Salve, cari lettori di Habr! Questo è il blog aziendale della compagnia . Siamo un integratore di sistemi e ci specializziamo principalmente in soluzioni di sicurezza per infrastrutture IT (, ) e sistemi di analisi dei dati macchina (). Iniziamo il nostro blog con una breve introduzione alle tecnologie Check Point.
Abbiamo riflettuto a lungo se scrivere questo articolo, poiché non presenta nulla di nuovo che non si possa trovare su Internet. Tuttavia, nonostante l'abbondanza di informazioni, durante il lavoro con i clienti e i partner, sentiamo spesso le stesse domande. Pertanto, abbiamo deciso di scrivere una sorta di introduzione al mondo delle tecnologie Check Point e di spiegare l'essenza dell'architettura delle loro soluzioni. E il tutto all'interno di un “piccolo” post, una sorta di veloce excursus. Inoltre, cercheremo di evitare guerre di marketing, poiché non siamo un vendor, ma semplicemente un integratore di sistemi (sebbene amiamo molto Check Point) e considereremo solo i punti principali senza confrontarli con altri produttori (come Palo Alto, Cisco, Fortinet, ecc.). L'articolo è risultato piuttosto voluminoso, ma taglia gran parte delle domande in fase di introduzione a Check Point. Se siete interessati, benvenuti nel seguito…
UTM/NGFW
Iniziando una conversazione su Check Point, il primo passo è spiegare cosa sono UTM e NGFW e quali sono le loro differenze. Lo faremo in modo conciso, affinché il post non diventi troppo lungo (forse in futuro approfondiremo questo argomento).
UTM — Unified Threat Management
In breve, l'essenza dell'UTM è la consolidazione di più strumenti di sicurezza in un'unica soluzione. Ovvero, tutto in un'unica scatola o un tipo di soluzione all-inclusive. Cosa si intende per "più strumenti di sicurezza"? La variante più comune è: Firewall, IPS, Proxy (filtraggio URL), Antivirus in tempo reale, Anti-Spam, VPN e così via. Tutto ciò è combinato all'interno di una singola soluzione UTM, il che facilita integrazione, configurazione, amministrazione e monitoraggio, contribuendo così alla sicurezza generale della rete. Quando le soluzioni UTM sono apparse per la prima volta, erano considerate esclusivamente per piccole aziende, poiché non gestivano grandi volumi di traffico, e ciò era dovuto a due motivi:
- Modalità di elaborazione dei pacchetti. Le prime versioni delle soluzioni UTM elaboravano i pacchetti in modo sequenziale, ogni "modulo" a turno. Ad esempio: prima il pacchetto viene elaborato dal firewall, poi dall'IPS, successivamente controllato dall'Antivirus e così via. Ovviamente, questo meccanismo comportava enormi ritardi nel traffico e consumava notevoli risorse di sistema (CPU, memoria).
- Hardware inadeguato. Come già accennato, l'elaborazione sequenziale dei pacchetti richiedeva molte risorse e l'hardware di quei tempi (1995-2005) semplicemente non riusciva a gestire alti volumi di traffico.
Ma il progresso non si ferma. Da allora, le potenze hardware sono aumentate significativamente e l'elaborazione dei pacchetti è cambiata (è giusto riconoscere che non tutti i fornitori si sono adattati), consentendo un'analisi quasi simultanea in più moduli (MFA, IPS, Antivirus, ecc.). Le moderne soluzioni UTM possono "elaborare" decine e persino centinaia di gigabit in modalità di analisi approfondita, rendendole adatte per il segmento delle grandi aziende o persino per i data center.
Di seguito è riportato il famoso quadrante magico di Gartner per le soluzioni UTM di agosto 2016:
Non commenterò molto su questa immagine, dirò solo che nell'angolo in alto a destra si trovano i leader.
