Salve, cari lettori di Habr! Questo è il blog aziendale della nostra compagnia . Siamo un integratore di sistemi e ci specializziamo principalmente in soluzioni per la sicurezza delle infrastrutture IT (, ) e nei sistemi di analisi dei dati delle macchine (). Inizieremo il nostro blog con una breve introduzione alle tecnologie di Check Point.
Abbiamo riflettuto a lungo se scrivere questo articolo, poiché non contiene nulla di nuovo che non si possa trovare su Internet. Tuttavia, nonostante l'abbondanza di informazioni, nel lavorare con clienti e partner sentiamo spesso le stesse domande. Pertanto, abbiamo deciso di scrivere un'introduzione al mondo delle tecnologie Check Point e spiegare l'architettura delle loro soluzioni. E tutto questo in un “piccolo” post, per così dire un rapido excursus. Inoltre, cercheremo di non addentrarci nelle guerre di marketing, poiché non siamo un venditore, ma semplicemente un integratore di sistemi (anche se amiamo molto Check Point) e tratteremo i punti principali senza confrontarli con altri produttori (come Palo Alto, Cisco, Fortinet, ecc.). L'articolo è piuttosto corposo, eppure chiarisce molte domande preliminari riguardo a Check Point. Se sei interessato, benvenuto sotto il tag…
UTM/NGFW
Iniziare a parlare di Check Point significa cominciare a spiegare cosa sono UTM e NGFW e quali sono le loro differenze. Lo faremo in modo piuttosto conciso, affinché il post non diventi troppo lungo (in futuro potremmo approfondire questo tema un po' di più)
UTM — Unified Threat Management
In breve, l'essenza di UTM è la consolidazione di più misure di protezione in una sola soluzione. Ovvero, tutto in un'unica scatola o in un certo senso un all inclusive. Cosa si intende per “più misure di protezione”? La variante più comune è: firewall, IPS, proxy (filtraggio URL), antivirus in streaming, anti-spam, VPN e così via. Tutto ciò si unisce all'interno di una sola soluzione UTM, il che semplifica integrazione, configurazione, amministrazione e monitoraggio, e questo a sua volta influisce positivamente sulla sicurezza complessiva della rete. Quando le soluzioni UTM sono apparse per la prima volta, venivano considerate esclusivamente per piccole aziende, poiché le UTM non riuscivano a gestire grandi volumi di traffico. Ciò per due motivi:
- Metodo di elaborazione dei pacchetti. Le prime versioni delle soluzioni UTM elaboravano i pacchetti in modo sequenziale, ogni "modulo". Esempio: prima i pacchetti vengono elaborati dal firewall, poi dall'IPS, successivamente controllati dall'Antivirus e così via. Ovviamente, tale meccanismo comportava gravi ritardi nel traffico e consumava notevoli risorse di sistema (processore, memoria).
- Hardware debole. Come detto sopra, l'elaborazione sequenziale dei pacchetti consumava enormi risorse e l'hardware di quei tempi (1995-2005) semplicemente non era in grado di gestire grandi volumi di traffico.
Ma il progresso non si ferma. Da allora, le capacità hardware sono aumentate notevolmente, e l'elaborazione dei pacchetti è cambiata (va detto che non tutti i fornitori si sono adeguati) e ha cominciato a consentire l'analisi praticamente simultanea in più moduli (MFA, IPS, Antivirus, ecc.). Le moderne soluzioni UTM possono "elaborare" decine e persino centinaia di gigabit in modalità di analisi approfondita, il che consente di utilizzarle nel segmento delle grandi aziende o anche nei data center.
Di seguito è riportato il famoso quadrante magico di Gartner per le soluzioni UTM di agosto 2016:
Non commenterò molto questa immagine, dirò solo che nell'angolo in alto a destra si trovano i leader.
