{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. Mi ez, mivel fogyaszthat\u00f3, vagy r\u00f6viden a l\u00e9nyeg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\n\u00dcdv\u00f6z\u00f6lj\u00fck a Habr olvas\u00f3it! Ez a c\u00e9g\u00fcnk v\u00e1llalati blogja TS Solution<\/a><\/noindex>. Mi egy rendszerszint\u0171 integr\u00e1tor vagyunk, \u00e9s f\u0151k\u00e9nt az IT-infrastrukt\u00fara biztons\u00e1gi megold\u00e1saira specializ\u00e1l\u00f3dtunk (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) \u00e9s a g\u00e9pi adatelemz\u0151 rendszerekre (Splunk<\/a><\/noindex>). Blogunkat egy r\u00f6vid bevezet\u00e9ssel kezdj\u00fck a Check Point technol\u00f3gi\u00e1kba.<\/p>\n

Hosszasan gondolkodtunk azon, hogy \u00e9rdemes-e meg\u00edrni ezt a cikket, mivel nincs benne semmi \u00faj, amit ne lehetne megtal\u00e1lni az interneten. Ennek ellen\u00e9re, az \u00fcgyfeleinkkel \u00e9s partnereinkkel val\u00f3 munk\u00e1nk sor\u00e1n gyakran hallunk ugyanazokr\u00f3l a k\u00e9rd\u00e9sekr\u0151l. Ez\u00e9rt \u00fagy d\u00f6nt\u00f6tt\u00fcnk, hogy \u00edrunk egy bevezet\u00e9st a Check Point technol\u00f3gi\u00e1k vil\u00e1g\u00e1ba, \u00e9s felt\u00e1rjuk a megold\u00e1saik architekt\u00far\u00e1j\u00e1t. Mindezt egy \"kisebb\" bejegyz\u00e9s keretei k\u00f6z\u00f6tt, egy gyors excursussal. Igyeksz\u00fcnk elker\u00fclni a marketingh\u00e1bor\u00fakat, mivel nem vagyunk gy\u00e1rt\u00f3k, csak egyszer\u0171 rendszerszint\u0171 integr\u00e1torok (b\u00e1r nagyon szeretj\u00fck a Check Point-ot), \u00e9s egyszer\u0171en megvizsg\u00e1ljuk a f\u0151bb szempontokat an\u00e9lk\u00fcl, hogy \u00f6sszehasonl\u00edtan\u00e1nk m\u00e1s gy\u00e1rt\u00f3k (p\u00e9ld\u00e1ul a Palo Alto, Cisco, Fortinet stb.) megold\u00e1saival. A cikk meglehet\u0151sen terjedelmes lett, de nagy r\u00e9sze a Check Point-tal val\u00f3 ismerked\u00e9s f\u00e1zis\u00e1ban felmer\u00fcl\u0151 k\u00e9rd\u00e9seket sz\u0171ri le. Ha ez \u00e9rdekli \u00d6nt, akkor \u00fcdv\u00f6z\u00f6lj\u00fck a bejegyz\u00e9sben\u2026
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

A Check Point-tal val\u00f3 besz\u00e9lget\u00e9st azzal \u00e9rdemes kezdeni, hogy elmagyar\u00e1zzuk, mi az UTM, NGFW \u00e9s miben k\u00fcl\u00f6nb\u00f6znek egym\u00e1st\u00f3l. Ezt nagyon t\u00f6m\u00f6ren fogjuk megtenni, hogy a bejegyz\u00e9s ne legyen t\u00fal hossz\u00fa (lehet, hogy a j\u00f6v\u0151ben r\u00e9szletesebben is foglalkozunk ezzel a k\u00e9rd\u00e9ssel)<\/p>\n

