7. NGFW לעסקים קטנים. ביצועים והמלצות כלליות

הגיע הזמן להשלים את סדרת הכתבות על הדור החדש של SMB Check Point (סדרת 1500). אנו מקווים שזו הייתה חוויה מתגמלת עבורך ושתמשיך להיות איתנו בבלוג TS Solution. הנושא למאמר האחרון אינו מכוסה בהרחבה, אך לא פחות חשוב - כוונון ביצועי SMB. בו נדון באפשרויות התצורה של החומרה והתוכנה של NGFW, נתאר את הפקודות הזמינות ושיטות האינטראקציה.

כל הכתבות בסדרה על NGFW לעסקים קטנים:

1. קו שער אבטחה חדש של CheckPoint 1500

2. Unboxing והגדרה

3. העברת נתונים אלחוטית: WiFi ו-LTE

4. VPN

5. ניהול SMP בענן

6. Smart-1 ענן

נכון לעכשיו, אין הרבה מקורות מידע על כוונון ביצועים עבור פתרונות SMB עקב הגבלות מערכת הפעלה פנימית - Gaia 80.20 Embedded. במאמר שלנו נשתמש בפריסה עם ניהול מרכזי (שרת ניהול ייעודי) - זה מאפשר לך להשתמש בכלים נוספים בעבודה עם NGFW.

חומרה

לפני שתגע בארכיטקטורת משפחת צ'ק פוינט SMB, אתה תמיד יכול לבקש מהשותף שלך להשתמש בכלי השירות כלי גודל מכשיר, כדי לבחור את הפתרון האופטימלי בהתאם למאפיינים שצוינו (תפוקה, מספר משתמשים צפוי וכו').

הערות חשובות בעת אינטראקציה עם חומרת ה-NGFW שלך

1. לפתרונות NGFW ממשפחת SMB אין יכולת לשדרג חומרה רכיבי מערכת (CPU, RAM, HDD); בהתאם לדגם, ישנה תמיכה בכרטיסי SD, זה מאפשר להרחיב את קיבולת הדיסק, אך לא באופן משמעותי.

2. פעולת ממשקי הרשת דורשת שליטה. ל- Gaia 80.20 Embedded אין הרבה כלי ניטור, אבל אתה תמיד יכול להשתמש בפקודה הידועה ב-CLI דרך מצב מומחה 

   # אניfconfig

   

   שימו לב לשורות המסומנות בקו תחתון, הן יאפשרו לכם להעריך את מספר השגיאות בממשק. מומלץ מאוד לבדוק את הפרמטרים הללו במהלך היישום הראשוני של ה-NGFW שלך, כמו גם מעת לעת במהלך הפעולה.

3. לגאיה מן המניין יש פקודה:

   > הצג תרשים

   בעזרתו ניתן לקבל מידע על טמפרטורת החומרה. לרוע המזל, אפשרות זו אינה זמינה ב-80.20 Embedded; נציין את מלכודות ה-SNMP הפופולריות ביותר:

   שם 

   תיאור

   הממשק מנותק

   השבתת הממשק

   ה-VLAN הוסר

   הסרת Vlans

   ניצול זיכרון גבוה

   ניצול RAM גבוה

   שטח דיסק נמוך

   אין מספיק מקום HDD

   ניצול מעבד גבוה

   ניצול מעבד גבוה

   קצב פסיקות מעבד גבוה

   קצב פסיקה גבוה

   קצב חיבור גבוה

   זרימה גבוהה של חיבורים חדשים

   חיבורים בו זמנית גבוהים

   מפגשים תחרותיים ברמה גבוהה

   תפוקת חומת אש גבוהה

   חומת אש עם תפוקה גבוהה

   שיעור מנות מקובל גבוה

   קצב קליטת מנות גבוה

   המדינה החברית באשכול השתנתה

   שינוי מצב האשכול

   חיבור עם שגיאת שרת יומן

   אבד החיבור עם Log-Server

4. הפעלת השער שלך דורשת ניטור RAM. כדי שגאיה (מערכת הפעלה דמוית לינוקס) תעבוד, זהו מצב רגילכאשר צריכת ה-RAM מגיעה ל-70-80% מהשימוש.

   הארכיטקטורה של פתרונות SMB אינה מספקת שימוש בזיכרון SWAP, בניגוד לדגמי צ'ק פוינט ישנים יותר. עם זאת, בקבצי מערכת לינוקס הבחינו בכך , המציין את האפשרות התיאורטית של שינוי פרמטר SWAP.

חלק תוכנה

בזמן פרסום המאמר רלוונטי גרסת גאיה - 80.20.10. אתה צריך לדעת שיש מגבלות בעבודה ב-CLI: חלק מהפקודות של לינוקס נתמכות במצב מומחה. הערכת הביצועים של NGFW דורשת הערכת הביצועים של דמונים ושירותים, פרטים נוספים על כך ניתן למצוא ב статье חברי לעבודה. נבחן פקודות אפשריות עבור SMB.