NGFW — Next Generation Firewall
Il nome parla da sé: firewall di nuova generazione. Questo concetto è emerso molto dopo rispetto all'UTM. L'idea principale del NGFW è un'analisi approfondita dei pacchetti (DPI) tramite l'IPS integrato e la suddivisione dell'accesso a livello di applicazione (Application Control). In questo caso, l'IPS è necessario proprio per identificare un'applicazione nel flusso di pacchetti, il che consente di consentire o vietare l'accesso. Esempio: possiamo consentire l'uso di Skype, ma vietare la trasmissione di file. Possiamo vietare l'uso di Torrent o RDP. Inoltre, sono supportate le applicazioni web: possiamo consentire l'accesso a VK.com, ma vietare giochi, messaggi o la visualizzazione di video. In sostanza, la qualità del NGFW dipende dal numero di applicazioni che è in grado di identificare. Molti credono che l'emergere del concetto di NGFW sia stato un semplice movimento di marketing, a seguito del quale è cresciuta rapidamente l'azienda Palo Alto.
Quadrante magico di Gartner per NGFW di maggio 2016:
UTM vs NGFW
Una domanda molto comune è: cosa è meglio? Non esiste una risposta univoca qui e non può esserci. Soprattutto se si considera il fatto che quasi tutte le soluzioni UTM moderne contengono funzionalità di NGFW e la maggior parte degli NGFW include funzioni tipiche degli UTM (Antivirus, VPN, Anti-Bot, ecc.). Come sempre, "il diavolo sta nei dettagli", quindi prima di tutto bisogna capire cosa serve specificamente a voi e definire un budget. Sulla base di queste decisioni, è possibile scegliere alcune opzioni. E tutto deve essere sicuramente testato, senza fidarsi dei materiali di marketing.
Noi, a nostra volta, cercheremo di parlare di Check Point in un paio di articoli, di come provarlo e di cosa in genere si può testare (praticamente tutta la funzionalità).
Tre entità di Check Point
Lavorando con Check Point, vi imbatterete sicuramente in tre componenti di questo prodotto:
- Security Gateway (SG) — il proprio gateway di sicurezza, che di solito viene installato perimetrale alla rete e svolge le funzioni di firewall, antivirus in tempo reale, anti-bot, IPS, ecc.
- Security Management Server (SMS) — il server di gestione dei gateway. Quasi tutte le impostazioni sul gateway (SG) vengono eseguite tramite questo server. SMS può anche fungere da server di log e analizzarli con un sistema integrato di analisi e correlazione eventi — Smart Event (una specie di SIEM per Check Point), ma ne parleremo più avanti. SMS è utilizzato per la gestione centralizzata di più gateway (il numero di gateway dipende dal modello di SMS o dalla licenza), ma è obbligatorio usarlo anche se si ha solo un gateway. Qui va notato che Check Point è stato uno dei primi a adottare un sistema di gestione centralizzata simile, riconosciuto da molti anni consecutivi come "lo standard d'oro" dai rapporti di Gartner. C'è persino una battuta: "Se Cisco avesse un sistema di gestione decente, Check Point non sarebbe mai esistito."
- Smart Console — la console client per connettersi al server di gestione (SMS). Di solito viene installata sul computer dell'amministratore. Attraverso questa console si effettuano tutte le modifiche sul server di gestione e solo dopo è possibile applicare le impostazioni ai gateway di sicurezza (Install Policy).
Il sistema operativo di Check Point
Parlando del sistema operativo di Check Point, si possono ricordare subito tre: IPSO, SPLAT e GAIA.
- IPSO — sistema operativo della società Ipsilon Networks, che apparteneva a Nokia. Nel 2009 Check Point ha acquistato questo business. Non è più in sviluppo.
- SPLAT — sviluppo proprietario di Check Point, basato sul kernel di RedHat. Non è più in sviluppo.
- Gaia — sistema operativo attuale di Check Point, nato dalla fusione di IPSO e SPLAT, che ha incorporato il meglio di entrambi. È stato introdotto nel 2012 e continua a evolversi attivamente.
Parlando di Gaia, è importante notare che attualmente la versione più diffusa è la R77.30. Di recente è stata rilasciata la versione R80, che differisce notevolmente dalla precedente (sia in termini di funzionalità che di gestione). Dedicheremo un post separato a questi differenziali. Un altro punto importante è che al momento solo la versione R77.10 ha il certificato FSTEK e la certificazione della versione R77.30 è in corso.
