13. תחילת העבודה של Check Point R80.20. רישוי

שלום, חברים! וסוף סוף הגענו לאחד האחרון, שיעור אחרון של צ'ק פוינט תחילת העבודה. היום נדבר על נושא חשוב מאוד - רישוי. אני ממהר להזהיר אותך ששיעור זה אינו מדריך ממצה לבחירת ציוד או רישיונות. זהו רק סיכום של נקודות המפתח שכל מנהל צ'ק פוינט צריך לדעת. אם אתם ממש מבולבלים מבחירת הרישיון או המכשיר, אז עדיף לפנות לאנשי מקצוע, כלומר. לנו :). יש הרבה מלכודות שקשה מאוד לדבר עליהן בקורס, וגם לא תצליחו לזכור זאת מיד.
השיעור שלנו יהיה תיאורטי לחלוטין, כך שתוכל לכבות את שרתי המדומים שלך ולהירגע. בסוף המאמר תמצאו שיעור וידאו בו אני מסביר הכל ביתר פירוט.

רישוי שער

נתחיל בתיאור של תכונות הרישוי של שערי אבטחה. יתר על כן, זה תקף הן ל-uplines של חומרה והן למכונות וירטואליות. נניח שהחלטתם לקנות שער. אי אפשר פשוט לקנות חומרה או מכונה וירטואלית בלי "מנויים"! ישנן שלוש אפשרויות מנוי:

ועכשיו התכונה המעניינת הראשונה! אתה יכול לקנות רק מכשיר או מכונה וירטואלית עם מנויי NGTP או NGTX. אבל כשאתה מחדש את המנוי שלך, אתה כבר יכול לבחור בחבילת NGFW אם אתה לא צריך להבי AV, AB, URL, AS, TE ו-TX. זה הרגע. ניתן לרכוש מנויים עצמם לתקופה של שנה, שנתיים או שלוש.

אני יכול לחזות את השאלה הראשונה שלך! "מה קורה אם המנוי לא יחודש?" הדגשתי במיוחד בירוק את הלהבים שתמיד יעבדו, וללא הרחבות. מה שנקרא תמידי מחוויר. הלהבים הנותרים שדורשים עדכון מתמיד פשוט יפסיקו לעבוד. ובכן, אולי ל-IPS עדיין יהיו חתימות מפתח שפועלות (אבל יש מעט מאוד מהן). זה נכון גם לחומרה וגם למכונות וירטואליות, כלומר. vSec.

כפריט נפרד, הדגשתי שלושה להבים שאינם כלולים באף ערכה: DLP, MAB וקפסולה.

זכור גם שאם אתה קונה פתרון אשכולות, אז בחר דגם עם הסיומת HA (כלומר High Availability) בתור המכשיר השני. התמונה מציגה דוגמה לשער 5400. זה נוגע לשערים. עכשיו שרת הניהול.

רישוי שרתי ניהול

כפי שכבר אמרנו בשיעורים הראשונים, ישנם שני תרחישים להטמעת צ'ק פוינט: Standalone (כאשר גם השער וגם הניהול נמצאים במכשיר אחד) ו-Distributed (כאשר שרת הניהול ממוקם במכשיר נפרד). עם זאת, האפשרויות לא מסתיימות שם. הבה נסתכל על שלושה תרחישים אופייניים לפריסת שרת ניהול:

1. רכישת NGSM ייעודי. האפשרות הפופולרית ביותר. בחר חומרה Smart-1 או חומרה וירטואלית. אתה בוחר, כמובן, על סמך כמה שערים תנהל, 5, 10, 25 וכו'. על ידי פריסת מכשיר זה, אתה יכול להשתמש ב-4 להבי מפתח של שרת הניהול: NPM (כלומר ניהול מדיניות), רישום וסטטוס (כלומר רישום), אירוע חכם (SIEM מ-Check Point, שנותן לנו את כל הדיווח) ותאימות (זה הוא הערכה של איכות ההגדרות, בין אם לצורך עמידה בדרישות רגולטוריות מסוימות, אותו PCI DSS, או פשוט Best Practice). אתה יכול מיד לראות שלהבי NPM ו-LS הם להבים קבועים, כלומר. יעבוד ללא חידוש מנויים, אבל להבי Smart Event ו-Comliance כלולים רק בשנה הראשונה! אז צריך לחדש אותם בכסף נפרד. זו נקודה חשובה, אל תשכח. ואם אתה עדיין יכול לחיות בלי להב Compliance, אז בהחלט כולם צריכים Smart Event.
2. רכישת שרת ייעודי לניהול אירועים בנוסף לשרת ניהול NGSM הקיים. למה זה נחוץ? העובדה היא שפונקציונליות הרישום ובמיוחד אירוע חכם "אוכלת" משאבי מערכת הגונים למדי. ואם יש די הרבה יומנים, זה יכול להוביל ל"בלמים" בשרת הבקרה. לכן, לרוב נוהגים להעביר את הפונקציונליות הזו למכשיר נפרד, חומרת Smart-1 או, שוב, למכונה וירטואלית. אינטגרציות גדולות עם מספר רב של יומנים דורשות כמעט תמיד שרת ייעודי ל-Smart Event. זה יכול גם לקבל יומנים. בדרך זו שרת הניהול שלך יבצע רק פונקציות ניהול. זה משפר מאוד את יציבות המערכת ותגובתיות. כפי שאתה יכול לראות, כאשר אתה רוכש שרת אירוע חכם ייעודי, אתה מקבל את שני הלהבים הללו לשימוש קבוע, גם ללא חידוש. על פני אופק של 3-4 שנים, זה יהיה אפילו יותר חסכוני מרכישת הרחבות לאירועים חכמים עבור שרת NGSM רגיל מדי שנה.
3. שרת ייעודי לניהול יומנים, שמגיע בנוסף לשרתי NGSM ו-Smart Event. אני חושב שהמשמעות ברורה. אם יש מספר גדול מאוד של יומנים, נוכל להעביר את פונקציית הרישום לשרת נפרד. גם לשרת ה-Log הייעודי יש רישיון קבוע ואינו דורש חידוש.

שיעור וידאו

מצא מידע נוסף על ניהול רישיונות ותמיכה טכנית של Check Point כאן:

מקור: www.habr.com