSTEC ak vèsyon R77.30 yo te sètifye.
Opsyon (Tcheke Point Appliance, Virtual Machine, OpenServer)
Pa gen anyen etone isit la, paske anpil machann Check Point gen plizyè opsyon pwodwi:
- aparèy - pyès ki nan konpitè ak aparèy lojisyèl, i.e. pwòp "moso fè". Gen yon anpil nan modèl ki diferan nan pèfòmans, fonksyonalite ak konsepsyon (gen opsyon pou rezo endistriyèl).
- Virtual Machine - Tcheke Point machin vityèl ak Gaia OS. Hypervisors ESXi, Hyper-V, KVM yo sipòte. Lisansye pa kantite nwayo processeur.
- openserver - Enstale Gaia dirèkteman sou sèvè a kòm sistèm opere prensipal la (sa yo rele "metal la fè"). Se sèlman sèten pyès ki nan konpitè sipòte. Gen rekòmandasyon pou pyès ki nan konpitè sa a ki dwe swiv, otreman ka gen pwoblèm ak chofè ak sa yo. sipò ka refize sèvis pou ou.
Opsyon aplikasyon (distribiye oswa otonòm)
Yon ti kras pi wo, nou te deja diskite ki sa yon pòtay (SG) ak yon sèvè jesyon (SMS) yo ye. Koulye a, kite a diskite sou opsyon pou aplikasyon yo. Gen de fason prensipal:
- Otonòm (SG+SMS) - yon opsyon lè tou de pòtay la ak sèvè jesyon yo enstale nan menm aparèy la (oswa machin vityèl).
Opsyon sa a apwopriye lè ou gen yon sèl pòtay, ki se yon ti kras chaje ak trafik itilizatè. Opsyon sa a se pi ekonomik la, paske. pa bezwen achte yon sèvè jesyon (SMS). Sepandan, si pòtay la chaje anpil, ou ka fini ak yon sistèm kontwòl dousman. Se poutèt sa, anvan ou chwazi yon solisyon otonòm, li pi bon konsilte oswa menm teste opsyon sa a. - Distribiye — sèvè jesyon an enstale separeman ak pòtay la.
Opsyon ki pi bon an tèm de konvenyans ak pèfòmans. Li itilize lè li nesesè pou jere plizyè pòtay alafwa, pou egzanp, santral ak branch. Nan ka sa a, ou bezwen achte yon sèvè jesyon (SMS), ki kapab tou nan fòm lan nan yon aparèy (moso fè) oswa yon machin vityèl.
Kòm mwen te di jis pi wo a, Check Point gen pwòp sistèm SIEM li - Smart Event. Ou ka sèvi ak li sèlman nan ka enstalasyon distribye.
Mòd fonksyone (Bridge, Route)
Sekirite Gateway (SG) ka opere nan de mòd debaz:
- Vwayaje - opsyon ki pi komen. Nan ka sa a, pòtay la itilize kòm yon aparèy L3 ak wout trafik nan tèt li, i.e. Check Point se pòtay default pou rezo ki pwoteje a.
- Bridge - mòd transparan. Nan ka sa a, pòtay la enstale kòm yon "pon" nòmal epi li pase trafik atravè li nan dezyèm kouch (OSI). Opsyon sa a anjeneral itilize lè pa gen okenn posibilite (oswa dezi) chanje enfrastrikti ki egziste deja. Ou pratikman pa oblije chanje topoloji rezo a epi ou pa bezwen panse sou chanje adrès IP.
Mwen ta renmen sonje ke gen kèk limit fonksyonèl nan mòd Bridge la, Se poutèt sa, kòm yon entegratè, nou konseye tout kliyan nou yo sèvi ak mòd nan Routed, nan kou, si sa posib.
Lam lojisyèl (Tcheke Point Software Blades)
Nou te rive prèske nan sijè ki pi enpòtan Check Point, ki soulve plis kesyon nan men kliyan yo. Ki sa yo se "lam lojisyèl" sa yo? Lam yo refere a sèten fonksyon Check Point.
Karakteristik sa yo ka aktive oswa etenn selon bezwen ou yo. An menm tan an, gen lam ki aktive sèlman sou pòtay la (Sekirite Rezo) epi sèlman sou sèvè a jesyon (Jesyon). Foto ki anba yo montre egzanp pou tou de ka yo:
1) Pou rezo sekirite (fonksyonalite pòtay)
Se pou nou dekri yon ti tan, paske chak lam merite yon atik separe.