Opzioni di configurazione (Check Point Appliance, Virtual machine, OpenServer)
Non c'è nulla di sorprendente, proprio come molti fornitori Check Point offre diverse varianti del prodotto:
- Appliance — dispositivo hardware e software, ovvero un proprio “hardware”. Ci sono molti modelli che differiscono per prestazioni, funzionalità e configurazione (alcuni modelli sono progettati per reti industriali).
- Virtual Machine — macchina virtuale di Check Point con sistema operativo Gaia. Supporta i hypervisor ESXi, Hyper-V, KVM. Licenze basate sul numero di core del processore.
- OpenServer — installazione di Gaia direttamente sul server come sistema operativo principale (il cosiddetto “Bare metal”). Supportato solo su determinati “hardware”. Ci sono raccomandazioni relative a questo hardware che devono essere seguite, altrimenti potrebbero sorgere problemi con i driver e il supporto tecnico potrebbe rifiutare l'assistenza.
Opzioni di implementazione (Distribuito o Standalone)
Poco sopra abbiamo già discusso di cosa siano il gateway (SG) e il server di gestione (SMS). Ora discutiamo delle opzioni per la loro implementazione. Ci sono due modi principali:
- Standalone (SG+SMS) — opzione in cui sia il gateway che il server di gestione sono installati all'interno di un unico dispositivo (o macchina virtuale).
Questa opzione è adatta quando hai solo un gateway, che è poco caricato dal traffico degli utenti. Questo è l'opzione più economica, poiché non c'è bisogno di acquistare un server di gestione (SMS). Tuttavia, con un carico significativo sul gateway, potresti ottenere un sistema di gestione "rallentato". Quindi, prima di scegliere una soluzione Standalone, è meglio consultarsi o persino testare questa opzione. - Distribuito — il server di gestione è installato separatamente dal gateway.
L'opzione ottimale in termini di comodità e prestazioni. Viene utilizzata quando è necessario gestire più gateway contemporaneamente, ad esempio centrale e filiali. In questo caso è necessario acquistare un server di gestione (SMS), che può essere anche in forma di appliance (hardware) o macchina virtuale.
Come ho già detto più sopra, Check Point ha il proprio sistema SIEM — Smart Event. Potrai usarlo solo in caso di installazione Distribuita.
Modalità operative (Bridge, Routed)
Il gateway di sicurezza (SG) può operare in due modalità principali:
- Routed — l'opzione più comune. In questo caso, il gateway viene utilizzato come dispositivo L3 e instrada il traffico attraverso di sé, cioè Check Point è il gateway predefinito per la rete protetta.
- Bridge — modalità trasparente. In questo caso, il gateway è installato come un normale "ponte" e fa passare il traffico al secondo livello (OSI). Questa opzione viene solitamente utilizzata quando non è possibile (o non si desidera) modificare l'infrastruttura esistente. Non dovrai praticamente cambiare la topologia della rete e non dovrai preoccuparti di cambiare la gestione degli indirizzi IP.
Vorrei sottolineare che nella modalità Bridge ci sono alcune limitazioni funzionali, quindi noi come integratori consigliamo a tutti i nostri clienti di utilizzare proprio la modalità Routed, ovviamente se possibile.
Blade software (Check Point Software Blades)
Siamo arrivati a quasi l'argomento principale di Check Point, che genera più domande ai clienti. Cosa sono questi "blade software"? Con blade si intendono determinate funzioni di Check Point.
Queste funzioni possono essere attivate o disattivate a seconda delle necessità. Esistono blade che si attivano esclusivamente sul gateway (Network Security) e solo sul server di gestione (Management). Nelle immagini sottostanti sono forniti esempi per entrambi i casi:
1) Per la Sicurezza di Rete (funzionalità del firewall)
Descriviamo brevemente, poiché ogni blade merita un articolo a parte.
