Üdvözöljük a 12. leckében. Ma egy újabb rendkívül fontos témáról fogunk beszélni, nevezetesen a naplókkal és jelentésekkel való munkáról. Néha ez a funkció szinte döntő tényező a védekezési eszköz kiválasztásakor. A biztonsági szakemberek nagyon kedvelik a kényelmes jelentéstételi rendszert és a funkcionális keresést a különböző események között. Nehéz őket ezért hibáztatni. A naplók és jelentések lényegében elengedhetetlen elemei a védelem értékelésének. Hogyan érthetnénk meg a jelenlegi biztonsági szintet, ha nem látjuk, mi történik? Szerencsére a Check Point ezen a téren teljesen rendben van, és még annál is jobb. A Check Point rendelkezik az egyik legjobb jelentési rendszerrel, amely dobozból kiemelkedően működik! Emellett van lehetőség személyre szabásra és saját jelentések készítésére! Mindezt kiegészíti a naplókkal való munka kényelmes és intuitív folyamata. De mindent a maga rendjében.
Teljesen új felhasználói felület
Ha korábban dolgozott a Check Point-tal, biztosan meglepődött a naplók és jelentések R80-as kezelésének teljesen új felhasználói felületén. A képen látható, hogy mennyi különböző eszközt összpontosítottak egy új fül alatt Naplók & Megfigyelés:
A Naplók & Megfigyelés szekcióban
Ha belép a Naplók & Megfigyelés területére és megnyit egy új fület, akkor körülbelül a következőket kell látnia:
Alapértelmezés szerint itt két nagy szekció van:
- Audit Naplók Nézet — itt találhatók az összes esemény, amely adminisztrátorok be- és kilépésével, konfigurációs változtatásokkal és így tovább kapcsolatos. Tehát a klasszikus adminisztrátorok által végzett tevékenységek ellenőrzése.
- Naplók Nézet — itt lehet keresni az összes általunk bekapcsolt blade által 'generált' események között, legyen szó tűzfalról, antivírusról, IPS-ről, stb. Már többször is használtuk ezt a funkciót.
Emellett itt linkek találhatóak a jelentésekhez (Jelentések) és a különböző irányítópultokhoz (Nézetek). Ezek működéséhez szükséges a bekapcsolt blade Smart Event. De erről kicsit később. Először nézzük meg, hogyan működnek a naplók.
Naplókeresés
Véleményem szerint a naplókkal való munka az R80-ban kellemes élmény. Van egy elég okos keresősávunk, amely lehetővé teszi, hogy 'átnézzük' a szabad szöveget, blade-et és bármely más indexelhető paramétert, például forrást, célt, akciót stb.
Ezen kívül elég bonyolult keresési lekérdezéseket hozhatunk létre logikai operátorokkal ÉS, VAGY, NEM. És ehhez még csak gépelni sem kell. A szűrőt szó szerint pár kattintással létrehozhatod. Később ezt a gyakorlatban is kipróbáljuk.
Log üzenetek megjelenítése Hozzáférési Listán
Már értékeltük a naplók megjelenítésének lehetőségét egy adott hozzáférési lista alapján. Ez rendkívül kényelmes, és nagyon gyorsan hozzászokik az ember. Különösen hasznos hibaelhárításkor. Kiválasztottad az érdekes "hozzáférési listát", és megnézed alul, hogy a szükséges forgalom benne van-e.
Nem szükséges átmenni másik oldalra, vagy bonyolult szűrőt létrehozni a naplókhoz.
Nézetek és Jelentések
A jelentéskészítésért és az adatok vizualizálásáért a Check Pointban a blade felelős Smart Event, amely aktiválva van a szerveren kezelés. Ezt a funkciót nyugodtan SIEM-nek lehet nevezni, de csak a Check Point termékeihez! Technikailag a Smart Event képes más rendszerek (például Cisco, Microsoft stb.) naplóit is kezelni, de ez nem a legjobb ötlet 🙂 A gyakorlatban ez meglehetősen problémás. De a "Check Point" naplóival a SmartEvent ezeket csodásan kezeli. Képes korrelálni, összesíteni, átlagolni és még sok másra. És mindez gyárilag működik! Nyilvánvalóan már léteznek előre elkészített irányítópultok a legfontosabb információk megjelenítésére. A Check Pointnál ezeket hívják Nézetek:
Látható, hogy itt meglehetősen sok alapértelmezett irányítópult található, amelyek nagyon hasznosak a mindennapi adminisztráció és monitoring során.
Az irányítópultokon kívül, ahol az információk egyszerűen vizualizálva vannak, a teljes jelentések generálásának lehetősége is adott, amelyeket pdf vagy excel formátumban lehet menteni. Időzített jelentéseket is lehet generálni és elküldeni őket egy e-mail címre.
És a legjobb! Az irányítópultokat és jelentéseket Ön is létrehozhatja! Tehát nem vagy korlátozva az alapértelmezett lehetőségekkel. Ezt nem minden szállító mondhatja el magáról. Ezeknek az irányítópultoknak vagy jelentéseknek a sablonjai importálhatók vagy exportálhatók, ami lehetővé teszi a felhasználók számára, hogy megosszák saját megoldásaikat. Az irányítópult létrehozása nagyon egyszerű és intuitív. Megpróbálom ezt bemutatni Önnek a laboratóriumi munka keretein belül, amelyet a lenti videóleckében talál.
Oktatóvideó
Maradjatok velünk további információkért, és csatlakozzatok a A végén én, egy egyszerű szellemi munkás, váratlanul hős lettem ennek a menő csatornának a történetében!
Forrás: habr.com
