🥇Check Point Gaia R80.40. Mi újdonság várható?

Már közeleg a következő operációs rendszer kiadása Gaia R80.40. Néhány héttel ezelőtt elindult az Early Access program, amely lehetővé teszi a disztribúció teszteléséhez való hozzáférést. Mint mindig, közzé tesszük az új funkciókról szóló információkat, és kiemeljük azokat a pillanatokat, amelyek a mi szempontunkból a legérdekesebbek. Elöljáróban elmondhatom, hogy az újítások valóban jelentősek. Ezért érdemes felkészülni a közelgő frissítési eljárásra. Már korábban is közöltünk egy cikket arról, hogyan kell ezt megtenni (további információért ide lehet fordulni). Lépjünk a témához…

Mi újság

Itt megnézzük a hivatalosan bejelentett újításokat. Az információ a következő weboldalról származik Check Mates (a Check Point hivatalos közössége). Kérem, ne haragudjanak, de nem fogom lefordítani ezt a szöveget, mivel a huba közönsége ezt lehetővé teszi. Ehelyett az alábbi fejezetben hagyom a megjegyzéseimet.

1. IoT Biztonság. Új funkciók, amelyek az internet of things-t érintik

Gyűjtsön IoT eszközöket és forgalmi attribútumokat tanúsított IoT felfedező motorokból (jelenleg támogatja a Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM és Armis eszközöket).
Állítson be egy új IoT dedikált Szabályréteget a szabálykezelésben.
Állítson be és kezeljen biztonsági szabályokat, amelyek az IoT eszközök attribútumain alapulnak.

2. TLS EllenőrzésHTTP/2:

Az HTTP/2 a HTTP protokoll frissítése. A frissítés javítja a sebességet, hatékonyságot és biztonságot, illetve jobb felhasználói élményt nyújt.
A Check Point Biztonsági Átjárója mostantól támogatja a HTTP/2-t, és jobb sebességet és hatékonyságot biztosít teljes biztonsággal, a minden fenyegetésmegelőző és hozzáférés-ellenőrző penge mellett, valamint új védelmeket a HTTP/2 protokoll számára.
A támogatás vonatkozik a tiszta és az SSL titkosított forgalomra is, és teljes mértékben integrálva van a HTTPS/TLS
ellenőrzési képességekkel.

TLS Ellenőrzési Réteg. Az újdonságok a HTTPS ellenőrzésével kapcsolatban:

Egy új Szabályréteg a SmartConsole-ban, amely a TLS Ellenőrzésre összpontosít.
Különböző TLS Ellenőrzési rétegek használhatók különböző szabálycsomagokban.
Egy TLS Ellenőrzési réteg megosztása több szabálycsomag között.
API a TLS műveletekhez.

3. Fenyegetés Mezővédelme

Összességében a fenyegetés megelőzési folyamatok és frissítések hatékonyságának javítása.
Automatikus frissítések a Fenyegetés Kivonási Motornak.
Dinamikus, domain és frissíthető objektumok most már használhatók a Fenyegetésmegelőzési és TLS Ellenőrzési szabályokban. A frissíthető objektumok hálózati objektumok, amelyek egy külső szolgáltatást vagy egy ismert dinamikus IP-cím lista képviselnek, például — Office365 / Google / Azure / AWS IP-címek és Geo objektumok.
Az Antivírus most már SHA-1 és SHA-256 fenyegetésjelzéseket használ a fájlok hash-alapú blokkolásához. Importálja az új jeleket a SmartConsole Fenyegetésjelek nézetéből vagy a Custom Intelligence Feed CLI-ből.
Az Antivírus és a SandBlast Fenyegetés Emuláció most támogatja az e-mail forgalom ellenőrzését a POP3 protokollon, valamint javított ellenőrzést az e-mail forgalom felett az IMAP protokollon.
Az Antivírus és a SandBlast Fenyegetés Emuláció most a frissen bevezetett SSH ellenőrzési funkciót használja a SCP és SFTP protokollokon történő fájlok ellenőrzésére.
Az Anti-Vírus és a SandBlast Threat Emulation mostantól javított támogatást nyújt az SMBv3 ellenőrzéshez (3.0, 3.0.2, 3.1.1), amely magában foglalja a többcsatornás kapcsolatok ellenőrzését. A Check Point immár az egyetlen szolgáltató, amely támogatja a fájlátvitel ellenőrzését több csatornán keresztül (ez a funkció alapértelmezés szerint engedélyezve van minden Windows környezetben). Ez lehetővé teszi a felhasználók számára, hogy biztonságban dolgozzanak e teljesítményfokozó funkción.