- Firewall — funzionalità del firewall;
- IPSec VPN — costruzione di reti virtuali private;
- Accesso Mobile — accesso remoto da dispositivi mobili;
- IPS — sistema di prevenzione delle intrusioni;
- Anti-Bot — protezione contro reti botnet;
- AntiVirus — antivirus in tempo reale;
- AntiSpam & Email Security — protezione della posta aziendale;
- Identity Awareness — integrazione con il servizio Active Directory;
- Monitoring — monitoraggio di quasi tutti i parametri del firewall (carico, banda, stato VPN, ecc.)
- Application Control — firewall di livello applicativo (funzionalità NGFW);
- URL Filtering — sicurezza Web (+funzionalità proxy);
- Data Loss Prevention — protezione dalle perdite di dati (DLP);
- Threat Emulation — tecnologia delle sandbox;
- Threat Extraction — tecnologia di pulizia dei file;
- QoS — prioritizzazione del traffico.
Tra pochi articoli esamineremo in dettaglio i blade Threat Emulation e Threat Extraction, sono certo che sarà interessante.
2) Per la gestione (funzionalità del server di gestione)
- Network Policy Management — gestione centralizzata delle politiche;
- Endpoint Policy Management — gestione centralizzata degli agenti Check Point (sì, Check Point produce soluzioni non solo per la protezione della rete, ma anche per la protezione di workstation (PC) e smartphone);
- Logging & Status — raccolta e elaborazione centralizzata dei log;
- Management Portal — gestione della sicurezza dal browser;
- Workflow — controllo delle modifiche alle politiche, audit delle modifiche, ecc.;
- User Directory — integrazione con LDAP;
- Provisioning — automazione della gestione dei firewall;
- Smart Reporter — sistema di reportistica;
- Smart Event — analisi e correlazione degli eventi (SIEM);
- Compliance — verifica automatica delle impostazioni e fornitura di raccomandazioni.
Non esamineremo ora in dettaglio le questioni relative alla licenza, per non allungare l'articolo e non confondere il lettore. Probabilmente affronteremo questo in un post separato.
L'architettura dei blade consente di utilizzare solo le funzioni realmente necessarie, il che influisce sul budget della soluzione e sulle prestazioni complessive del dispositivo. È logico che più blade si attivano, meno traffico si può "gestire". Ecco perché ad ogni modello Check Point è allegata la seguente tabella delle prestazioni (per esempio, abbiamo preso le caratteristiche del modello 5400):
Come potete vedere, qui vengono presentate due categorie di test: su traffico sintetico e su traffico reale — misto. In generale, Check Point è costretta a pubblicare test sintetici, poiché alcuni fornitori utilizzano tali test come riferimento, senza esaminare le prestazioni delle proprie soluzioni su traffico reale (o nascondendo intenzionalmente tali dati a causa della loro insoddisfacente performance).
In ogni tipo di test si possono notare diverse varianti:
- test solo per Firewall;
- test Firewall+IPS;
- test Firewall+IPS+NGFW (controllo applicazioni);
- test Firewall+Controllo Applicazioni+Filtraggio URL+IPS+Antivirus+Anti-Bot+SandBlast (sandbox)
Fate attenzione a questi parametri nella scelta della vostra soluzione, oppure contattate per .
Penso che qui si possa concludere l'articolo introduttivo dedicato alle tecnologie Check Point. In seguito esamineremo come testare Check Point e come affrontare le moderne minacce alla sicurezza informatica (virus, phishing, ransomware, zero-day).
P.S. Un punto importante. Nonostante l'origine straniera (israeliana), la soluzione è certificata in RF presso le autorità di vigilanza, il che legalizza automaticamente la loro presenza nelle istituzioni pubbliche (commento di ).
Solo gli utenti registrati possono partecipare al sondaggio. , per favore.
E quali strumenti UTM/NGFW utilizzate voi?
Check Point
Cisco Firepower
Fortinet
Palo Alto
Sophos
Dell SonicWALL
Huawei
WatchGuard
Juniper
UserGate
Traffic inspector
Rubicon
Ideco
soluzione OpenSource
Altro
Hanno votato 134 utenti. Si sono astenuti 78 utenti.
Fonte: habr.com