UTM \u2014 Unified Threat Management<\/b><\/p>\n

R\u00f6viden, az UTM l\u00e9nyege, hogy t\u00f6bb v\u00e9delmi eszk\u00f6zt egyetlen megold\u00e1sba konszolid\u00e1l. Azaz, minden egy dobozban vagy egyfajta all inclusive. Mit \u00e9rt\u00fcnk \"t\u00f6bb v\u00e9delmi eszk\u00f6z\" alatt? A legelterjedtebb p\u00e9lda: t\u0171zfal, IPS, Proxy (URL sz\u0171r\u00e9s), folyamatban l\u00e9v\u0151 antivirus, anti-spam, VPN stb. Mindezek egyetlen UTM megold\u00e1s keretein bel\u00fcl egyes\u00fclnek, ami egyszer\u0171bb az integr\u00e1ci\u00f3, a konfigur\u00e1ci\u00f3, az adminisztr\u00e1ci\u00f3 \u00e9s a monitoroz\u00e1s szempontj\u00e1b\u00f3l, ami viszont pozit\u00edvan hat a h\u00e1l\u00f3zat \u00e1ltal\u00e1nos biztons\u00e1g\u00e1ra. Amikor az UTM megold\u00e1sok el\u0151sz\u00f6r megjelentek, kiz\u00e1r\u00f3lag kis c\u00e9gek sz\u00e1m\u00e1ra aj\u00e1nlott\u00e1k \u0151ket, mivel az UTM nem tudtak megbirk\u00f3zni a nagy forgalommal. Ennek k\u00e9t oka volt:<\/p>\n

    \n
  1. A csomagok feldolgoz\u00e1s\u00e1nak m\u00f3dja. A korai UTM megold\u00e1sok a csomagokat sorban, minden \"modul\" \u00e1ltal dolgozt\u00e1k fel. P\u00e9lda: el\u0151sz\u00f6r a t\u0171zfal dolgozza fel a csomagot, azt\u00e1n az IPS, majd az Antivirus ellen\u0151rzi, \u00e9s \u00edgy tov\u00e1bb. Term\u00e9szetesen egy ilyen mechanizmus komoly k\u00e9sleltet\u00e9seket okozott a forgalomban, \u00e9s jelent\u0151sen megterhelte a rendszer er\u0151forr\u00e1sait (processzor, mem\u00f3ria).<\/li>\n
  2. Gyenge \"hardver\". Ahogy fentebb eml\u00edtettem, a csomagok soros feldolgoz\u00e1sa jelent\u0151sen leterhelte az er\u0151forr\u00e1sokat, \u00e9s az akkori \"hardver\" (1995-2005) egyszer\u0171en nem tudta kezelni a nagy forgalmat.<\/li>\n<\/ol>\n

    \nDe a fejl\u0151d\u00e9s nem \u00e1ll meg. Az\u00f3ta jelent\u0151sen megn\u0151ttek a hardveres lehet\u0151s\u00e9gek, \u00e9s a csomagok feldolgoz\u00e1sa megv\u00e1ltozott (el kell ismerni, hogy nem minden gy\u00e1rt\u00f3n\u00e1l), \u00e9s lehet\u0151v\u00e9 tette, hogy szinte egyidej\u0171leg t\u00f6bb modul (M\u00c9, IPS, Antivirus stb.) v\u00e9gezzen elemz\u00e9st. A modern UTM megold\u00e1sok k\u00e9pesek \"feldolgozni\" t\u00f6bb tucat vagy ak\u00e1r sz\u00e1z gigabit m\u00e9lyelemz\u00e9s m\u00f3dban, ami lehet\u0151v\u00e9 teszi sz\u00e1mukra a nagyv\u00e1llalati vagy ak\u00e1r adatk\u00f6zponti szegmensekben val\u00f3 alkalmaz\u00e1st.<\/p>\n

    Az al\u00e1bbiakban l\u00e1that\u00f3 a Gartner h\u00edres m\u00e1gikus n\u00e9gyzettel rendelkez\u0151 UTM megold\u00e1sai 2016 augusztusi \u00e1llapot\u00e1ban:<\/p>\n