4. Azonosító Tudatosság

Támogatás a Captive Portal integrációhoz SAML 2.0-val és harmadik fél Azonosító Szolgáltatókkal.
Támogatás az Azonosító Broker számára a skálázható és részletes azonosítási információmegosztás érdekében a PDP-k között, valamint a domainek közötti megosztásra.
Javítások a Terminálkiszolgáló Ügynök számára a jobb skálázás és kompatibilitás érdekében.

5. IPsec VPN

Különböző VPN titkosítási domainek konfigurálása olyan Biztonsági Kapuval, amely több VPN közösség tagja. Ez a következőket biztosítja:
Javított adatvédelem — A belső hálózatok nem kerülnek nyilvánosságra az IKE protokoll tárgyalások során.
Javított biztonság és részletezés — Meghatározhatja, hogy mely hálózatok elérhetők egy adott VPN közösségben.
Javított interoperability — Egyszerűsített útalapú VPN definíciók (ajánlott, ha üres VPN titkosítási domainnel dolgozik).
Hozzon létre és dolgozzon zökkenőmentesen egy Nagy Skálájú VPN (LSV) környezetben LSV profilok segítségével.

6. URL Szűrés

Javított skálázhatóság és ellenálló képesség.
Kibővített hibaelhárítási lehetőségek.

7. NAT

Fejlettebb NAT portallokációs mechanizmus — 6 vagy több CoreXL Tűzfal példányú Biztonsági Kapuk esetén az összes példány ugyanazt a NAT portok készletet használja, amely optimalizálja a portok kihasználását és újrafelhasználását.
NAT portok kihasználásának figyelése a CPView-ban és SNMP-vel.

8. VoIP (Hangsáv)Több CoreXL Tűzfal példány kezeli a SIP protokollt a teljesítmény javítása érdekében.

9. Távoli Hozzáférés VPNHasználja a gép tanúsítványát a vállalati és nem vállalati eszközök megkülönböztetésére, valamint a vállalati eszközök használatát előíró politika beállítására. Az érvényesítés lehet elő-bejelentkezés (csak eszköz azonosítás) vagy utó-bejelentkezés (eszköz- és felhasználói azonosítás).

10. Mobil Hozzáférési Portál ÜgynökJavított Végpontbiztonság Kereslet alapján a Mobil Hozzáférési Portál Ügynökben, amely támogatja az összes főbb webböngészőt. További információért lásd: sk113410.

11. CoreXL és Több Sorban

Támogatás a CoreXL SND-k és a Tűzfal példányok automatikus allokációjához, amely nem igényel Biztonsági Kapu újraindítást.
Javított dobozból való élmény — A Biztonsági Kapu automatikusan megváltoztatja a CoreXL SND-k és Tűzfal példányok számát, valamint a Multi-Queue konfigurációt a jelenlegi forgalmi terhelés alapján.

12. Klónozás

Támogatás a Cluster Control Protocol számára Unicast módban, amely eltünteti a CCP szükségességét.

Broadcast vagy Multicast módok:

A Cluster Control Protocol titkosítása mostantól alapértelmezés szerint engedélyezve van.
Új ClusterXL mód - Aktív/Aktív, amely támogatja a különböző földrajzi helyeken elhelyezkedő Cluster Tagokat, amelyek eltérő alhálózatokon és eltérő IP-címekkel rendelkeznek.
Támogatás a ClusterXL Cluster Tagok számára, amelyek különböző szoftververziókat futtatnak.
Eltüntetve a MAC Magic konfiguráció szükségességét, amikor több klaszter csatlakozik ugyanahhoz az alhálózathoz.

