🥇12. Iniziare con Check Point R80.20. Log e Report

Benvenuti alla dodicesima lezione. Oggi parleremo di un'altra tematica piuttosto importante, vale a dire lavorare con i log e i report. Talvolta questa funzionalità risulta decisiva nella scelta del sistema di protezione. Gli "esperti di sicurezza" amano molto un sistema di reportistica pratico e una ricerca funzionale su vari eventi. Difficile dar loro torto. In sostanza, i log e i report sono un elemento fondamentale per valutare la sicurezza. Come si può comprendere il livello attuale di sicurezza se non si vede ciò che sta accadendo? Fortunatamente, Check Point in questo è a posto e anche di più. Check Point possiede uno dei migliori sistemi di reportistica, che funziona immediatamente! Inoltre, esiste la possibilità di personalizzazione e creazione di report specifici! Tutto ciò è accompagnato da un processo di lavoro con i log comodo e intuitivo. Ma andiamo con ordine.

Interfaccia completamente nuova

Se hai già lavorato con Check Point in passato, probabilmente sei rimasto sorpreso dalla nuova interfaccia per la gestione dei log e dei report in R80. Nella figura si può vedere quante diverse utility sono state unite in una sola nuova scheda Logs & Monitor:

La sezione Logs & Monitor

Se accedi a Logs & Monitor e apri una nuova scheda, dovresti vedere più o meno il seguente layout:

Di default ci sono due grandi sezioni:

Audit Logs View — qui puoi trovare tutti gli eventi associati all'accesso/uscita degli amministratori, alle modifiche nella configurazione, ecc. Cioè, un audit classico delle azioni degli amministratori.
Logs View — qui puoi effettuare ricerche sugli eventi generati da tutti i nostri blade attivi, che si tratti di firewall, antivirus, IPS, ecc. Abbiamo già utilizzato questa funzione diverse volte.

Inoltre, ci sono collegamenti ai report (Reports) e vari dashboard (Views). Per il loro funzionamento è necessario avere attivo il blade Smart Event. Ma di questo parleremo più tardi. Prima, concentriamoci sul lavoro con i log.

Ricerca nei log

A mio avviso, lavorare con i log in R80 è un vero piacere. Abbiamo una barra di ricerca piuttosto intelligente, che ci permette di "filtrare" sia per testo generico, sia per blade, e per altri parametri indicizzabili come source, destination, action, ecc.

Inoltre, possiamo elaborare query di ricerca piuttosto complesse utilizzando operatori logici E, OR, NOT. E per questo non è nemmeno necessario stampare nulla. È possibile creare un filtro letteralmente con un paio di clic del mouse. Poco dopo metteremo tutto questo alla prova nella pratica.

Visualizzazione dei messaggi di Log per l'Access-List

Abbiamo già valutato la possibilità di visualizzare i log in base a un elenco di accesso specifico. È incredibilmente comodo e ci si abitua molto rapidamente. Questo è particolarmente utile durante il troubleshooting. Selezioni l'«access-list» che ti interessa e controlli in basso se il traffico desiderato rientra in essa.

Non c'è bisogno di andare altrove o di creare un filtro complesso per i log.

Views & Reports

Il blade responsabile della reportistica e visualizzazione dei dati in Check Point è Smart Event, che si attiva su server gestione. Questa funzionalità può essere tranquillamente chiamata SIEM, ma solo per i prodotti Check Point! Tecnicamente, su Smart Event è possibile gestire log anche di altri sistemi (come Cisco, Microsoft, ecc.), ma non è affatto una buona idea 🙂 Nella pratica, è piuttosto complicato. Tuttavia, con i log «Check Point», SmartEvent gestisce tutto splendidamente. Può correlare, sommare, fare medie e molto altro. E tutto questo funziona subito fuori dalla scatola! Naturalmente, esistono già dashboard pronte per visualizzare le informazioni più importanti. In Check Point si chiamano Views:

Si può vedere che qui ci sono un numero piuttosto elevato di dashboard predefiniti, che sono molto utili per l'amministrazione quotidiana e il monitoraggio.

Oltre alle dashboard, dove le informazioni sono semplicemente visualizzate, è possibile generare report completi e salvarli in formato pdf o excel. È possibile generare su base programmata e inviarli a qualche casella di posta.

E la cosa più piacevole! Puoi creare le dashboard e i report tu stesso! Cioè, non sei limitato a quelli predefiniti. Non è una cosa di cui molti vendor possono vantarsi. Inoltre, i modelli di queste dashboard o report possono essere importati o esportati, permettendo agli utenti di condividere il proprio lavoro. Il processo di creazione di una dashboard è molto semplice e intuitivo. Cercherò di mostrartelo nell'ambito del lavoro di laboratorio, che troverai nel video tutorial qui sotto.