    \"Check
    \n
    \nNem akarom t\u00falkomment\u00e1lni ezt a k\u00e9pet, csak annyit mondok, hogy a jobb fels\u0151 sarokban tal\u00e1lhat\u00f3k a vezet\u0151k.<\/p>\n

    NGFW \u2014 Next Generation Firewall<\/b><\/p>\n

    A n\u00e9v \u00f6nmag\u00e1\u00e9rt besz\u00e9l \u2014 k\u00f6vetkez\u0151 gener\u00e1ci\u00f3s t\u0171zfal. Ez a koncepci\u00f3 jelent\u0151sen k\u00e9s\u0151bb alakult ki, mint az UTM. Az NGFW f\u0151 \u00f6tlete a csomagok m\u00e9lyelemz\u00e9se (DPI) be\u00e9p\u00edtett IPS seg\u00edts\u00e9g\u00e9vel, valamint a hozz\u00e1f\u00e9r\u00e9s korl\u00e1toz\u00e1sa alkalmaz\u00e1s szinten (Application Control). Ebben az esetben az IPS arra szolg\u00e1l, hogy a csomagok \u00e1raml\u00e1s\u00e1ban egy adott alkalmaz\u00e1st azonos\u00edtson, amely lehet\u0151v\u00e9 teszi annak enged\u00e9lyez\u00e9s\u00e9t vagy tilalm\u00e1t. P\u00e9lda: Enged\u00e9lyezhetj\u00fck a Skype m\u0171k\u00f6d\u00e9s\u00e9t, de megtilthatjuk a f\u00e1jl\u00e1tvitelt. Megtilthatjuk a Torrent vagy RDP haszn\u00e1lat\u00e1t. A webalkalmaz\u00e1sok is t\u00e1mogatottak: Enged\u00e9lyezhetj\u00fck a hozz\u00e1f\u00e9r\u00e9st a VK.com-hoz, de megtilthatjuk a j\u00e1t\u00e9kokat, \u00fczeneteket vagy vide\u00f3k megtekint\u00e9s\u00e9t. L\u00e9nyeg\u00e9ben az NGFW min\u0151s\u00e9ge att\u00f3l f\u00fcgg, hogy h\u00e1ny alkalmaz\u00e1st tud azonos\u00edtani. Sokan \u00fagy v\u00e9lik, hogy az NGFW fogalma csup\u00e1n egy szok\u00e1sos marketingfog\u00e1s volt, amelynek h\u00e1tter\u00e9ben a Palo Alto v\u00e1llalat gyors n\u00f6veked\u00e9se zajlott.<\/p>\n

    Gartner m\u00e1gikus n\u00e9gyzete az NGFW sz\u00e1m\u00e1ra 2016 m\u00e1jus\u00e1ban:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Gyakori k\u00e9rd\u00e9s, hogy mi a jobb? Egy\u00e9rtelm\u0171 v\u00e1lasz itt nincs \u00e9s nem is lehet. K\u00fcl\u00f6n\u00f6sen figyelembe v\u00e9ve azt a t\u00e9nyt, hogy szinte minden modern UTM megold\u00e1s tartalmaz NGFW funkci\u00f3t, \u00e9s a legt\u00f6bb NGFW tartalmaz UTM-re jellemz\u0151 funkci\u00f3kat (v\u00edrusv\u00e9delem, VPN, anti-bot stb.). Mint mindig, a r\u00e9szletekben rejlik a titok, ez\u00e9rt els\u0151dlegesen azt kell eld\u00f6ntenie, hogy \u00d6nnek konkr\u00e9tan mire van sz\u00fcks\u00e9ge, \u00e9s meg kell hat\u00e1roznia a k\u00f6lts\u00e9gvet\u00e9st. Ezen megold\u00e1sok alapj\u00e1n v\u00e1laszthat n\u00e9h\u00e1ny lehet\u0151s\u00e9get. \u00c9s mindet egy\u00e9rtelm\u0171en tesztelni kell, nem b\u00edzva a marketing anyagokban.<\/p>\n