13. VSX

Támogatás a VSX frissítéshez CPUSE-en a Gaia Portálon.
Támogatás az Active Up módhoz a VSLS-ben.
Támogatás a CPView statisztikai jelentésekhez minden Virtuális Rendszer számára.

14. Zero TouchEgyszerű Plug & Play beállítási folyamat egy eszköz telepítéséhez — eltüntetve a műszaki szakértelem szükségességét és a kezdeti konfigurációhoz való csatlakozás szükségességét.

15. Gaia REST APIA Gaia REST API új módot kínál információk olvasására és küldésére a Gaia Operációs Rendszert futtató szerverekhez. Lásd: sk143612.

16. Fejlett Routing

Az OSPF és BGP fejlesztése lehetővé teszi az OSPF szomszédságok visszaállítását és újraindítását minden CoreXL Tűzfal példány esetén anélkül, hogy újra kellene indítani a routolt démonot.
Az útfrissítés javítása a BGP routing inkonzisztenciák jobb kezelése érdekében.

17. Új kernel képességek

Frissített Linux kernel
Új partícionálási rendszer (gpt):
Több mint 2 TB fizikai/logikai meghajtót támogat
Gyorsabb fájlrendszer (xfs)
Nagyobb rendszer tárolás támogatása (maximum 48 TB tesztelve)
I/O-ra vonatkozó teljesítményjavítások
Több sorQueue:
Teljes Gaia Clish támogatás a Több sorQueue parancsokhoz
Automatikus „alapértelmezett bekapcsolás” konfiguráció
SMB v2/3 csatolás támogatás a Mobil Elérési fájlban
NFSv4 (ügyfél) támogatás hozzáadása (az NFS v4.2 a használt alapértelmezett NFS verzió)
Új rendszereszközök támogatása a rendszer hibakereséséhez, figyeléséhez és konfigurálásához

18. CloudGuard Controller

Teljesítménynövelések a külső adatközpontokhoz való kapcsolatokhoz.
Integráció a VMware NSX-T-vel.
Támogatás további API parancsokhoz a Data Center Server objektumok létrehozásához és szerkesztéséhez.

19. Többdoménes Szerver

Egyéni Domain Management Server biztonsági mentése és visszaállítása egy Többdoménes Szerveren.
Domain Management Server áthelyezése egy Többdoménes Szerverről egy másik Többdoménes Biztonsági Kezelésre.
Biztonsági Kezelés Szerver áthelyezése Domain Management Serverré egy Többdoménes Szerveren.
Domain Management Server áthelyezése Biztonsági Kezelés Szerverré.
Domain visszaállítása egy Többdoménes Szerveren vagy egy Biztonsági Kezelés Szerveren egy korábbi verzióra további szerkesztéshez.

20. SmartTasks és API

Új Kezelő API hitelesítési módszer, amely automatikusan generált API kulcsot használ.
Új Kezelő API parancsok a klaszter objektumok létrehozásához.
Központi telepítése Jumbo Hotfix Akumulátor és Hotfixek SmartConsole-ból vagy API-ból lehetővé teszi több biztonsági átjáró és klaszter párhuzamos telepítését vagy frissítését.
SmartTasks — Automatikus szkriptek vagy HTTPS kérések konfigurálása, amelyeket az adminisztrátor feladatai, például egy szekció közzététele vagy egy irányelv telepítése válthat ki.

21. TelepítésKözponti telepítése Jumbo Hotfix Akumulátor és Hotfixek SmartConsole-ból vagy API-ból lehetővé teszi több biztonsági átjáró és klaszter párhuzamos telepítését vagy frissítését.

22. SmartEventSmartView nézetek és jelentések megosztása más adminisztrátorokkal.

23. Napló ExportálóNaplok exportálása mezőértékek szerint szűrve.

24. Endpoint Security

BitLocker titkosítás támogatása Teljes Lemez Titkosítás esetén.
Külső Tanúsítvány Hatóság tanúsítványok támogatása az Endpoint Security kliens számára
hitelesítés és kommunikáció az Endpoint Security Menedzsment Szerverrel.
Dinamukus méretű Endpoint Security Kliens csomagok támogatása a kiválasztott
telepítési jellemzők alapján.
Az irányelv mostantól szabályozhatja az értesítések szintjét a végfelhasználók számára.
Támogatás a Persistens VDI környezetben az Endpoint Policy Management-ben.