NGFW — Firewall di nuova generazione
Il nome parla da sé: si tratta di un firewall di nuova generazione. Questo concetto è emerso molto dopo rispetto all'UTM. L'idea principale dell'NGFW è l'analisi approfondita dei pacchetti (DPI) tramite un IPS integrato e il controllo degli accessi a livello di applicazione (Application Control). In questo caso, l'IPS è necessario per identificare le diverse applicazioni nel flusso dei pacchetti, il che consente di autorizzare o vietare l'accesso. Ad esempio: possiamo autorizzare l'uso di Skype, ma vietare il trasferimento di file. Possiamo vietare l'uso di Torrent o RDP. Sono supportate anche le applicazioni web: possiamo consentire l'accesso a VK.com, ma vietare i giochi, i messaggi o la visione di video. In sostanza, la qualità dell'NGFW dipende dal numero di applicazioni che può identificare. Molti ritengono che l'emergere del concetto di NGFW sia stata una semplice mossa di marketing, da cui è iniziata la rapida crescita dell'azienda Palo Alto.
Quadrante magico di Gartner per NGFW di maggio 2016:
UTM vs NGFW
Domanda molto comune: cosa è meglio? Non c'è una risposta univoca e non può esserci. Soprattutto considerando il fatto che quasi tutte le moderne soluzioni UTM includono funzioni NGFW e la maggior parte delle NGFW ha funzionalità proprie delle UTM (Antivirus, VPN, Anti-Bot, ecc.). Come sempre, “il diavolo sta nei dettagli”, quindi prima di tutto bisogna decidere cosa serve specificamente a voi e stabilire un budget. Sulla base di queste decisioni, è possibile selezionare alcune opzioni. E tutto deve essere testato rigorosamente, senza fidarsi del materiale di marketing.
Noi, a nostra volta, cercheremo di raccontare in alcune articoli di Check Point, come provarlo e quali funzionalità si possono testare (praticamente tutte).
Tre componenti di Check Point
Quando lavorate con Check Point, vi troverete necessariamente di fronte a tre elementi di questo prodotto:
- Security Gateway (SG) — il gateway di sicurezza stesso, che di solito viene posizionato perimetrale della rete e svolge funzioni di firewall, antivirus in tempo reale, anti-bot, IPS, ecc.
- Security Management Server (SMS) — server di gestione dei gateway. Praticamente tutte le impostazioni sul gateway (SG) vengono effettuate tramite questo server. SMS può anche fungere da server di log e gestire i log utilizzando un sistema integrato di analisi e correlazione degli eventi — Smart Event (simile a SIEM per Check Point), ma di questo parleremo più avanti. SMS è utilizzato per la gestione centralizzata di più gateway (il numero di gateway dipende dal modello SMS o dalla licenza), tuttavia, è obbligatorio utilizzarlo anche se si dispone di un solo gateway. È importante notare che Check Point è stata una delle prime a implementare un sistema di gestione centralizzata simile, che da molti anni è considerato il “gold standard” secondo i rapporti dell'azienda Gartner. C'è anche una battuta: “Se Cisco avesse un sistema di gestione adeguato, Check Point non sarebbe mai esistito.”
- Smart Console — console cliente per connettersi al server di gestione (SMS). Di solito viene installata sul computer dell'amministratore. Attraverso questa console si effettuano tutte le modifiche sul server di gestione, e solo dopo possono essere applicate le impostazioni ai gateway di sicurezza (Install Policy).
Sistema operativo Check Point
Parlando del sistema operativo Check Point, si possono subito ricordare tre: IPSO, SPLAT e GAIA.
- IPSO — il sistema operativo dell'azienda Ipsilon Networks, che apparteneva a Nokia. Nel 2009 Check Point ha acquisito questo business. Non è più in sviluppo.
- SPLAT — un sviluppo proprietario di Check Point, basato sul kernel RedHat. Non è più in sviluppo.
- Gaia — il sistema operativo attuale di Check Point, nato dalla fusione di IPSO e SPLAT, che incorpora il meglio di entrambi. È stato introdotto nel 2012 e continua a essere attivamente sviluppato.
Parlando di Gaia, va detto che attualmente la versione più diffusa è la R77.30. Recentemente è stata rilasciata la versione R80, che differisce notevolmente dalla precedente (sia in termini di funzionalità che di gestione). Dedicheremo un post separato a queste differenze. Un altro punto importante è che, attualmente, solo la versione R77.10 ha il certificato FSTEK e la versione R77.30 è in fase di certificazione.