    T\u00f6bb cikk keret\u00e9ben mi is megpr\u00f3b\u00e1ljuk bemutatni a Check Point-ot, hogyan lehet kipr\u00f3b\u00e1lni, \u00e9s hogy mi mindent pr\u00f3b\u00e1lhatunk ki (majdnem az \u00f6sszes funkci\u00f3t).<\/p>\n

    H\u00e1rom entit\u00e1s a Check Point-ban<\/b><\/p>\n

    A Check Point haszn\u00e1lata sor\u00e1n h\u00e1rom \u00f6sszetev\u0151vel biztosan tal\u00e1lkozni fog:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 az a biztons\u00e1gi \u00e1tj\u00e1r\u00f3, amely \u00e1ltal\u00e1ban a h\u00e1l\u00f3zat perem\u00e9n helyezkedik el, \u00e9s v\u00e9gzi a t\u0171zfal, folyamat-ellen\u0151rz\u0151 v\u00edrusv\u00e9delem, anti-bot, IPS stb. funkci\u00f3kat.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 az \u00e1tj\u00e1r\u00f3k kezel\u00e9s\u00e9nek szervere. Gyakorlatilag az \u00f6sszes be\u00e1ll\u00edt\u00e1st az \u00e1tj\u00e1r\u00f3n (SG) ezen a szerveren kereszt\u00fcl v\u00e9gzik. Az SMS log szerverk\u00e9nt is m\u0171k\u00f6dhet, \u00e9s feldolgozza a be\u00e9p\u00edtett esem\u00e9ny-elemz\u0151 \u00e9s korrel\u00e1l\u00f3 rendszer\u00e9n \u2014 Smart Event (a Check Point SIEM-j\u00e9nek megfelel\u0151je) kereszt\u00fcl, de err\u0151l k\u00e9s\u0151bb. Az SMS-t t\u00f6bb \u00e1tj\u00e1r\u00f3 k\u00f6zpontos\u00edtott kezel\u00e9s\u00e9re haszn\u00e1lj\u00e1k (az \u00e1tj\u00e1r\u00f3k sz\u00e1ma a SMS modellj\u00e9t\u0151l vagy a licenc\u00e9t\u0151l f\u00fcgg), azonban haszn\u00e1lata k\u00f6telez\u0151, m\u00e9g akkor is, ha csak egy \u00e1tj\u00e1r\u00f3ja van. Meg kell jegyezni, hogy a Check Point az els\u0151 v\u00e1llalatok k\u00f6z\u00f6tt volt, amelyek ilyen k\u00f6zpontos\u00edtott kezel\u00e9si rendszert alkalmaztak, \u00e9s \u00e9vek \u00f3ta a Gartner jelent\u00e9sei alapj\u00e1n \u201earany standardk\u00e9nt\u201d van nyilv\u00e1ntartva. Van is egy vicc: \u201eHa a Cisco-nak lenne norm\u00e1lis kezel\u00e9si rendszere, akkor a Check Point sosem j\u00f6tt volna l\u00e9tre.\u201d<\/li>\n
    3. Smart Console<\/b> \u2014 a kezel\u0151 szerverhez (SMS) t\u00f6rt\u00e9n\u0151 csatlakoz\u00e1shoz sz\u00fcks\u00e9ges kliens konzol. \u00c1ltal\u00e1ban az adminisztr\u00e1tor sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9re telep\u00edtik. Ezen a konzolon kereszt\u00fcl v\u00e9gzik el az \u00f6sszes v\u00e1ltoztat\u00e1st a kezel\u0151 szerveren, \u00e9s csak ezt k\u00f6vet\u0151en lehet az \u00e1tj\u00e1r\u00f3k biztons\u00e1gi be\u00e1ll\u00edt\u00e1sait alkalmazni (Policy telep\u00edt\u00e9s).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nA Check Point oper\u00e1ci\u00f3s rendszere<\/b><\/p>\n