Mi tetszett a legjobban nekünk (az ügyfél feladatok alapján)

Ahogy láthatja, nagyon sok újítás van. De számunkra, mint rendszerintegrátor, van néhány nagyon érdekes pillanat (amelyek szintén érdeklik ügyfeleinket). A mi Top-10-ünk:

Végre megérkezett a teljes körű támogatás az IoT eszközök számára. Már elég nehéz olyan céget találni, amelynek ne lennének ilyen eszközei.
A TLS-ellenőrzés mostantól egy külön rétegbe került. Ez sokkal kényelmesebb, mint most (a 80.30-as verzióban). Már nem szükséges futtatni a régi Legasy Dashboard-ot. Plusz, most már az HTTPS-ellenőrzési irányelvekben használhatók az Updatable objektumok, mint például az Office365, Google, Azure, AWS stb. Ez nagyon hasznos, amikor kivételek beállítása szükséges. Azonban még mindig nincs támogatás a TLS 1.3 számára. Úgy tűnik, a következő hotfixszel „be fogják pótolni”.
Jelentős változások az Anti-Virus és SandBlast esetében. Most már ellenőrizhetők olyan protokollok, mint az SCP, SFTP és SMBv3 (egyébként ezt a többcsatornás protokollt senki más nem tudja ellenőrizni).
Nagyon sok fejlesztés történt a Site-to-Site VPN terén. Mostantól több VPN domain is konfigurálható egy olyan átjárón, amely több VPN közösségben is részt vesz. Ez rendkívül kényelmes és sokkal biztonságosabb. Ezenkívül a Check Point végre emlékezett a Route Based VPN-re, és kicsit javította annak stabilitását/kompatibilitását.
Megjelent egy nagyon keresett funkció a távoli felhasználók számára. Mostantól nemcsak a felhasználó, hanem az eszköz is hitelesíthető, ahonnan csatlakozik. Például szeretnénk engedélyezni a VPN kapcsolódást csak a vállalati eszközökön. Ezt természetesen tanúsítványokkal lehet megoldani. Emellett lehetővé vált az SMB v2/3 fájlmegosztások automatikus csatlakoztatása a VPN klienssel rendelkező távoli felhasználók számára.
Sok változás történt a klaszter működésében. De talán a legérdekesebb a lehetőség, hogy a klaszter különböző Gaia verziókkal rendelkező átjárókkal működjön. Ez hasznos a tervezett frissítések során.
Javították a Zero Touch lehetőségeit. Hasznos dolog azok számára, akik gyakran telepítenek 'kisebb' átjárókat (például bankautomatákhoz).
A naplókhoz mostantól akár 48TB tároló is támogatott.
Megoszthatja a SmartEvent irányítópultjait más adminisztrátorokkal.
A Log Exporter most lehetővé teszi a küldött üzenetek előszűrését a szükséges mezők szerint. Tehát csak a szükséges naplók és események kerülnek a SIEM rendszereikhez.

Frissítés

Lehet, hogy sokan már gondolkodnak a frissítésen. Nem érdemes sietni. Először a 80.40 verziónak el kell érnie a General Availability állapotot. De még ezután sem érdemes azonnal frissíteni. Jobb, ha legalább az első hotfixre várunk.
Lehet, hogy sokan még régebbi verziókkal rendelkeznek. Azt tudom mondani, hogy minimum már érdemes (és szükséges) frissíteni a 80.30-ra. Ez már egy stabil és megbízható rendszer!

Ön is feliratkozhat a közzétett anyagainkra (Telegram, Facebook, VK, TS Solution Blog), ahol nyomon követheti a Check Point és egyéb biztonsági termékek új anyagainak megjelenését.

Csak a regisztrált felhasználók vehetnek részt a szavazáson. Kérem, jelentkezzen be., kérem.