Tipi di attuazione (Check Point Appliance, macchina virtuale, OpenServer)
Non c'è niente di sorprendente, come molti vendor, Check Point offre diverse varianti del prodotto:
- Appliance — dispositivo hardware-software, ovvero la propria "macchina". Ci sono molteplici modelli che si differenziano per prestazioni, funzionalità ed esecuzione (ci sono varianti per reti industriali).
- Macchina virtuale — macchina virtuale Check Point con sistema operativo Gaia. Supporta hypervisor ESXi, Hyper-V, KVM. Le licenze sono basate sul numero di core della CPU.
- OpenServer — installazione di Gaia direttamente sul server come sistema operativo principale (il cosiddetto "Bare metal"). Supporta solo hardware specifico. Ci sono raccomandazioni su questo hardware che devono essere seguite; altrimenti potrebbero sorgere problemi con i driver e il supporto tecnico potrebbe rifiutarsi di fornirvi assistenza.
Opzioni di implementazione (Distributed o Standalone)
Abbiamo già discusso cosa sia un gateway (SG) e un server di gestione (SMS). Ora discuteremo le opzioni di implementazione. Ci sono due modi principali:
- Standalone (SG+SMS) — opzione in cui sia il gateway che il server di gestione sono installati all'interno di un dispositivo unico (o macchina virtuale).
Questa opzione è adatta quando hai un solo gateway che è poco carico di traffico utente. Questo è l'opzione più economica, poiché non è necessario acquistare un server di gestione (SMS). Tuttavia, in caso di un carico significativo sul gateway, potresti avere un sistema di gestione che “tira” le prestazioni. Pertanto, prima di scegliere una soluzione Standalone, è meglio consultarsi o persino testare questa opzione. - Distribuito — il server di gestione è installato separatamente dal gateway.
L'opzione ottimale in termini di comodità e prestazioni. Utilizzata quando è necessario gestire più gateway contemporaneamente, ad esempio un centrale e filiali. In questo caso è necessario acquistare un server di gestione (SMS), che può essere anche un appliance (hardware) o una macchina virtuale.
Come ho già accennato in precedenza, Check Point ha il proprio sistema SIEM — Smart Event. Potrai utilizzarlo solo in caso di installazione Distribuita.
Modalità di funzionamento (Bridge, Routed)
Il gateway di sicurezza (SG) può operare in due modalità principali:
- Routed — la variante più comune. In questo caso, il gateway si comporta come un dispositivo L3 e instrada il traffico attraverso di sé, ovvero Check Point funge da gateway predefinito per la rete protetta.
- Bridge — modalità trasparente. In questo caso, il gateway è impostato come un normale “ponte” e fa passare il traffico al secondo livello (OSI). Questa opzione è solitamente utilizzata quando non c'è possibilità (o volontà) di modificare l'infrastruttura esistente. Non sarà praticamente necessario cambiare la topologia della rete e non sarà necessario preoccuparsi di cambiare l'indirizzamento IP.
Va notato che in modalità Bridge ci sono alcune limitazioni sulle funzionalità, quindi noi come integratori consigliamo a tutti i nostri clienti di utilizzare la modalità Routed, ovviamente se possibile.
Software Blades (Check Point Software Blades)
Siamo arrivati quasi al tema principale di Check Point, che suscita più domande da parte dei clienti. Cosa sono questi “software blades”? Con blades si intendono specifiche funzionalità di Check Point.
Queste funzionalità possono essere attivate o disattivate a seconda delle necessità. Ci sono però dei blade che si attivano esclusivamente sul gateway (Network Security) e solo sul server di gestione (Management). Nelle immagini qui sotto sono riportati esempi per entrambi i casi:
1) Per Network Security (funzionalità del gateway)
Descriviamo brevemente, poiché ogni blade merita un articolo a parte.