      A Check Point oper\u00e1ci\u00f3s rendszer\u00e9r\u0151l besz\u00e9lve h\u00e1rom nevet \u00e9rdemes megeml\u00edteni: IPSO, SPLAT \u00e9s GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 az Ipsilon Networks oper\u00e1ci\u00f3s rendszere, amely a Nokia tulajdon\u00e1ban volt. 2009-ben a Check Point megv\u00e1s\u00e1rolta ezt az \u00fczlet\u00e1gat. M\u00e1r nem fejlesztik.<\/li>\n
      2. SPLAT<\/b> \u2014 a Check Point saj\u00e1t fejleszt\u00e9se, amely a RedHat kernelre \u00e9p\u00fcl. M\u00e1r nem fejlesztik.<\/li>\n
      3. Gaia<\/b> \u2014 a Check Point aktu\u00e1lis oper\u00e1ci\u00f3s rendszere, amely az IPSO \u00e9s a SPLAT egyes\u00edt\u00e9s\u00e9vel j\u00f6tt l\u00e9tre, mag\u00e1ba foglalva a legjobbakat. 2012-ben jelent meg \u00e9s akt\u00edvan fejl\u0151dik.<\/li>\n<\/ol>\n

        \nA Gaia-r\u00f3l besz\u00e9lve \u00e9rdemes megeml\u00edteni, hogy a legelterjedtebb verzi\u00f3 jelenleg az R77.30. Viszonylag nemr\u00e9g megjelent az R80 verzi\u00f3, amely jelent\u0151sen elt\u00e9r az el\u0151z\u0151t\u0151l (mind funkcion\u00e1lisan, mind a kezel\u00e9st illet\u0151en). A k\u00fcl\u00f6nbs\u00e9geket k\u00fcl\u00f6n posztnak szentelj\u00fck. M\u00e9g egy fontos t\u00e9ma \u2014 jelenleg csak az R77.10 verzi\u00f3nak van FSTEK tan\u00fas\u00edtv\u00e1nya, \u00e9s folyamatban van az R77.30 tan\u00fas\u00edt\u00e1sa.<\/p>\n

        V\u00e1ltozatok (Check Point Appliance, Virtu\u00e1lis g\u00e9p, OpenServer)<\/b><\/p>\n

        Ami nem meglep\u0151, a Check Point, mint sok m\u00e1s gy\u00e1rt\u00f3, t\u00f6bb term\u00e9kv\u00e1ltozattal rendelkezik:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 hardveres eszk\u00f6z, azaz saj\u00e1t \"vas\". Sz\u00e1mos modell l\u00e9tezik, amelyek teljes\u00edtm\u00e9nyben, funkci\u00f3ban \u00e9s kivitelez\u00e9sben elt\u00e9rnek (vannak ipari h\u00e1l\u00f3zatok sz\u00e1m\u00e1ra k\u00e9sz\u00fclt v\u00e1ltozatok is).\n

          \"Check<\/li>\n

        2. Virtu\u00e1lis g\u00e9p<\/b> \u2014 a Check Point virtu\u00e1lis g\u00e9pe Gaia oper\u00e1ci\u00f3s rendszerrel. T\u00e1mogatja az ESXi, Hyper-V, KVM hypervisorokat. A licencel\u00e9s a processzor magjainak sz\u00e1ma alapj\u00e1n t\u00f6rt\u00e9nik.<\/li>\n
        3. OpenServer<\/b> \u2014 a Gaia k\u00f6zvetlen telep\u00edt\u00e9se a szerverre, mint f\u0151 oper\u00e1ci\u00f3s rendszer (\u00fagynevezett \"Bare metal\"). Csak meghat\u00e1rozott \"vasat\" t\u00e1mogat. Vannak aj\u00e1nl\u00e1sok erre a hardverre, amelyeket be kell tartani, ellenkez\u0151 esetben probl\u00e9m\u00e1k l\u00e9phetnek fel a driverekkel, \u00e9s a technikai t\u00e1mogat\u00e1s megtagadhatja a szolg\u00e1ltat\u00e1st.<\/li>\n<\/ol>\n