- Firewall - fonksyonalite firewall;
- IPSec VPN - bati rezo prive vityèl;
- Aksè mobil - aksè aleka nan aparèy mobil;
- IPS - sistèm prevansyon entrizyon;
- Anti-Bot - pwoteksyon kont rezo botne;
- AntiVirus - difizyon antivirus;
- AntiSpam & Imèl Sekirite - pwoteksyon nan lapòs antrepriz;
- Konsyantizasyon idantite - entegrasyon ak sèvis Active Directory la;
- Siveyans - siveyans prèske tout paramèt pòtay (chaj, Pleasant, estati VPN, elatriye)
- Kontwòl aplikasyon - firewall nivo aplikasyon (NGFW fonksyonalite);
- Filtraj URL - sekirite entènèt (+ fonksyonalite prokurasyon);
- Prevansyon Pèt Done - pwoteksyon flit enfòmasyon (DLP);
- Emulation menas - teknoloji sandbox (SandBox);
- Ekstraksyon menas - teknoloji netwayaj dosye;
- QoS - priyorite trafik.
Nan kèk atik jis, nou pral pran yon gade pi pre nan lam yo Emulation Menas ak Ekstraksyon Menas, mwen sèten li pral enteresan.
2) Pou Jesyon (fonksyonalite sèvè jesyon)
- Network Policy Management - jesyon politik santralize;
- Endpoint Policy Management - jesyon santralize ajan Check Point (wi, Check Point pwodui solisyon pa sèlman pou pwoteksyon rezo, men tou pou pwoteje estasyon travay (PC) ak smartphones);
- Logging & Status - koleksyon santralize ak pwosesis mòso bwa;
- Jesyon Portal - jesyon sekirite nan navigatè a;
- Workflow - kontwòl sou chanjman politik, odit chanjman, elatriye;
- Anyè itilizatè - entegrasyon ak LDAP;
- Pwovizyon - automatisation nan jesyon pòtay;
- Smart Reporter - sistèm rapò;
- Smart Evènman - analiz ak korelasyon evènman yo (SIEM);
- Konfòmite - tcheke otomatik nan anviwònman ak pwoblèm nan rekòmandasyon.
Nou pa pral kounye a konsidere pwoblèm lisans an detay, se konsa yo pa gonfle atik la ak konfonn lektè a. Gen plis chans nou pral retire li nan yon pòs separe.
Achitekti lam la pèmèt ou itilize sèlman fonksyon ou reyèlman bezwen yo, ki afekte bidjè solisyon an ak pèfòmans jeneral aparèy la. Li lojik ke plis lam ou aktive, mwens trafik la ka "kondwi". Se poutèt sa tablo pèfòmans sa a tache ak chak modèl Check Point (pa egzanp, nou te pran karakteristik modèl 5400 la):
Kòm ou ka wè, gen de kategori tès isit la: sou trafik sentetik ak sou reyèl - melanje. Anjeneral pale, Check Point tou senpleman fòse yo pibliye tès sentetik, paske. kèk machann sèvi ak tès sa yo kòm referans san yo pa egzamine pèfòmans solisyon yo sou trafik reyèl (oswa fè espre kache done sa yo akòz ensatisfaksyon yo).
Nan chak kalite tès, ou ka remake plizyè opsyon:
- tès sèlman pou Firewall;
- Firewall + tès IPS;
- Firewall + IPS + NGFW (Kontwòl aplikasyon) tès;
- Firewall+Kontwòl Aplikasyon+Filtraj URL+IPS+Antivirus+Anti-Bot+Tès SandBlast (sandbox)
Ak anpil atansyon gade nan paramèt sa yo lè w ap chwazi solisyon ou, oswa kontakte pou .
Mwen panse ke sa a se nan fen atik la entwodiksyon sou teknoloji Check Point. Apre sa, nou pral gade ki jan ou ka teste Check Point ak ki jan fè fas ak menas sekirite enfòmasyon modèn (viris, èskrokri, ransomware, jou zewo).
PS Yon pwen enpòtan. Malgre orijin etranje (Izrayelyen), solisyon an sètifye nan Federasyon Larisi pa otorite sipèvizyon, ki otomatikman legalize prezans yo nan enstitisyon leta yo (kòmantè pa ).
Se sèlman itilizatè ki anrejistre ki ka patisipe nan sondaj la. , tanpri.
Ki zouti UTM/NGFW ou itilize?
-
Tcheke Pwen
-
Cisco Firepower
-
Fortinet
-
Palo Alto
-
Sophos
-
Dell SonicWALL
-
Huawei
-
gade gad
-
Juniper
-
UserGate
-
enspektè trafik
-
Rubicon
-
Ideco
-
solisyon opensource
-
Lòt
134 itilizatè yo te vote. 78 itilizatè te absteni.
Sous: www.habr.com