עבודה עם Gaia OS

1. עיין בתבניות SecureXL

   #fwaccelstat

   

2. הצג אתחול לפי ליבה

   # fw ctl multik stat

   

3. הצג את מספר הפעלות (חיבורים).

   # fw ctl pstat

   

4. *הצג סטטוס אשכול

   #cphaprob stat

   

5. פקודת לינוקס קלאסית TOP

רישום

כפי שאתה כבר יודע, יש שלוש דרכים לעבוד עם יומני NGFW (אחסון, עיבוד): מקומית, מרכזית ובענן. שתי האפשרויות האחרונות מרמזות על נוכחות של ישות - שרת ניהול.

תוכניות בקרה אפשריות של NGFW

קבצי היומן היקרים ביותר

1. הודעות מערכת (מכילות פחות מידע מגאיה מלאה)

   # tail -f /var/log/messages2

   

2. הודעות שגיאה בפעולת להבים (קובץ די שימושי בעת פתרון בעיות)

   # tail -f /var/log/log/sfwd.elg

   

3. הצג הודעות מהמאגר ברמת ליבת המערכת.

   #dmesg

   

תצורת להב

סעיף זה לא יכיל הוראות מלאות להגדרת NGFW Check Point שלך; הוא מכיל רק את ההמלצות שלנו, שנבחרו על ידי הניסיון.

בקרת יישומים / סינון כתובות אתרים

• מומלץ להימנע מכל תנאי (מקור, יעד) בכללים.

• בעת ציון משאב כתובת אתר מותאמת אישית, יהיה יעיל יותר להשתמש בביטויים רגולריים כמו: (^|..)checkpoint.com

• הימנע משימוש מופרז ברישום כללים והצגת דפי חסימה (UserCheck).

• ודא שהטכנולוגיה פועלת כהלכה "SecureXL". רוב התנועה צריכה לעבור נתיב מואץ/בינוני. כמו כן, אל תשכח לסנן את הכללים לפי הכללים הנפוצים ביותר (שדה להיטים ).

בדיקת HTTPS

זה לא סוד ש-70-80% מתעבורת המשתמשים מגיעה מחיבורי HTTPS, מה שאומר שזה דורש משאבים ממעבד השער שלך. בנוסף, HTTPS-Inspection משתתפת בעבודה של IPS, Antivirus, Antibot.

החל מגרסה 80.40 הייתה הזדמנות כדי לעבוד עם כללי HTTPS ללא לוח מחוונים מדור קודם, הנה כמה סדר כללים מומלץ:

• עוקף עבור קבוצת כתובות ורשתות (Destination).

• עוקף עבור קבוצת כתובות אתרים.

• עוקף עבור IP פנימי ורשתות עם גישה מועדפת (מקור).

• בדוק אם יש רשתות נדרשות, משתמשים

• עוקף עבור כל השאר.

* תמיד עדיף לבחור ידנית שירותי HTTPS או HTTPS Proxy ולעזוב את Any. רישום אירועים לפי כללי Inspect.

שב"ס

להב ה-IPS עלול להיכשל בהתקנת מדיניות ב-NGFW שלך אם נעשה שימוש ביותר מדי חתימות. לפי статье מ-Check Point, ארכיטקטורת מכשירי ה-SMB לא מתוכננת להריץ את פרופיל תצורת ה-IPS המלא המומלץ.

כדי לפתור או למנוע את הבעיה, בצע את השלבים הבאים:

1. שכפל את הפרופיל האופטימלי שנקרא "מוטב SMB" (או פרופיל אחר לבחירתך).

2. ערוך את הפרופיל, עבור אל IPS → Pre R80.Settings סעיף וכבה את הגנות השרת.

   

3. לפי שיקול דעתך, אתה יכול להשבית CVEs ישנים משנת 2010, פגיעויות אלה עשויות להימצא לעתים רחוקות במשרדים קטנים, אך משפיעות על הביצועים. כדי להשבית חלק מהם, עבור אל פרופיל → IPS → הפעלה נוספת → הגנות כדי לבטל את הרשימה

   

במקום מסקנה

כחלק מסדרת מאמרים על הדור החדש של NGFW ממשפחת ה-SMB (1500), ניסינו להדגיש את היכולות העיקריות של הפתרון והדגמנו את התצורה של רכיבי אבטחה חשובים באמצעות דוגמאות ספציפיות. נשמח לענות על כל שאלה לגבי המוצר בהערות. אנחנו נשארים איתך, תודה על תשומת הלב שלך!

מבחר גדול של חומרים בצ'ק פוינט מבית TS Solution. כדי לא לפספס פרסומים חדשים, עקבו אחר העדכונים ברשתות החברתיות שלנו (מברק, פייסבוק, VK, בלוג פתרונות TS, יאנדקס זן).

מקור: www.habr.com