          \nTelep\u00edt\u00e9si lehet\u0151s\u00e9gek (Distributed vagy Standalone)<\/b><\/p>\n

          Hamarosan m\u00e1r besz\u00e9lt\u00fcnk arr\u00f3l, hogy mi az a gateway (SG) \u00e9s a management server (SMS). Most a telep\u00edt\u00e9si lehet\u0151s\u00e9geiket fogjuk megvitatni. K\u00e9t f\u0151 m\u00f3dszer l\u00e9tezik:<\/p>\n

            \n
          1. Standalone (SG+SMS)<\/b> \u2014 olyan lehet\u0151s\u00e9g, amikor mind a gateway, mind a management server egy eszk\u00f6z\u00f6n (vagy virtu\u00e1lis g\u00e9pen) ker\u00fcl telep\u00edt\u00e9sre.\n

            \"Check
            \n
            \nEz a megold\u00e1s akkor ide\u00e1lis, ha csak egy \u00e1tj\u00e1r\u00f3ja van, amelyet gyenge terhel\u00e9s \u00e9r a felhaszn\u00e1l\u00f3i forgalom miatt. Ez a legk\u00f6lts\u00e9ghat\u00e9konyabb megold\u00e1s, hiszen nincs sz\u00fcks\u00e9g a kezel\u0151 szerver (SMS) megv\u00e1s\u00e1rl\u00e1s\u00e1ra. Azonban, ha az \u00e1tj\u00e1r\u00f3n jelent\u0151s terhel\u00e9s van, el\u0151fordulhat, hogy egy \"lass\u00fa\" kezel\u0151 rendszert kap. Ez\u00e9rt a Standalone megold\u00e1s v\u00e1laszt\u00e1sa el\u0151tt a legjobb, ha konzult\u00e1l egy szakemberrel, vagy ak\u00e1r teszteli ezt a megold\u00e1st.<\/p>\n<\/li>\n

          2. Elosztott<\/b> \u2014 a kezel\u0151 szerver k\u00fcl\u00f6n van telep\u00edtve az \u00e1tj\u00e1r\u00f3t\u00f3l.\n

            \"Check
            \n
            \nOptim\u00e1lis megold\u00e1s a k\u00e9nyelem \u00e9s a teljes\u00edtm\u00e9ny szempontj\u00e1b\u00f3l. Akkor haszn\u00e1lj\u00e1k, amikor t\u00f6bb \u00e1tj\u00e1r\u00f3t kell egyszerre kezelni, p\u00e9ld\u00e1ul k\u00f6zponti \u00e9s fi\u00f3k \u00e1tj\u00e1r\u00f3k eset\u00e9n. Ebben az esetben sz\u00fcks\u00e9ges a kezel\u0151 szerver (SMS) megv\u00e1s\u00e1rl\u00e1sa, amely lehet hardveres (appliance) vagy virtu\u00e1lis g\u00e9p is.<\/li>\n<\/ol>\n

            \nAhogy m\u00e1r eml\u00edtettem kor\u00e1bban, a Check Point saj\u00e1t SIEM rendszere a Smart Event. Ezt csak elosztott telep\u00edt\u00e9s eset\u00e9n tudja haszn\u00e1lni.<\/p>\n

            M\u0171k\u00f6d\u00e9si m\u00f3dok (Bridge, Routed)<\/b>
            \nA biztons\u00e1gi \u00e1tj\u00e1r\u00f3 (SG) k\u00e9t alapvet\u0151 m\u00f3don m\u0171k\u00f6dhet:<\/p>\n