- Firewall — funzionalità di un firewall;
- IPSec VPN — creazione di reti virtuali private;
- Mobile Access — accesso remoto da dispositivi mobili;
- IPS — sistema di prevenzione delle intrusioni;
- Anti-Bot — protezione da reti botnet;
- AntiVirus — antivirus in tempo reale;
- AntiSpam & Email Security — protezione della posta aziendale;
- Identity Awareness — integrazione con il servizio Active Directory;
- Monitoring — monitoraggio praticamente di tutti i parametri del gateway (carico, larghezza di banda, stato VPN, ecc.)
- Application Control — firewall a livello applicativo (funzionalità NGFW);
- URL Filtering — sicurezza Web (+funzionalità proxy);
- Data Loss Prevention — protezione contro la perdita di dati (DLP);
- Threat Emulation — tecnologia delle sandbox (SandBox);
- Threat Extraction — tecnologia di pulizia dei file;
- QoS — prioritizzazione del traffico.
Tra pochi articoli esamineremo in dettaglio i blade Threat Emulation e Threat Extraction; sono sicuro che sarà interessante.
2) Per Management (funzionalità del server di gestione)
- Network Policy Management — gestione centralizzata delle politiche;
- Endpoint Policy Management — gestione centralizzata degli agenti Check Point (sì, Check Point produce soluzioni non solo per la protezione di rete, ma anche per la protezione di workstation (PC) e smartphone);
- Logging & Status — raccolta e elaborazione centralizzata dei log;
- Management Portal — gestione della sicurezza dal browser;
- Workflow — controllo delle modifiche alle politiche, audit delle modifiche, ecc.;
- User Directory — integrazione con LDAP;
- Provisioning — automazione della gestione dei gateway;
- Smart Reporter — sistema di reporting;
- Smart Event — analisi e correlazione degli eventi (SIEM);
- Compliance — verifica automatica delle impostazioni e suggerimenti;
Non esamineremo ora in dettaglio le questioni di licensing, per non dilatare l'articolo e confondere il lettore. Probabilmente ne faremo un post separato.
L'architettura dei blade consente di utilizzare solo le funzioni realmente necessarie, il che influisce sul budget della soluzione e sulle prestazioni complessive del dispositivo. È logico che più blade attivate, meno traffico si può "far transitare". Per questo motivo, ad ogni modello Check Point viene fornita la seguente tabella delle prestazioni (per esempio, abbiamo preso le caratteristiche del modello 5400):
Come potete vedere, qui sono presentate due categorie di test: su traffico sintetico e reale — misto. In generale, Check Point è obbligato a pubblicare test sintetici, poiché alcuni fornitori usano test simili come riferimento, senza esaminare le prestazioni delle loro soluzioni su traffico reale (o nascondendo intenzionalmente tali dati per la loro insoddisfacente qualità).
In ogni tipo di test è possibile notare diverse varianti:
- test solo per Firewall;
- test Firewall+IPS;
- test Firewall+IPS+NGFW (controllo delle applicazioni);
- test Firewall+Controllo delle Applicazioni+Filtraggio URL+IPS+Antivirus+Anti-Bot+SandBlast (sandbox)
Fate attenzione a questi parametri quando scegliete la vostra soluzione, oppure contattate per .
Penso che possiamo concludere questo articolo introduttivo dedicato alla tecnologia Check Point. In seguito, esamineremo come testare Check Point e come combattere le moderne minacce alla sicurezza informatica (virus, phishing, ransomware, zero-day).
P.S. Un punto importante. Nonostante la provenienza estera (israeliana), la soluzione ha ottenuto la certificazione in Russia da enti di vigilanza, il che ne legittima automaticamente la presenza nelle istituzioni statali (commento di ).
Solo gli utenti registrati possono partecipare al sondaggio. , per favore.
Quali strumenti UTM/NGFW usate voi?
Check Point
Cisco Firepower
Fortinet
Palo Alto
Sophos
Dell SonicWALL
Huawei
WatchGuard
Juniper
UserGate
Traffic inspector
Rubikon
Ideco
Soluzione OpenSource
Altro
Hanno votato 134 utenti. 78 utenti si sono astenuti.
Fonte: habr.com
