🥇12. Introduzione a Check Point R80.20. Log e Report

Benvenuti alla dodicesima lezione. Oggi parleremo di un altro argomento molto importante, ovvero il lavoro con i log e i rapporti. A volte questa funzionalità si rivela quasi decisiva nella scelta di uno strumento di sicurezza. Gli esperti di sicurezza apprezzano un sistema di reporting comodo e una funzionalità di ricerca efficace per vari eventi. Non è difficile capire il perché. In effetti, i log e i rapporti sono un elemento fondamentale per valutare la sicurezza. Come si può comprendere il livello di sicurezza attuale se non si vede cosa sta accadendo? Fortunatamente, con Check Point, questo aspetto è eccezionale, e non solo. Check Point offre uno dei migliori sistemi di reporting, che funziona immediatamente! Inoltre, c'è la possibilità di personalizzazione e di creare i propri rapporti! Tutto ciò è accompagnato da un processo di lavoro con i log comodo e intuitivo. Ma procediamo con ordine.

Interfaccia completamente nuova

Se hai lavorato con Check Point in precedenza, probabilmente sei rimasto sorpreso dall'interfaccia completamente nuova per il lavoro con i log e i rapporti in R80. Nell'immagine si può vedere quante diverse utility sono state integrate all'interno di una nuova scheda Logs & Monitor:

Sezione Logs & Monitor

Se accedi a Logs & Monitor e apri una nuova scheda, dovresti vedere qualcosa di simile:

Di default ci sono due grandi sezioni:

Visualizzazione Audit Logs — qui puoi trovare tutti gli eventi relativi al login/logout degli amministratori, alle modifiche di configurazione, ecc. Ovvero, un classico audit delle azioni degli amministratori.
Visualizzazione Logs — qui puoi cercare eventi generati da tutti i nostri blade abilitati, che si tratti di firewall, antivirus, IPS, ecc. Abbiamo già utilizzato questa funzione diverse volte.

Inoltre, qui ci sono link a rapporti (Reports) e vari dashboard (Views). Per il loro funzionamento è necessario un blade attivato Smart Event. Ma di questo parleremo più tardi. Innanzitutto, affrontiamo il lavoro con i log.

Ricerca nei log

A mio avviso, lavorare con i log in R80 è un vero piacere. Abbiamo una linea di ricerca piuttosto intelligente che ci consente di filtrare sia per testo arbitrario che per blade, e per qualsiasi altro parametro indicizzabile come source, destination, action, ecc.

In questo modo possiamo creare query di ricerca piuttosto complesse utilizzando operatori logici AND, OR, NOT. E per questo non è nemmeno necessario digitare qualcosa. Puoi creare un filtro letteralmente in un paio di clic del mouse. Più tardi proveremo tutto questo nella pratica.

Visualizzazione dei Log degli Accessi per Access-List

Abbiamo già esaminato la possibilità di visualizzare i log in base a un elenco di accesso specifico. È estremamente comodo e ci si abitua molto rapidamente. Soprattutto è utile durante il troubleshooting. Seleziona l'«access-list» che ti interessa e puoi controllare in basso se il traffico pertinente è incluso.

Non è necessario passare a un'altra pagina o creare un filtro complesso per i log.

Visualizzazioni & Report

La responsabilità della reportistica e della visualizzazione dei dati in Check Point è del blade Smart Event, che si attiva su server gestione. Questa funzionalità può essere definita tranquillamente SIEM, ma solo per i prodotti Check Point! Tecnicamente, su Smart Event è possibile elaborare i log anche da altri sistemi (tipo Cisco, Microsoft, ecc.), ma non è proprio l'idea migliore 🙂 In pratica, è piuttosto problematico. Tuttavia, con i log di "Check Point" Smart Event funziona splendidamente. Può correlare, sommare, calcolare medie e molto altro. E tutto questo funziona out of the box! Ovviamente ci sono già dashboard pronte per visualizzare le informazioni più importanti. In Check Point sono chiamati Views:

Si può notare che qui ci sono parecchi dashboard predefiniti, molto utili nella gestione quotidiana e nel monitoraggio.

Oltre ai dashboard, dove le informazioni vengono semplicemente visualizzate, c'è la possibilità di generare report completi e salvarli in formato PDF o Excel. È possibile generare report secondo un programma e inviarli a un indirizzo email.

E la cosa più bella è che puoi creare dashboard e report da solo! Non sei limitato a quelli predefiniti. Non tutti i fornitori possono vantarsene. Inoltre, i modelli di queste dashboard o report possono essere importati o esportati, permettendo agli utenti di condividere il proprio lavoro. Il processo di creazione di una dashboard è molto semplice e intuitivo. Cercherò di mostrartelo durante il laboratorio, che troverai nel video tutorial qui sotto.